メールドメインは守られている？

2026年10月29日更新

SPF、DKIM、DMARCがなければ、誰でもあなたのドメインから届いたように見えるメールを送れます。ドメインかメールアドレスを入力してください。ツールが公開されている設定を読み取り、何を直すべきかを具体的に示します。

ツールが確認すること

メールが届くと、受信側のメールサービスは送信者のドメインのDNSを調べ、本物かどうかを判断します。ツールは、それとまったく同じ公開レコードを読み取ります。

レコード	場所	役割
MX	`example.jp`	ドメインのメールを受信するサーバーを示す
SPF	`example.jp` のTXT	ドメインの名前で送信してよいサーバーを列挙する
DKIM	`セレクター._domainkey.example.jp` のTXT	メールの署名を検証する鍵を公開する
DMARC	`_dmarc.example.jp` のTXT	認証に失敗したメールの扱いと、レポートの送付先を示す
MTA-STS	`_mta-sts.example.jp` のTXT	受信メールに暗号化を義務づける（任意）
BIMI	`default._bimi.example.jp` のTXT	一部のメールサービスでブランドのロゴを表示する（任意）

結果の読み方

100点満点の評価 は、保護の状態をまとめたものです。なりすましを防ぐのはSPFと、特にDMARCなので、この2つの比重がもっとも大きくなっています。MTA-STSとBIMIは加点項目です。DKIMは、鍵が見つかった場合か、セレクターを入力した場合だけ評価に入ります。

SPFが「-all」または「~all」：正しい設定です。「-all」は一覧にないサーバーの拒否を、「~all」は疑わしいという印を付けることを求めます。DMARCが有効なら、どちらでも十分に守れます。
SPFが「?all」「+all」、または最後のルールなし：SPFはあっても保護になっていません。「+all」は誰にでも送信を許すため、むしろ危険です。
SPFが複数：新しいサービスを追加したあとによくある誤りです。1件にまとめる必要があります。
DMARCが「p=none」：監視モードです。レポートは届きますが、なりすましメールは通ります。途中の段階であって、ゴールではありません。
DMARCが「quarantine」または「reject」：なりすましメールは迷惑メールに振り分けられるか、拒否されます。これが目標です。
「rua」レポート：これがないと、誰があなたのドメインの名前で送信しているのかわかりません。

DKIMにセレクターが必要な理由

メールサービスはそれぞれ、自分で決めた名前の下にDKIM鍵を公開します。これが セレクター です。Google Workspaceなら google、Microsoft 365なら selector1 と selector2 で、ほかのサービスでは別の名前です。DNSではこうした名前を一覧で取得できません。ツールはよく使われる名前を試しますが、見つからなくてもDKIMがないとは限りません。

自分のセレクターを知るには、自分のドメインから送ったメールを開いてヘッダーを表示し、DKIM-Signature の行を探します。s= のあとの値がセレクター、d= のあとの値が署名したドメインです。Boxoのメールヘッダー解析ツールを使うと読みやすくなります。

なぜ重要なのか

メールのしくみでは、「差出人」欄にどんなアドレスでも書けてしまいます。認証がなければ、詐欺師はあなたの会社から届いたように見える偽の請求書や、偽のパスワード通知を送れます。被害を受けるのはお客様であり、あなたの会社の評判です。

もうひとつの問題は、メールが届くかどうかです。2024年から、GmailとYahooは大量送信者に対して、SPF、DKIM、DMARCによるメールの認証を求めています。小さなドメインでも、SPFがない、または壊れていると、正規のメールが迷惑メールフォルダーに入ってしまうことがよくあります。

対策の手順

メールを送るものをすべて洗い出す：メールサービス、Webサイト、メルマガ配信ツール、請求書発行ソフト、CRMなど。
SPFを1件だけ公開する：それらすべてを許可し、~all で終えます。ツールが提案するレコードは出発点なので、環境に合わせて調整してください。
各サービスでDKIMを有効にする：追加すべきレコードは各サービスが教えてくれます。
**DMARCを p=none で公開する**：rua アドレスを設定し、数週間レポートを確認します。
**p=quarantine、次に p=reject へ強化する**：正規の送信がすべて認証を通過するようになってから進めます。

ブランドを守るために取得しただけのドメインなど、メールをまったく送らないドメインもロックしておく必要があります。v=spf1 -all と v=DMARC1; p=reject; を設定しましょう。そうしないと、誰も監視していないからこそ、なりすましの格好の標的になります。

DNSの変更が反映されるまでには、数分から数時間かかります。反映後にもう一度診断して確認してください。

使い捨てアドレスを取得する

よくある質問

ツールはメールを送ったり、ドメインのサーバーに接続したりしますか？

いいえ。読み取るのは公開されているDNSレコードだけで、どのメールサービスもメールを受信するときに確認しているものと同じです。メールは一切送信されません。

SPFは「-all」と「~all」のどちらにすべきですか？

DMARCが有効なら、どちらでも問題ありません。「~all」は、送信に使うサービスの登録漏れがあっても許容されるので、設定中に向いています。送信元をすべて登録できたら、より厳格な「-all」にしましょう。

ツールがDKIM鍵を見つけられないのはなぜですか？

DKIM鍵は、メールサービスが決めたセレクターの下に公開されており、DNSでは一覧で取得できないためです。専用の欄にセレクターを入力してください。自分のドメインから送ったメールのDKIM-Signatureヘッダーで、「s=」のあとに書かれています。

DMARCを「reject」にすると、自分のメールまでブロックされますか？

はい、送信に使うサービスのどれかがSPFで許可されていない、またはDKIMで署名されていない場合はブロックされます。そのため、まず「p=none」から始め、レポートを確認してからポリシーを強化することが大切です。