第三者が自社ドメインを差出人に使い、不正なメールを送る「なりすまし」への対策を扱います。

SPF・DKIM・DMARCを設定すると、受信側のメールサーバーはメールが自社で許可した送信元から届いたものかを確認できます。認証に失敗したメールを隔離または拒否する方針も、ドメインの管理者が示せます。

ただし、これらは第三者が差出人欄へ自社ドメインを書く行為そのものを止める仕組みではありません。受信側で偽装を判定し、不正メールが相手へ届くリスクを下げる仕組みです。

最初に正当な送信元をすべて確認する

Google Workspace以外に、問い合わせフォーム・請求サービス・予約システム・メール配信サービスなどが会社ドメインから送信していないか確認します。各サービスの管理者と使用しているFromアドレスも記録してください。

この確認をせずに認証を厳しくすると、自社が使用している正当なサービスまで、なりすましと判定される可能性があります。DNS管理者だけで判断せず、Webサイトや業務システムの担当者にも送信元を確認します。

使用を終了したサービスは、メールを送っていないことを確認したうえで認証設定から外します。変更前のDNSレコードと送信元一覧は、切り戻せるように保存してください。

SPFで送信を許可するサーバーを示す

SPFは、そのドメインに代わってメールを送信できるサーバーをDNSで示す仕組みです。受信側は、メールの送信元がSPFで許可されているかを確認します。

Google Workspaceだけから送る場合は、Google公式が案内するSPFを使用できます。フォームや外部サービスからも送る場合は、それらの正当な送信元を同じSPFレコードへ含める必要があります。

同じドメインへサービスごとのSPFレコードを複数作成しないでください。既存の値へ必要な送信元を統合します。不要な送信元を残すと、そのサービスから会社ドメインを使って送信できる状態が続くため、利用終了時の見直しも必要です。

DKIMで正規の送信メールへ署名する

DKIMは、送信メールへ電子署名を付ける仕組みです。受信側はDNSに公開された鍵を使い、署名が正しいことと、送信後にメールが改変されていないことを確認します。

Google Workspaceでは、管理コンソールでDKIM鍵を生成し、指定されたTXTレコードをDNSへ追加します。公開を確認してから管理コンソールで認証を開始し、外部のメールアドレスへテストメールを送ってDKIMの結果を確認します。

問い合わせフォームや配信サービスは、Google Workspaceとは別のDKIM設定が必要になる場合があります。GoogleのDKIMを有効にしただけで、すべての送信経路へ署名されるわけではありません。

DMARCで偽装メールの扱いを指定する

DMARCは、メールに表示されるFromドメインと、SPFまたはDKIMで認証されたドメインの一致を確認します。認証に失敗したメールを通常配信するか、隔離するか、拒否するかを受信側へ示します。

Google公式では、DMARCを設定する前にSPFとDKIMを設定し、48時間空けるよう案内しています。最初は p=none でレポートを収集し、正当な送信元が認証に合格しているかを確認します。

問題のない送信元を確認できたら、対象割合を限定しながら quarantine、次に reject へ段階的に進めます。最初から一律に拒否すると、把握していなかった正当なフォームメールや配信メールまで届かなくなるおそれがあります。

DMARCの方針は受信側のサーバーが参照して処理します。reject を公開しても、送信者の端末やサーバーから不正メールが送信される動作自体を停止するものではありません。

外部宛てテストとDMARCレポートで確認する

Google Workspace・問い合わせフォーム・配信サービスなど、正当な送信経路ごとに外部宛てのテストメールを送ります。受信したメールのソースを開き、SPF・DKIM・DMARCの結果と認証ドメインを確認してください。

DMARCレポートでは、自社が把握している送信元と、それ以外の送信元を分けて確認します。見覚えのない送信元がある場合も、すぐに不正と断定せず、委託先や利用中のサービスに該当しないかを調べます。

正当なメールが失敗した場合は、DMARCを p=none へ戻すか、適用割合を下げます。そのうえで失敗している送信経路のSPFまたはDKIMを修正します。変更前のレコード、操作時刻、確認結果を残してください。

アカウントの乗っ取りは別の対策が必要

第三者が正規のGoogle Workspaceアカウントへログインして送信した場合、そのメールはSPFやDKIMに合格する可能性があります。SPF・DKIM・DMARCだけでは正規アカウントの不正利用を防げません。

利用者と管理者には2段階認証を適用し、不要なアカウントや委託先の権限を残さない運用が必要です。実際に身に覚えのない送信が見つかった場合は、メール認証の変更だけで済ませず、ログイン状況・転送設定・管理者権限も確認します。

DNSの文字列ではなく送信経路から設計する

自社ドメインのなりすまし対策は、SPF・DKIM・DMARCの値をコピーするだけでは完了しません。正当な送信元を整理し、それぞれの認証結果を確認してから、受信側へ示すDMARC方針を段階的に強めます。

フォームや外部サービスを含む送信経路を把握できない場合は、厳格な設定へ進む前に整理が必要です。Google Workspace導入支援への相談では、現在の送信元とDNSを確認したうえで、不正メール対策の初期設定を支援します。