メールの配信トラブルを防ぐ！独自ドメイン利用＋送信者認証のすすめ

この記事は Don’t Send Email From Domains You Don’t Control の抄訳です。

多くのBtoBサービスには、サービス利用者に代わってメール送信する機能が備わっています。メール送信の際には、サービスからのメールではなく、あたかもサービス利用者からのメールであるように見せかけます。

例えば、ホテルの予約サービスについて考えてみましょう。このサービスを利用するホテルは、最新の予約情報を宿泊者にメールで通知します。この通知メールを各ホテルのメールアドレスから送信することで、宿泊者に予約サービスの存在を意識させずにコミュニケーションを取ることができます。

送信元メールアドレスを自由に指定する場合の問題点

これまでは、送信元メールアドレスに他社のドメイン（冒頭の例では、ホテルの予約サービスのドメインではなく各ホテルのドメイン）を利用しても大きな問題はありませんでした。送信者は、送信元ドメインをBtoBサービス利用者の独自ドメインや、outlook.com、gmail.comのようなWebメールのドメインに変えるだけでメール送信できました。しかし、迷惑メール対策の強化に伴って、こういったメールは届かなくなりつつあります。

なぜなら、他社のドメインを詐称することは、スパムメール送信者、特にフィッシングメール送信者の常套手段だからです。例えばスパマーは、Amazonのドメインを詐称したメールを本物のサービスから送られたものだと受信者に信じ込ませ、偽のパスワードリセットメールのリンクをクリックさせます。

よって、送信元ドメインを自由に指定してメール送信すると、スパマーと同等の行為と見なされる恐れがあります。

メールの送信方法をどのように変更すればよいか

フィッシングメールのような送信元のなりすましを検知する仕組みとして、送信ドメイン認証（SPF、DKIM、DMARC）があります。そのうちDMARCは、なりすましの疑いがある受信メールの取り扱いを、送信元ドメインの管理者が受信サーバに指示できる仕組みです。このメールの取り扱い方を「DMARCポリシー」と呼び、none（何もしない）・quarantine（隔離する）・reject（拒否する）のどれかを指定できます。DMARCにおけるなりすましの判断には、SPFやDKIMの検証結果を利用します。

DMARCはメールの受信者を保護するには有効な手段ですが、その強力な効力のゆえ、正当なメールも届かなくなる恐れがあります。そのため、メールの送信者は適切に送信ドメイン認証を行い、正当な送信者であることを示す必要があります。ここからは具体的な対策を見ていきましょう。

現在、gmail.comやoutlook.comなどWebメールのドメインからメール送信している場合は、独自ドメインからのメール送信に切り替えましょう。GoogleやMicrosoft、Yahoo!など多くの利用者を抱えるサービスではDMARCポリシーの厳格化を実施または予定しており、これらのドメインを送信元とするメールは今後届かなくなります。

すでに独自ドメインからメール送信している場合は、適切なDNSレコードを登録することで、今後もメールを届けることができます。冒頭で触れたようなBtoBサービスの利用者には、SPFやDKIM用のレコードをDNSサーバに登録するように依頼しましょう。これにより、「IPアドレスxx.xx.xx.xxのサーバに、example.comからのメール送信を許可する」こと、つまり、正当なメールであることを宛先サーバに示すことができます。
Twilio SendGridからメール送信する場合は、Domain Authenticationにより独自ドメインのSPFやDKIMを設定します。

これらの設定方法はシンプルですが、BtoBサービスの利用者がドメインやDNSの仕組みに詳しくない場合は、DNSレコードの登録方法が分からずに戸惑うかもしれません。

他の方法として、BtoBサービスの運営元が、ドメインやDNSサービスをセットにして提供することも考えられます。この方法では、サービスの運営元が顧客に代わってDNSレコードを登録できるのがメリットです。また、DNSimpleのようなサービスを利用すると、API経由でDNSを操作することも可能です。ただし、既存のドメインを使いたい場合は、移行作業のサポートが必要になるでしょう。

Gmailが送信者向けのガイドラインを更新したように、悪意のある送信者から受信者を守るための対策が各社で強化されています。正当なメールが届かなくならないよう、適切に設定しましょう。メールを受信トレイに届ける方法を詳しく知りたい場合はEmail Deliverability Guideをご覧ください。