Twilio SendGridのセキュリティ対策とより安全な運用方法

昨今、セキュリティ対策の重要性がますます高まっています。
メール配信サービスでは、メールアドレスをはじめとする個人情報を扱うため、アカウントの管理には特に注意が必要です。さらに、アカウントへの不正アクセスだけでなく、自社ブランドになりすましたメールが送信されるなど、メールの仕組みを悪用した攻撃も増加しており、適切な対策が不可欠です。

Twilio SendGridでは、お客様が安全にメールを運用できるよう、アカウントの保護機能やメールのセキュリティを高める機能を備えています。
本記事では、SendGridのセキュリティ機能や運用上の注意点について詳しく解説します。

アカウントの保護

はじめに、SendGridアカウントへの不正アクセスを防ぐための対策をご紹介します。お客様自身で設定が必要な機能もあるため、運用方法に合わせてご活用ください。

二要素認証の設定

ログイン時に、パスワードに加えて、認証アプリなどで発行されたワンタイムパスワードを使用することで、万が一パスワードが漏えいした場合でもアカウントへの不正ログインを防ぐことができます。
SendGridを利用するには二要素認証の設定が必須であり、無効化することはできません。具体的な設定方法はこちらをご確認ください。

APIキーの適切な管理

SendGridでは、SMTPやWeb APIでのメール送信のほか、API経由で各種操作を行う際の認証に「APIキー」を利用します。APIキーが漏えいすると、第三者に不正なメールを送信されたり、宛先リスト等の個人情報を取得されたりするリスクがあります。

APIキーは機能単位でアクセス制限をかけることができ、利用用途ごとに複数発行できるため、適切な運用を行うことで、万が一漏えいしても被害を最小限にとどめることができます。
この仕組みを活かすには、お客様自身で次のベストプラクティスを実践していただく必要があります。

• 最小権限の原則
  APIキーには必要な権限だけを付与する。メール送信専用のキーには不要な権限を与えない。
• 用途ごとに分離
  アプリケーションや環境（本番・開発など）ごとに異なるAPIキーを使用する。
• 漏えい時の対応
  漏えいが疑われるAPIキーは速やかに無効化し、新しいAPIキーに切り替える。

もちろん、APIキーが漏えいしないように管理を徹底することも大切です。以下のベストプラクティスに従って管理しましょう。

• 安全な保管
  ソースコードに直接記述せず、シークレット管理サービスなどを使用する。
  特に、APIキー文字列を含むソースコードをGitHubなどの公開リポジトリにコミットしたり、APIキー情報を含むアプリを公開リリースしたりすることのないよう注意する。
• 定期的な棚卸し
  使用していないAPIキーを削除し、アクセス権限を見直す。

IPアドレスでのアクセス元制限

IP Access Management機能では、SendGridへのアクセス元ネットワーク／IPアドレスを制限できます。
許可リスト（Allow List）に登録したネットワーク／IPアドレスから接続した場合のみ、SendGridのダッシュボードやAPI、SMTPリレーにアクセス可能となります。それ以外からのアクセスは全てブロックされるため、不正なアクセスを防ぐ非常に強力な手段です。
許可リストに登録されていないIPアドレスからのアクセスがあった場合にメールでアラートを受け取ったり、アカウントへのアクセス履歴を確認したりすることもできます。

なお、設定を誤るとご自身のアカウントにログインができなくなるため、必ず社内のネットワーク担当者に確認のうえ設定しましょう。弊社では設定を解除できないため、ご利用の際はご注意ください。

複数人で利用する場合の権限管理

複数人でSendGridを利用する際に、ログイン情報を共有することはやめましょう。
Teammate機能を使うと、利用者ごとにアクセス可能な機能を制限したり、個別のログイン情報を発行したりできます。Teammate機能を使ってログインする場合も、二要素認証は必須です。

この機能を使って、利用者の担当業務に合わせたアクセス権限を付与することで、不正にログインされたとしても影響を最小限にとどめることができます。退職などで利用者が変更になる際にも、Teammate単位でログイン情報を無効化できるため、ログイン情報の漏えいリスクがありません。

シングルサインオン（SSO）の利用

Proプラン以上では、Microsoft Entra ID、Oktaなどのアクセス管理プラットフォーム（IdP）と連携したシングルサインオンが可能です。
IdPを使って各種サービスの認証情報を一元管理することで、パスワードの使いまわしや管理不備を防ぐとともに、多要素認証（MFA）やアクセス制限といった全社統一のセキュリティポリシーを適用できます。これにより、パスワードの漏えいや不正アクセスのリスクを低減させることができます。
詳細仕様はこちらをご確認ください。

メールのセキュリティ

ここまではアカウントを不正アクセスから保護する機能と運用方法をご紹介しました。しかし、アカウント自体が適切に管理されていても、メールの仕組みを悪用した攻撃のリスクは残ります。自社ブランドになりすました悪質なメールが第三者によって送信されてしまうケースがその一例です。
こうしたなりすましメールを抑制するための送信ドメイン認証や、暗号化による安全な通信経路の確立は、GoogleやYahoo!といった主要なインボックス・プロバイダの送信者ガイドラインでも強く求められています。これらに適切に対応することは、自社が正当な送信者であることを証明し、メールの到達率を向上させるうえでも非常に有効です。

送信ドメイン認証

SendGridでは、独自ドメインでの送信ドメイン認証に対応しています。どのプランでも複数の独自ドメインを設定可能です。
Domain Authentication機能でSPF／DKIMの設定に必要なDNSレコードを払い出し、そのレコードをご自身が管理するドメインのDNSサーバに登録することで設定が完了します。

SPFとDKIMの仕組みについてさらに詳しく知りたい方は、こちらの記事もご参照ください。

通信の暗号化によるデータ保護

メールに含まれる情報を保護する手段として、通信の暗号化は非常に効果的です。とりわけ、受信者の機密情報を扱うメールを送る際には、その重要性が高まります。
APIやSMTPを使ったSendGridへの接続は、TLS 1.2以降に対応しています。
また、SendGridから宛先メールサーバへの配送には、標準で日和見TLS（Opportunistic TLS）を採用しています。TLS 1.1以降での接続を試行し、宛先メールサーバが対応しているかどうかに応じて、通信方式をTLSによる暗号化通信へ自動的に切り替えることが可能です。

開発元のセキュリティ対策

SendGridの開発元であるTwilio社の第三者認証やSLA、データの所在地、管理体制および管理方針、世界各国の法令への適応状況などは、以下のリンクで公開しています。

• Twilioサービス利用規約（画面左部のリンクから各種ポリシーを閲覧できます）
• Twilioプライバシーノーティス
• Twilioセキュリティ概要書
• Twilioデータ保護附属書（Data Protection Addendum：DPA）
• データ保存期間および削除（Data Retention and Deletion in Twilio Products）
• Twilio Trust Center

おわりに

サイバー攻撃は巧妙化し、不正アクセスによる個人情報の漏えい等の被害が後を絶ちません。Twilio社および弊社は、引き続きプラットフォームの監視強化や不正防止に努めてまいります。
大切なアカウントやデータを守るため、お客様ご自身でも設定や運用が適切な状態か、いま一度ご確認いただきますよう、よろしくお願いいたします。