DKIM レコードジェネレーター

DKIM とは何か、どのように機能しますか？

DKIM（DomainKeys Identified Mail）は、送信者が送信メールごとに暗号署名を付与できるメール認証方式です。受信メールサーバーは、送信者の DNS に公開された公開鍵を使ってこの署名を検証します。有効な DKIM 署名は次の 2 点を証明します。メッセージが記載どおりのドメインから送られたこと、および転送中に改ざんされていないことです。

許可リストと送信元 IP を照合する SPF とは異なり、DKIM はメッセージそのものにデジタル署名を付与します。そのため、転送サーバーの IP が元の SPF レコードに含まれず SPF が失敗しがちな転送後でも、DKIM 検証は有効なままです。

DKIM DNS レコード形式の理解

DKIM レコードは、特定のサブドメイン selector._domainkey.yourdomain.com に公開する DNS TXT レコードです。セレクターは任意のラベルで、よく使われる値は mail、google、s1、default です。レコード値は v=DKIM1; k=rsa; p= で始まり、続けて base64 エンコードした公開鍵を置きます。

秘密鍵はメールサーバー上で秘匿するか、メールサービスプロバイダーが管理します。公開鍵は DNS に公開するものです。受信サーバーは公開鍵を使って、秘密鍵で作成された署名を検証します。これは古典的な公開鍵暗号の仕組みです。

DKIM 公開鍵の確認場所

DKIM 公開鍵は、DKIM 署名を有効にしたときにメールプロバイダーが生成します。主要なプロバイダーでの確認場所は次のとおりです。

• Google Workspace: 管理コンソール → アプリ → Google Workspace → Gmail → メールの認証。新しい鍵を生成し、TXT レコード値をコピーします。
• Microsoft 365: Exchange 管理センター → 保護 → DKIM。ドメインの DKIM を有効にし、CNAME レコードをコピーします（Microsoft は直接の TXT レコードではなく CNAME を使用します）。
• Mailchimp: アカウント → ドメイン → ドメインを認証。Mailchimp は DNS に追加する DKIM TXT レコード値を提供します。
• SendGrid: 設定 → 送信者認証 → ドメイン認証。SendGrid が完全な DKIM TXT レコードを生成します。
• セルフホスト（Postfix、Exim）: opendkim-genkey で鍵ペアを生成します。公開鍵ファイルに TXT レコード値が含まれます。

DKIM のベストプラクティス

可能な限り 2048 ビットの鍵長を使用してください。1024 ビットの鍵は脆弱と見なされ、一部のメールシステムでフラグが付くことがあります。DKIM 鍵は定期的に（少なくとも年 1 回）ローテーションし、万一漏洩した場合の影響を抑えてください。ローテーション後も数日間は旧鍵を DNS に残し、送信途中のメッセージが検証できるようにします。

DKIM だけでは、表示上の From ヘッダーは保護されません。メール認証の設定を完了するには、DKIM の結果を From ドメインと揃える DMARC ポリシーを追加してください。きれいなメールリストも重要です。認証済みのメールでも、繰り返し退信するとスパムフォルダに入ります。無効なアドレスの削除には メール検証 をご利用ください。大規模なリストは 一括メール検証で検証できます。