SPF・DKIM・DMARCの違いとは　なりすましメールを防ぐ3つの送信ドメイン認証の役割と設定

SPF、DKIM、DMARCは、メールが本当にそのドメインから送られたかを、受け取る側が確かめるための仕組みです。 3つをまとめて「送信ドメイン認証」と呼びます。このページでは、3つの仕組みと、それが防ぐ「なりすましメール」の4語を説明します。

用語（英語／日本語）	何の略か	確かめること	置き場所
SPF	Sender Policy Framework	送ってきたサーバーが、許可されたサーバーか	DNSのTXTレコード
DKIM	DomainKeys Identified Mail	メールに付いた電子署名が正しいか	DNSのTXTレコード（公開鍵）
DMARC	Domain-based Message Authentication, Reporting and Conformance	SPFとDKIMの結果と差出人の表示が合うか。合わないときの扱い	DNSのTXTレコード（`_dmarc`）
なりすましメール（Email Spoofing）	略語ではない	（上の3つで防ぐ相手）	なし

DNSとは、ドメイン名とサーバーを結びつける、インターネットの住所録です。 3つの設定は、どれもこの住所録に書き込みます。

これらはWebサイトの脆弱性ではないため、OWASP Top 10:2025 の分類には当てはまりません。

SPF（Sender Policy Framework）

何の略か Sender Policy Framework の略です。
日本語では 「SPF」と書きます。「エスピーエフ」と読みます。
一言の定義 そのドメインのメールを送ってよいサーバーの一覧を、DNSに書いて公開する仕組みです。
どんなリスクがあるか SPFがないと、受け取る側は、送ってきたサーバーが正規のものかを判断できません。一覧に入れ忘れたサービス（問い合わせフォームの送信や、メール配信のサービス）から送ったメールは、迷惑メールに入ることがあります。
影響を受ける運用 自社のメールサーバーのほかに、メール配信のサービスやフォームの送信サービスを使っている会社です。
実際の事例 確認できませんでした。
分類番号 CWE-290（なりすましによる認証の回避）です。仕様は RFC 7208 です。

何の略か DomainKeys Identified Mail の略です。
日本語では 「DKIM」と書きます。「ディーキム」と読みます。
一言の定義 送るメールに電子署名を付け、署名を確かめる鍵をDNSで公開する仕組みです。
どんなリスクがあるか DKIMがないと、メールが途中で書き換えられていないかを、受け取る側が確かめられません。転送されたメールは、SPFでは失敗しやすくなります。DKIMの署名は転送でも残りやすいため、SPFを補えます。
影響を受ける運用 メールのサービスでDKIMの署名を有効にしていない会社です。
実際の事例 確認できませんでした。
分類番号 CWE-290（なりすましによる認証の回避）です。仕様は RFC 6376 です。

何の略か Domain-based Message Authentication, Reporting and Conformance の略です。
日本語では 「DMARC」と書きます。「ディーマーク」と読みます。
一言の定義 SPFとDKIMの結果が、メールの差出人の表示（From）と合っているかを確かめる仕組みです。合わないメールの扱いと、結果の報告先も、ドメインの持ち主が決めます。
どんなリスクがあるか SPFとDKIMだけでは、差出人の表示を偽ったメールを止めきれません。DMARCがないと、受け取る側は、合わないメールをどう扱うかを決められません。
影響を受ける運用 1日に大量のメールを送る会社です。Googleは、Gmailあてに1日5,000通を超えて送る送信者に、SPF、DKIM、DMARCの3つすべてを求めています。
実際の事例 確認できませんでした。
分類番号 CWE-290（なりすましによる認証の回避）です。仕様は RFC 7489 です。

何の略か 略語ではありません。
日本語では 「なりすましメール」と書きます。「送信元の詐称」とも言います。
一言の定義 差出人の表示を偽り、別の会社や人が送ったように見せかけたメールです。
どんなリスクがあるか 取引先や顧客が、自社の名前のメールを信じて、偽のサイトでパスワードを入れたり、偽の口座に振り込んだりするおそれがあります。
影響を受ける運用 会社のドメインでメールを使っているのに、SPF、DKIM、DMARCのどれかを設定していない会社です。メールを送っていないドメインも、なりすましに使われることがあります。
実際の事例 個別の会社の被害事例は、確認できませんでした。
分類番号 CWE-290（なりすましによる認証の回避）です。

確かめるのは、自分が管理するドメインだけにします。次のコマンドで、DNSに書かれた設定を見られます。example.com は自分のドメインに置き換えます。

nslookup -type=TXT example.com
nslookup -type=TXT _dmarc.example.com

1行目の結果に v=spf1 で始まる行があれば、SPFは設定されています。
2行目の結果に v=DMARC1 で始まる行があれば、DMARCは設定されています。
DKIMは、メールのサービスごとに名前（セレクタ）が違います。受け取ったメールのヘッダーにある DKIM-Signature の s= の値で確かめます。

プロンプト駅の「メール認証とDNSの点検」に、DNSの設定を貼ると、足りない点をAIに出させる文を作れます。

メールを送るサーバーとサービスをすべて洗い出し、SPFの一覧に入れます。
使っているメールのサービスで、DKIMの署名を有効にします。
DMARCは、まず p=none（何もせず報告だけ受け取る）で始めます。報告で正規のメールが合格しているのを確かめてから、p=quarantine（迷惑メールに入れる）や p=reject（受け取らない）へ強めます。
メールを送らないドメインには、SPFで v=spf1 -all（どこからも送らない）と書きます。

Google「メール送信者のガイドライン」（Gmail ヘルプ） https://support.google.com/mail/answer/81126
IETF「RFC 7208 Sender Policy Framework (SPF)」 https://www.rfc-editor.org/rfc/rfc7208
IETF「RFC 6376 DomainKeys Identified Mail (DKIM) Signatures」 https://www.rfc-editor.org/rfc/rfc6376
IETF「RFC 7489 Domain-based Message Authentication, Reporting, and Conformance (DMARC)」 https://www.rfc-editor.org/rfc/rfc7489