✅ SPF・DKIM・DMARC設定の必須化

SPFとは？

SPF（Sender Policy Framework）は、電子メールの送信元認証を目的とするインターネットの標準規格（標準プロトコル）です。SPFは、電子メールの送信元が正当であるかどうかを検証するために使用されます。これにより、ドメインのなりすましや偽造されたメールからくるスパムやフィッシング攻撃を減少させることができます。
例えば、会社から手紙を郵送する際、手紙にはその会社の社名やロゴが印字された公式な封筒で送られています。これにより、受け取り手は手紙が本当にその会社から送られたものであることを確認できるので安心して開封できます。
これと同じように、SPFは電子メールが信頼できる送信者から送られたものであるかを確認するための、証明書のようなものと言えます。このしるしがない場合は、なりすましや詐欺を警戒されてスパムメール扱いにされてしまうかもしれません。

SPFのイメージ

SPFの必須化は電子メールのセキュリティを向上させ、信頼性を高めるために重要な手段となります。SPFを有効にすることは、なりすましメールやフィッシング攻撃からくる潜在的なリスクに対処するための効果的な取り組みの一環となります。

DKIMとは？

DKIM（DomainKeys Identified Mail）は、電子メールの認証技術の一つで、送信者のドメインがメッセージを変更せずに送信したことを証明するための仕組みです。DKIMは電子メールの送信者認証を強化し、なりすましや改ざんからの保護を提供します。

DKIMのイメージ

DMARCとは？

DMARC（Domain-based Message Authentication, Reporting, and Conformance）は、電子メールの送信者認証技術の一環であり、電子メールの認証と送信者ドメインの保護を強化するための仕組みです。DMARCは、SPFとDKIMと組み合わせて使用されます。
送信者は、メールの送信時に、DMARCポリシーと呼ばれる設定ファイルを作成します。このポリシーには、認証に失敗したメールの処理方法が定義されています。
受信者は、受信したメールの送信元ドメインの認証を行います。認証に成功した場合は、DMARCポリシーに従ってメールを処理します。
DMARCは、送信ドメイン認証の「送信元ドメインの認証・認証に失敗したメールの処理方法・認証結果のレポート」をすべて備えた技術です。
そのため、なりすましメール対策として最も効果的な技術とされています。

DMARCのイメージ

​​

SPF、DKIM、DMARCの設定方法

SPF、DKIM、DMARCは、メールの送信元を認証するレコードです。
ここでいうレコードとは、インターネット上のコンピュータやサービスを名前で識別するためのシステム（DNS）に登録されている情報のことです。
これらのレコードを設定することで、なりすましメールの対策ができます。

メール配信サービスを利用している場合は、「SPF/DKIMの設定を必須化」について業者に問い合わせて確認しましょう。
自社から送信しているメールを確認する場合は、自社で送信されたメールを受け取り、メッセージ右上のアイコン（…）をクリックし「メッセージを表示」を選択すると状況がわかります（Gmailの場合）。
SPF、DKIMの欄に「PASS」と記載されていたらすでに設定されています。DKIMの欄が自社ドメインでない場合は、ドメイン管理者の方に問い合わせをして設定を再確認してください。

✅ Gmailを送信元として設定しない

あなたの会社は自社ドメインを使用していますか？
自社ドメインとは、会社が独自に登録しているインターネット上の住所です。
例えば、当社であれば「koushin.co.jp」となります。メールアドレスやホームページで使用されていますね。

本要件では送信元としてgmail.comを用いることを禁止し、必ず自社ドメインで送信することを定めています。
まだ自社ドメインを持たないままDM配信を行われている方は、自社ドメインを取得する必要が出てきます。

✅ 迷惑メール率を0.3%以下にする

実は以前からも、迷惑メール率が高くなると、メールが届きづらくなる仕組みがありました。
新しいガイドラインでは、Postmaster Tools※で報告されるスパム率を0.1%未満に保ち、スパム率が0.3%以上にならないようにしなければいけません。
SPF・DKIM、DMARCの設定をしてメールの評価点を上げることや、受信者から迷惑メールとして報告されないように「自分は何者であるのか（送信者）」「どのような要件でメールを送っているのか（件名）」などの情報をしっかり記載することをお勧めします。
※：Gmailが提供するメール配信の品質を向上させるためのツールです。このツールを活用することで、送信元ドメインの評判を向上させ、メールがGmailにスパムとして扱われるリスクを低減することができます。

配信サービスを利用していない方は、Googleが提供しているPostmaster Toolsをご利用ください。
Postmaster Toolsは、電子メール送信者が電子メールのパフォーマンスを分析し、メッセージを適切な場所に配信するのに役立ちます。Postmaster Toolsでは配信エラーやスパムレポート、フィードバックループなど、電子メールに関するデータと診断にアクセスできます。
このPostmaster Toolsを使用して、Gmailのメール送信者ガイドラインの要件を満たしていると確認することをお勧めします。
2024年初めに、GoogleによってPostmaster Toolsにコンプライアンス ステータス ダッシュボードが追加されました。それまでは、送信者はPostmaster Toolsやインターネット上で利用可能な他のオンライン ツールで現在入手可能な情報を使用して、電子メール送信者ガイドラインへの準拠を監視する必要があります。

✅ ワンクリックでの登録解除を有効にし
メッセージ本文に登録解除用のリンクをわかりやすく表示する

これは、【受信者がメールの配信登録を簡単に解除できる方法を常に用意してください。】という要件です。

例えば、メールの下記に「配信停止はこちら」などのURLを置いておくことが大事になります。

ユーザーがメールの受信を停止できるようにすることで、開封率、クリック率、送信効率を上げることができます。ワンクリックでの登録解除に対応すると、ユーザーはメールの受信停止を簡単に行えるようになるのです。
１日に5,000件を超えるマーケティング目的のメールや配信登録されたメールを送信する場合は、ワンクリックでの登録解除に対応する必要があるので心当たりのある方は注意しましょう。

✅ メールの形式はRFC5322に準拠する

RFCというのは、メールに関する国際基準です。
例として、メールアドレスに『/ ! “@ # $ % & ‘ ( ) = ~ | \ ^ : ; * + ? .の文字は使ってはいけない』などの規定があります。
この国際基準に沿ってメールを作成する必要があります。
RFC 5322に準拠することは、メールを送受信しメールボックスを管理するための異なるソフトやアプリ、サーバー間でメッセージの正確な解釈と相互運用性を確保するために重要です。

✅ PTRレコード設定の必須化

PTRレコードとは、配信IPアドレスと配信ドメインの紐付けをする設定です。
これは配信サービス側の対応になります。

✅ ACRヘッダー設定の必須化

ACRヘッダーはメッセージが転送されたことを示し、転送者の身元を明らかにします。
これによって、メールの送信者が本物であるかどうかを受信サーバーが確認でき、スパムやフィッシング攻撃からユーザーを保護するのに役立ちます。つまりメールの信頼性と追跡可能性を高めるのです。
具体的な手順は、送信元ドメインやメール配信サービス、受信側のメールシステムによって異なりますが、以下の手順を実行してみてください。

1. 送信元ドメインのSPF、DKIM、DMARCレコード（メールの送信元を認証するレコード）を設定します。
2. メール配信サービスの設定で、ACRヘッダーを送信するように設定します。
3. 受信側のメールシステムで、ACRヘッダーの検証を有効にします。