DKIM署名ドメイン管理
最終更新日:2022年11月30日
1. 概要
DKIMは、電子署名を付けたメールを配信し、受信者が電子署名を認証することによって、受信したメールが正当な送信者によって配信されたメールであること、メール本文が改ざんされていないことを確認できる技術です。
スパイラルから配信する全てのメール(※)はDKIM署名を付与して送信します。
スパイラルからのメール配信において、デフォルトの設定ではスパイラルのドメインが署名した「第三者署名」で配信が可能となるため、
その場合メール作成者であるユーザ側で必要な対応作業はありませんが、ユーザによる署名である「作成者署名」にて署名いただくことも可能です。
作成者署名をする場合は、SPIRAL側、およびユーザ側で管理しているDNS側の設定が必要となります。
スパイラル側ではメニューの「DKIM署名ドメイン管理」の新規作成ボタンから、キーペア（秘密鍵／公開鍵）の生成・登録、署名ドメインの登録ができ
スパイラル側での登録後、公開鍵をDNSに公開する必要ございます。スパイラル、及びDNS側の設定完了後に「作成者署名」で署名したメールをスパイラルから配信できるようになります。
※メールグループで設定するメール
2. DKIM署名の設定
画面の「メール」をクリックします。
DKIM署名ドメイン管理をクリックします。
作成したDKIM署名ドメインの一覧が表示されます。
新しく設定する場合は「新規作成」ボタンをクリックします。
差出人メールアドレスに使用するドメインを登録し、同時に署名に使用するキーペアを生成します。
スパイラルではキーペア自動生成ツールを提供していますが、ユーザが生成したキーペアを登録することも可能です。
「セレクタとドメイン」：セレクタとは、ドメインが署名する際に異なるキーペアでも、署名検証時に区別できるようにする為のものです。
署名に使用する鍵は１年程度を目処に交換することを推奨します。
同一ドメインが異なるキーで署名するケースとして鍵の交換時や、送信システム別に鍵を分ける場合などが想定されます。
セレクタとドメインの組み合わせはユニーク（重複不可）です。
なお、差出人メールアドレスが異なる場合でも、ドメインが同一の場合は同じドメインによる署名が可能です。
「コメント」：設定にコメントをつけることができます。
「キーペア生成」：署名に使用するキーペアを生成し登録します。２種類の登録方法をご用意しています。
（１）スパイラル
スパイラルがキーペアを自動生成します。
生成する鍵長のサイズを選択します。
※ 2048bitを選択した場合は、暗号レベルは高くなりますが、署名負荷が高くなる為、配信速度に影響する場合があります。ご了承ください。
（２）ユーザー
ご用意いただいた秘密鍵と公開鍵のキーペアを登録してください。
1024bitまたは2048bitの鍵を生成してください。
※ 2048bitの場合は、暗号レベルは高くなりますが、署名負荷が高くなる為、配信速度に影響する場合があります。ご了承ください。
設定が完了したら「登録する」ボタンをクリックします。
登録したセレクタが一覧に表示されます。
「初期選択」にチェックがついているセレクタが、配信時の設定の際にデフォルトで選択されます。
■登録したセレクタの「鍵設置」が×になる場合
設定したセレクタの「鍵設置」が×になる場合には、以下のような可能性が考えられます。
原因 ：DNSサーバ側に記述した内容に誤りがある場合（例：公開鍵の末尾が欠損している場合/公開鍵の末尾に不要な値が記載されている場合 など）
確認方法：DNSサーバにご登録いただいたTXTレコードの内容について、DKIM署名ドメインの登録画面からダウンロードした値と
差異がないかなどをご確認ください。
※上記原因は一例となります。DNSサーバ側をご確認いただいた上で問題等ない場合には、ユーザーズデスクよりお問い合わせください。
DNSサーバ側の確認につきましては、DNSサーバの管理担当者様、もしくはユーザーズデスクにご確認ください
3. 公開鍵の宣言
公開鍵は、DKIM署名ドメインの登録画面からダウンロード可能です。
DNSサーバへの公開鍵の登録については、貴社のDNSサーバ管理担当者様に「DNSサーバにTXTレコード」を登録することについてご相談ください。
DNSサーバに登録するTXTレコードの記述例
D20101215-spiral01 <セレクタ>
example.com <署名ドメイン>
MIGfMA0GCSqGSIb3…(省略) <公開鍵データ>
4. 配信時の設定
DNSサーバへの公開鍵の登録後、配信設定のメールヘッダ情報設定にて登録した作成者署名を選択すると、作成者署名でメールを送信できるようになります。
作成者署名が選択され認証に成功している場合、「送信元認証」は黄色、もしくは青色の信号になります。
※信号については「送信元認証」をご確認ください。
5. 受信メールでの確認
メール受信時にDKIM認証を実施しているメールサービス(ex.Gmail)にテストメールを送信し、受信メールのヘッダからDKIM署名の内容と認証結果を確認することができます。
［ヘッダに記載されるDKIM署名と認証結果］
| ヘッダ | 記載例 | 確認点 |
|---|---|---|
| DKIM-Signature: | v=1; a=rsa-sha1; c=relaxed/relaxed; d=example.com; s=D20101215-spiral01; t=1282117486; bh=fK0VLNXFVdGze | 署名の確認 ・署名ドメイン（d=)を確認する。 スパイラルで署名している場合は「smp.ne.jp」、作成者署名の場合はFromアドレスのドメインと一致していること。 ・セレクタ(s=)がDNSに設置したセレクタと一致していること。 |
| Authentication-Results: | mx.google.com; spf=pass smtp.mail=spiral-error@smp.ne.jp dkim=pass header.i=@pi-pe.co.jp | 認証結果の確認 ・認証結果(dkim=)が「pass」となっていること。 |
その他の認証結果に、以下のようなものがあります。
| 認証結果 | 説明 |
|---|---|
| none | DKIM署名が付与されていない。 |
| neutral | DKIM署名が付与されているが、文法の誤りなどで照合できない。 |
| pass | DKIM署名が付与されていて、受信者にとって受け入れられるものであり、かつ、照合に成功した。 |
| policy | DKIM署名が付与されているが、ローカルポリシーによって受け入れられない。 |
| fail | DKIM署名が付与されていて、受信者にとって受け入れられるものであるが、照合と認証に失敗した。 |
| temperror | 一時的な問題で認証処理が実行できなかった。 |
| permerror | 永続的なエラーで認証処理を実行できなかった。 |
上記の認証結果はRFC5451をもとに作成しています。 認証結果はメール受信サーバが記述するため、受信側の仕様によっては結果の記述に差異がございます。