DKIMレコードジェネレーター

DKIMレコードを正しく準備する方法

DKIMレコードは、ドメインのルートに直接ではなく、セレクターの下に公開されます。セレクターとはメールサービスが設定する短いラベルで、例としては google、 selector1、 s1、またはmailなどがあります。完全なDNSホストは通常selector._domainkey.example.comのような形になります。TXT値には、メールサービスが署名に使う秘密鍵に対応する公開鍵が含まれます。

送信サービスからセレクターと公開鍵は提供されたものの、DNSプロバイダーにそのままコピー＆ペーストできる形式で入力する必要がある場合に、このジェネレーターをご利用ください。base64形式の公開鍵は、証明書の開始行と終了行を除いて貼り付けてください。生成される値は標準的なDKIM TXTの形式で、v=DKIM1、鍵の種類、公開鍵を含みます。

公開鍵を自分で作ってはいけません。メールの署名に使う秘密鍵は送信プラットフォームが管理しているため、公開鍵もそのプラットフォームから取得する必要があります。自社でメールサーバーを運用している場合は、サーバー上で鍵ペアを生成し、DNSには公開鍵だけを公開してください。秘密鍵は非公開のまま管理し、アクセス権が変わったときは鍵をローテーションしましょう。

DKIMはSPF、DMARC、整備された送信データと組み合わせることで効果を発揮します

DKIMは署名されたメッセージが送信ドメインの公開鍵と一致することを証明しますが、到達率は設定全体に左右されます。 SPF は、承認された送信元を特定します。 DMARC は、認証に失敗したメールをメールボックスプロバイダーがどう扱うか、またSPFやDKIMが表示上のFromドメインとアラインしているかを定義します。

認証を整えたら、受信者リストも健全に保ちましょう。署名付きのメールでも、アドレスが古かったり無効だったりするとバウンスします。大規模なキャンペーンを送信する前に、CSVを一括検証で検証し、可能な限りバウンス率を3%未満に抑えてください。バウンス率が3-5%の範囲に入った場合は、次の送信前にリストをクリーニングしましょう。5%を超えると高リスクです。

実践的なDKIM設定チェックリスト

DKIMレコードを公開する前に、そのセレクターが実際にメッセージに署名する送信元のものであることを確認してください。多くのチームでは、Google Workspace用、Microsoft 365用にそれぞれセレクターを使い分け、SendGrid、Mailgun、Postmark、Amazon SESなどのプラットフォームにも個別のセレクターを用意しています。セレクターを分けておくと、どのサービスがどの鍵を管理しているかを特定できるため、トラブルシューティングが容易になります。

公開後はDNSの反映を待ってから、セレクターを確認します。レコードが参照できるのにメールのDKIMが失敗する場合は、テストメッセージを送信して認証ヘッダーを確認してください。送信元が想定どおりのセレクターで署名しているのか、古い鍵を使い続けているのかがわかります。