DKIMドメイン（d=）とは

DKIMドメイン（d=）とは

DKIM ドメインは、DKIM 署名内の d= タグで表され、メールメッセージに責任を負うドメインを識別します。このドメインは DKIM-Signature ヘッダに現れ、受信メールサーバーがメッセージの真正性を検証するために使用します。メッセージの完全性を保証する主体を定義するため、DKIM において最も重要なフィールドの一つです。

送信者のメールサーバーが DomainKeys Identified Mail（DKIM）を使ってメッセージに署名すると、署名には d= の値、セレクタ（s=）、およびメッセージの暗号ハッシュが含まれます。受信サーバーは、セレクタを使って正しいレコードを見つけ、DNS からそのドメインの公開鍵を取得し、署名を検証します。検証に成功すると、受信者は、そのメッセージが署名後に改ざんされておらず、記載されたドメインから発信されたものであると信頼できます。

DKIMドメイン（d=）タグの仕組み

送信される各メッセージには、次のような DKIM-Signature ヘッダが含まれます。

ここでは、d=example.com が、example.com というドメインが署名に責任を負うことを検証者に伝えています。受信サーバーは、次の場所で DNS から公開鍵を参照します。

DNS から取得した公開鍵が、メッセージに署名した秘密鍵と一致すれば、DKIM チェックは合格します。d= の値は、組織の主要ドメインを表すことも、特定のメールストリームやプロバイダー専用のサブドメインを表すこともあります。

認証におけるDKIMドメインの役割

DKIM ドメインは、受信側が DMARC の下でドメインアライメントを判断する仕組みの中心にあります。DMARC がメッセージを評価する際、DKIM 署名内のドメイン（d=）が、表示される送信元ドメインと一致するか、またはそのサブドメインであるかを確認します。両者がアライメントし、かつ DKIM 署名が有効であれば、そのメッセージは DMARC の下で DKIM アライメントに合格します。

一般的な実装上の慣行には次のものがあります。

• すべての送信メールに単一の署名ドメイン（例：d=example.com）を使用する
• 特定のベンダーやシステムに委任したサブドメイン（例：d=mail.example.com）を使用する
• 各署名ドメインが有効な DKIM 公開鍵を DNS に公開していることを確認する
• 一貫したアライメントを検証するため、DMARC レポートで DKIM の結果を監視する

適切に設定しないと、ドメインの不一致により DKIM は合格しても DMARC は失敗することがあります。たとえば、DKIM 署名が d=vendor.com を使用している一方で、送信元ドメインが example.com である場合、そのメッセージは DMARC ポリシーの下でアライメントしないことがあります。

DKIMドメイン（d=）とDMARCeye

DMARCeye は、すべての認証済みトラフィックにわたって DKIM ドメインを解析し、どのシステムやベンダーがあなたを代表してメッセージに署名しているかを明らかにします。各 d= の値を組織ドメインに対応づけることで、DMARCeye はアライメントの状態、鍵の有効性、不一致または信頼できない署名者を可視化します。

このプラットフォームは、署名の成功率を時系列で追跡し、DKIM 鍵の欠落や期限切れについてもアラートを出します。この可視性により、組織はすべての送信者にわたって一貫した認証を確保し、ポリシーのアライメントを維持し、なりすましの試みからブランドの完全性を守ることができます。

ご自身のDKIM設定を確認しましょう：

DMARCeyeの無料トライアルに登録して、メールドメインを保護しましょう。

DMARCおよび関連用語について詳しくは、DMARCeye用語集をご覧ください。