メール
メール認証とは、受信側のメールサーバーが、メッセージが名乗っているドメインから本当に送られたものかを確認できるようにする、DNSベースの標準規格の総称です。中核となる3つのプロトコルがSPF、DKIM、DMARCです。これらを組み合わせることで、攻撃者によるドメインのなりすましを防ぎ、メールが正規のものであることをメールボックスプロバイダーに示せます。今では、受信トレイに届くための前提条件となっています。
定義
メール認証は、ドメインのDNSにレコードとして公開される一連の技術標準で、メールメッセージの送信元と完全性を検証します。メールはもともと送信者の確認を想定して作られていないため、初期状態では誰でもFromフィールドに任意のアドレスを入れられます。認証は、あなたのドメインを名乗るメッセージが本当にそのドメインによって承認されたものかを受信サーバーが確認できるようにし、この穴をふさぎます。
この役割を担うのが3つのプロトコルです。SPF（Sender Policy Framework）は、ドメインに代わって送信を許可されたメールサーバーを宣言します。DKIM（DomainKeys Identified Mail）は、各メッセージに暗号署名を付加し、改ざんされておらずドメインから送信されたことを受信側が確認できるようにします。DMARC（Domain-based Message Authentication, Reporting and Conformance）は、これらのチェックを受信者が実際に目にするアドレスに結び付け、失敗したメールの扱い方を受信側に指示します。関連する標準規格のBIMIは、DMARCが適用されると認証済みのブランドロゴを表示できますが、この仕組みを置き換えるものではなく、その上に成り立つものです。
認証は送信ドメインの特性であり、ドメイン所有者がDNSで設定します。受信者が設定するものではなく、リスト上の受信者が実在するかという問題とも別物です。その2つ目の問題を担うのがメール検証であり、この2つがよく並べて語られるのはそのためです。
仕組み
各プロトコルは、受信サーバーがメッセージを受け付ける時点で実行されます。SPFは、ドメインのメール送信を許可されたIPアドレスとサーバーを列挙したDNSレコードによって機能します。メッセージが届くと、受信サーバーは送信サーバーのIPアドレスを確認し、公開されているSPFレコードと照合します。IPが記載されていればSPFは合格、なければ失敗です。
DKIMは公開鍵暗号によって機能します。送信システムが秘密鍵で送信メッセージに署名してメッセージヘッダーに署名を付加し、対応する公開鍵をDNSに公開します。受信サーバーは公開鍵を取得して署名を検証し、2つのことを同時に確認します。メッセージがあなたのドメインによって署名されたこと、そして署名された部分が送信途中で変更されていないことです。
DMARCはその上に位置し、アラインメントという概念を加えます。SPFとDKIMはそれぞれドメインを認証しますが、そのドメインが受信者のFrom行に表示されるドメインと同じとは限りません。DMARCは、認証されたドメインが表示上のFromドメインとアラインメントしていることを求めます。これにより、攻撃者が自分の管理するドメインで認証に合格しつつ、表示上のアドレスであなたのドメインを詐称することを防げます。DMARCレコードはポリシーも公開します。p=noneは受信側に監視とレポートのみを求め、p=quarantineは失敗したメールを疑わしいものとして扱うよう求め、p=rejectはブロックするよう求めます。さらにDMARCは、あなたのドメインでメールを送信しているのは誰かを示す集計レポートを生成し、設定ミスや悪用の発見に大いに役立ちます。
メール
メール認証は、ベストプラクティスから必須要件へと変わりました。GmailとYahooは、認証を配信の前提条件とする送信者要件を適用しています。すべての送信者に、SPFまたはDKIMに加え、有効な逆引きDNS、正しく設定されたPTRレコード、TLSで暗号化された送信が求められます。Gmailアドレス宛てに1日およそ5,000通以上を送信する一括送信者には、さらに追加の義務があり、DMARCレコードの公開、ドメインアラインメントの合格、マーケティングメールでのワンクリック配信停止の提供が必要です。Yahooもほぼ同様のルールを適用しており、一括送信者には迷惑メールの苦情率を0.30%未満に抑えることを求めています。現時点ではp=noneのDMARCポリシーでもDMARC要件を満たしますが、適用を強化していくことで、なりすましに対するより強固な保護が得られます。
プロバイダーが認証を求める理由は信頼です。認証によって、受信側はあなたのドメインを名乗るメールが本当にそのドメインからのものだと確信でき、フィッシングやビジネスメール詐欺で使われるドメインそのもののなりすましを防げます。認証に失敗したメールや、認証をまったく設定していないドメインからのメールは、迷惑メールフォルダに振り分けられたり、完全に拒否されたりする可能性がはるかに高くなります。
認証にできることとできないことを正確に理解しておくことが重要です。認証が証明するのは身元であり、内容を保証するものではありません。スパム送信者も、自分が所有するドメインを認証できます。つまり、認証は良好な到達率に必要ですが、それだけでは十分ではありません。メールボックスプロバイダーは、認証に加えて送信者の評価、受信者のエンゲージメント、コンテンツ分析を組み合わせて判断します。認証は入口を通るためのもので、どのフォルダに届くかを決めるのは評価とエンゲージメントです。
VeriMailsでの
メール認証とメール検証は、信頼できる送信を支える両輪であり、パイプラインの両端をカバーします。認証は送信元のドメインに関するもので、DNSで設定します。検証は送信先のアドレスに関するもので、VeriMailsが直接担う部分です。両方がそろっている必要があります。完璧に認証されたドメインでも、存在しないアドレスだらけのリストに送信すれば、受信トレイへの到達率は下がります。バウンスや苦情によって、プロバイダーが認証とあわせて重視する送信者の評価が損なわれるためです。
VeriMailsは受信者リストを検証し、リストの品質の低さによって認証の効果が損なわれないようにします。各アドレスは、構文チェック、MXおよびDNSの確認、受信側メールサーバーとのライブSMTPハンドシェイク、キャッチオールドメイン・使い捨てアドレス・ロールベースアドレスの検出という、多層的なチェックを通過します。無効なアドレスを取り除くことでハードバウンス率を抑えられます。低いバウンス率は、認証済みのメールが受信トレイに届くか迷惑メールフォルダに入るかを左右する評価シグナルのひとつです。リスト全体をCSVでアップロードして検証することも、REST APIで1件ずつチェックすることもできます。VeriMailsは、APIでも一括処理でも明確な到達性カテゴリで結果を返します。
VeriMailsは、認証そのものに役立つ無料ツールも提供しています。SPFジェネレーター、DKIMジェネレーター、DMARCジェネレーターを使えば、ドメインに合った正しいDNSレコードを作成できます。認証で正規の送信者であることを示し、検証でリストをクリーンに保てば、その信頼を維持できます。新規アカウントには登録時に100クレジットが無料で付与され、クレジットカードは不要、クレジットに有効期限はありません。検証は1件あたり0.0019ドルから（10,000クレジットで19ドル）、年払いプランなら月額$12.50からご利用いただけます。