SPF・DKIM・DMARC がそれぞれ何を検証しているのかを整理し、三つを組み合わせる理由を解説。転送で SPF が失敗する仕組み、DMARC のアライメント、none から reject へ段階的に進める運用、情報処理安全確保支援士試験での問われ方まで。
メールは、差出人を名乗るだけで送れてしまう仕組みの上に成り立っています。そこで、送信ドメイン認証と呼ばれる三つの仕組み——SPF・DKIM・DMARC——を組み合わせて、なりすましを見分けます。三つは役割が違い、どれか一つでは足りません。情報処理安全確保支援士試験では、この役割分担がそのまま設問になります。
SPF は、メールを送ってきたサーバの IP アドレスが、そのドメインの DNS に登録された許可一覧に含まれるかを検証します。ドメインの持ち主が「うちのメールはここから出ます」と宣言しておく形です。仕組みが単純で導入しやすい一方、弱点があります。メールが転送されると、送ってくるサーバが転送元に変わるため、検証に失敗しやすくなります。
DKIM は、送信側が本文と一部のヘッダに電子署名を付け、受信側が DNS で公開された鍵で検証します。経路ではなく中身に付いた署名なので、転送されても検証できることが多くなります。ただし、転送の途中で本文やヘッダが書き換えられると失敗します。
ここが要点です。SPF も DKIM も、利用者が画面で目にする差出人（ヘッダの From）そのものは見ていません。SPF が見るのは配送のためのエンベロープの差出人、DKIM が見るのは署名の対象ドメインです。つまり、SPF や DKIM に通っていても、見える差出人だけを別のドメインに詐称することが原理的にできてしまいます。
DMARC は、見える差出人のドメインと、SPF や DKIM で検証されたドメインが揃っているか（アライメント）を確かめます。そのうえで、検証に失敗したメールをどう扱うかの方針をドメインの持ち主が宣言し、受信側がそれに従います。検証結果の報告を受け取る仕組みもあり、自ドメインを騙るメールがどれだけ流れているかを把握できます。
| 方針 | 受信側の動作 | 使いどころ |
|---|---|---|
| none | そのまま配送し、報告だけ受け取る | 導入直後。正規の送信元を洗い出す段階 |
| quarantine | 受信者へ届けず隔離する | 洗い出しが済み、誤判定を確かめたい段階 |
| reject | 受信を拒否する | 正規の送信元をすべて把握できた後 |
いきなり reject にすると、把握できていなかった正規の送信元（業務システムや外部サービスからの通知など）が止まり、業務に影響します。none で報告を集め、正規の送信元をすべて SPF と DKIM に載せてから、quarantine を経て reject へ進めるのが実務の手順です。
見落とされがちなのが、判定はできていたのに配送の扱いに繋げていない、という状態です。ゲートウェイが SPF の softfail を記録しているのに設定が「そのまま配送」のままだと、判定の意味がありません。ログに判定結果が残っているだけでは対策になっていない、という点は午後問題でも問われます。
# ゲートウェイの設定（考え方）
spf_check = on
spf_softfail = deliver # 判定はしているが、そのまま届けている
spf_softfail = quarantine # 届けず、管理者の確認待ちにする
なりすまし対策とは別に、盗み見への対策も要ります。ここでも役割の違いが問われます。STARTTLS はサーバ間の経路を暗号化しますが、経由するサーバの上では平文に戻ります。相手まで中身を守るには、S/MIME や PGP のようにメールそのものを暗号化する仕組みが要ります。
ビジネスメール詐欺のように、正規のドメインから、あるいは似せたドメインから、業務に即した文面で送られてくる攻撃は、技術的な判定だけでは止められません。振込先の変更などの重要な連絡は、メール以外の手段で確認する、複数人の承認を必要とする、といった業務手順で受け止めます。午後問題では「運用面の対策」として、この種の手順を書かせる設問が出ます。
午後問題では、メールゲートウェイのログを読ませて「なりすましと判断した根拠」「同じ添付を受け取った他の利用者への対応」「入口を狭める設定」を順に書かせる構成が典型です。SPF・DKIM・DMARC の役割を混同しない、判定結果を配送の扱いに繋げる、段階的に厳しくする理由を説明できる、この三点を押さえておけば大きく崩れません。午前Ⅱでは、三つの仕組みが何を検証するかを入れ替えた選択肢で問われます。
IPA 公式：過去問題（情報処理安全確保支援士試験） ↗各年度の問題冊子・解答例・採点講評の PDF を、公式サイトで確認できます。