DMARC adkim タグとは
DMARC adkim タグは、受信サーバーが受信メッセージを検査する際に、DKIMアライメントをどの程度厳格に評価するかを定義します。
このタグは、DKIM署名に使われたドメインが、表示される「From」アドレスのドメインと完全に一致しなければならないのか、それともサブドメインの一致でも許容されるのかを、受信側のシステムに伝えます。
このタグは、メッセージがDMARC認証に合格するかどうかを判断するうえで重要な役割を果たします。
adkim タグの仕組み
adkim タグはDMARC DNSレコードに記述され、次の2つの値のいずれかを取ります。
adkim=r - relaxed（緩和）モード。 署名ドメインと「From」ドメインが同じ組織ドメインを共有していれば、DKIMは合格します。たとえば、mailer.example.com からのメールは example.com とアライメントが成立します。adkim=s - strict（厳格）モード。 ドメインが完全に一致する場合にのみDKIMは合格します。たとえば、strictモードでは mailer.example.com は example.com とアライメントが成立しません。
DMARCレコードの例：
v=DMARC1; p=quarantine; adkim=s; aspf=r; rua=mailto:dmarc@reports.example.com
この例では、DKIMアライメントはstrict、SPFアライメントはrelaxedに設定されています。
適切なアライメントモードの選び方
適切な adkim の設定は、ドメインの構成と、組織がどのようにメールを送信しているかによって決まります。
- relaxedアライメント（
adkim=r）は最も一般的な設定で、セキュリティを維持しながらサブドメイン送信元にも柔軟に対応できます。
- strictアライメント（
adkim=s）はより厳密な制御となり、なりすまし対策も強固になりますが、正確なドメイン一致が求められるため、サブドメインが完全に設定されていない場合は認証失敗が増える可能性があります。
多くの組織は、まずrelaxedアライメントから始め、すべての正規の送信元が適切に認証されていることを確認したうえで、strictへ移行します。
DMARC adkim と DMARCeye
DMARCeyeは、すべての送信元でDKIMアライメントがどのように動作しているかを可視化します。
DMARC集約レポートを分析することで、DMARCeyeは現在の adkim モードのもとでどの送信元がアライメントに合格または失敗しているかを特定します。これにより、潜在的なアライメントの不一致を見つけ、DKIM署名を調整し、適切な適用レベルを自信を持って選択できます。
こうした知見によって、正規のメール配信を妨げることなくセキュリティを高めながら、relaxedからstrictアライメントへ戦略的に移行できます。