DKIMとは?

DKIMとは?

この記事は What is DKIM?の抄訳です。

突然ですが、メールに署名をつけていますか?もちろん、メールの末尾に名前等をつける署名の話をしているのではありません。メールの認証に関する電子署名のお話です。この電子署名があれば、ISPはメールの送信元が正当なドメインだと判断できるのです。
本記事では、メールの認証方法のひとつであるDKIMの概要、署名しないことの危険性をご紹介します。

DKIMとは?

DKIM(DomainKeys Identified Mail、Yahoo!が開発)とは、送信ドメイン認証のひとつで、メールの電子署名としては最もよく使われています。
まず、送信側はメールに署名を埋め込みます。次に、受信側(=ISP)は署名の情報から送信側のDNSサーバで公開されている公開鍵と照合し送信ドメインの正当性(=メールが正規のサーバから送信されているのかどうか)を検証します(図1)。

図1 送信ドメイン認証イメージ

図1 送信ドメイン認証イメージ(Email Deliverability Guide p12より)

DKIMがあればISPは送信ドメインの正当性を判断でき、なりすましメール(=正規でないサーバからのメール)を防ぐことができます。DKIMとIPレピュテーションはISPが送信元の信頼性を判断するために役立ちますが、IPアドレスで判断するIPレピュテーションに対して、DKIMでは送信者のドメインで判断します。つまり、ESP(メール配信業者)を変更してIPアドレスが変わってしまっても、ドメインレピュテーションは引き継ぐことができるのです。

DKIM署名をしないと – なりすましメールの危険性

迷惑メール送信業者やフィッシング詐欺業者は、悪意のあるメールを正当なメールにみせかけるために信頼性のあるドメイン(=ブランド)を騙ってメールを送信します。以下は、2013年2月のフィッシング詐欺対策団体(Anti-Phishing Working Group)の報告より抜粋したデータです。このレポートによると、日に何百ものフィッシングサイトができ、何十万もの迷惑メールが送信されているそうです。さらに、2012年7月のたった1ヶ月の間に、426ものブランドがなりすまし被害に遭ったそうです(図2)。

なりすまし被害に遭ったブランドの数

図2 なりすまし被害に遭ったブランドの数
Fishing Activity Trends Report, 3rd Quarter 2012より)

この数を見て「そんなに多くない」と感じる方がいたら、是非、それによって引き起こされる影響までイメージしてみてください。

Facebookで起きたフィッシング詐欺を例に挙げてみます。ユーザに「あなたの投稿がサービス利用規約に違反している」という内容のなりすましメールが送信され、それを受け取ったユーザは、事実を確認しようとなりすましメール内のリンクから偽のFacebookページにログインしてしまいました。そして、フィッシング詐欺業者はたった一度のログインから個人情報とパスワードを取得してしまったのです。

さいごに

ユーザとのコミュニケーションを続けていくために、ISPが不正なメールをブロックしやすくなるような施策は積極的に取り入れましょう。DKIM署名をつければ、ISPはブランドを騙るなりすましメールをブロックしてくれます。マーケティングメールにもトランザクションメールにも、全てのメールに署名をつけましょう。

DKIMがあれば、メールに有効な署名があることと、どのドメインが署名したのかがわかります。署名をすることでメール到達率の向上が保証されるわけではありませんが、確実に改善されます。さらに、ブランドが不正に利用されることを防いでくれます。ちょっと手間をかけるだけで、レピュテーションとブランドを守ることができるのです。

メールは、とても大切なコミュニケーションツールです。ユーザからの信頼を保つため、メールを確実に届けるため、下記リンクも是非ご覧ください。