DKIM（ディーキム）とは、メールに電子署名を付与し、なりすましや改ざんを検知する認証技術です。受信側はこの署名を検証することで、そのメールが正規の送信者から送られ、配送途中で内容を書き換えられていないことを確認できます。
DKIMは、SPF・DMARCと並ぶメール認証技術の柱のひとつです。特に2024年2月のGmail・Yahoo!の送信者ガイドライン強化以降、DKIMの設定は「必須」の要件となりました。設定に不備があれば、正規のメールであっても迷惑メール扱いされ、相手に届かなくなるリスクがあります。
本記事では、DKIMの仕組みと公開鍵暗号方式の考え方から、具体的な設定方法・確認方法、SPFやDMARCとの役割の違い、そして到達率を大きく左右する「作成者署名」と「第三者署名」の違いまでを、図解してわかりやすく解説します。
目次
DKIM（ディーキム）とは？
DKIMとは「DomainKeys Identified Mail」の略で、「ディーキム」と読みます。電子メールの送信元が正当であることを証明する送信ドメイン認証技術のひとつです。メールに電子署名を付与し、受信側がその署名を検証することで、「なりすまし」や「改ざん」を見抜く仕組みを提供します。
DKIMはなぜ必要なのか？
DKIMを設定する目的は、大きく「セキュリティの強化」と「到達率の向上」の2つに整理できます。
なりすまし・改ざんを防止できる
DKIMを導入すると、改ざんやなりすましの痕跡がある不正メールを受信側で検出できます。同時に、自社のドメインがなりすましに悪用されにくくなる効果もあります。万が一、自社を装ったフィッシングメールで顧客に被害が及べば、企業の信用は大きく損なわれます。こうしたリスクを抑えるために、多くの企業が送信ドメイン認証技術を導入しています。
メールの到達率が向上する
送信ドメイン認証に対応したメールは、受信側サーバーから「信頼できる送信元」と評価されやすくなります。その結果、迷惑メールフォルダへの振り分けやブロックを受ける可能性が下がり、相手の受信ボックスに届く割合（到達率）が高まります。逆に、認証されていないメールは年々厳しく扱われる傾向にあり、正規のメールであっても届きにくくなっています。
2024年のGmail・Yahoo!ガイドラインで「必須」に
2024年2月から、Google（Gmail）とYahoo!は送信者向けのガイドラインを大幅に強化しました。Gmail宛にメールを送るすべての送信者にSPFまたはDKIMによる認証が求められ、さらに1日5,000通以上を送る「大量送信者」には、SPF・DKIM・DMARCの3つすべての設定が必須とされています。
要件を満たさないメールは、正当なビジネスメールであってもブロックや迷惑メール判定の対象になります。DKIMの設定は、もはや避けて通れない必須対応といえます。Gmailガイドラインの全体像は、以下の記事で詳しく解説しています。
DKIMの仕組み
DKIMは「公開鍵暗号方式」と呼ばれる技術を使って、メールの正当性を保証します。鍵が「秘密鍵」と「公開鍵」の2つで1組になっている点がポイントです。
認証の流れを、順番にみていきましょう。
⓪公開鍵をDNSに公開する（事前準備）
送信側ドメインの管理者の方で、公開鍵の情報をあらかじめDNSに登録しておきます。
①メールに署名を付与する
メールの内容（ヘッダーと本文）からハッシュ値を計算し、それを秘密鍵を使って署名します。生成した署名は、メールのヘッダーに添付されます。
②メールを送信する
署名を添えたメールが、受信側メールサーバーへ送られます。
③公開鍵を取得する
受信側は、メールに記載されたドメインのDNSへ問い合わせ、対になる公開鍵を取得します。
④署名を検証する
取得した公開鍵で署名を確認し、受信したメールから再計算したハッシュ値と照合します。両者が一致すれば 「改ざんされておらず、正規のドメインから送られたメール」と判断できます。
DKIMには「作成者署名」と「第三者署名」がある
ここで、必ず押さえておきたいポイントを説明します。メール配信システムなどの外部サービスを使う場合、DKIMの署名には「どのドメインで署名するか」によって2つの方式があり、どちらかを選ぶ必要があります。
外部のサービスを利用すると、実際にメールを送信するのは「配信サービスのサーバー」です。このとき、署名を配信サービスのドメインで行うか、それとも自社のドメインで行うかという選択が生じます。これが、次の2種類です。
- 第三者署名：配信サービス側のドメインで署名する
- 作成者署名：自社（＝送信元Fromと同じ）ドメインで署名する
第三者署名とは
メール配信システムなどを利用する際に、そのサービス提供事業者のドメインで署名を行う方式です。
たとえば自社ドメインが「A.co.jp」で、メール配信システムのドメインが「B.co.jp」の場合、配信サービス側のドメイン「B.co.jp」が署名に使われます。
作成者署名とは
自社ドメインで署名を行う方式です。
自社ドメインが「A.co.jp」の場合、使っているメール配信システムのドメイン「B.co.jp」にかかわらず、「A.co.jp」のドメインを署名に使います。
DMARC設定のためには「作成者署名」が必須
第三者署名・作成者署名のどちらを使っても、DKIM認証そのものは【pass】となります。
しかし、メールの受信サーバーはDKIM認証とは別に「DKIMアライメント」として、メールの送信元アドレスのドメインが、DKIM署名に使用されたドメインと一致しているかどうかを確認しています。
- 第三者署名の場合：DKIMアライメントが「不一致」
- 作成者署名の場合：DKIMアライメントが「一致」
DKIMと同じメール認証の仕組みの一つであるDMARCの設定をするためには、「SPFアライメントもしくはDKIMアライメントを一致させること」という条件があります。外部のメール配信システムを利用するとき、SPFアライメントは仕組み上不一致となってしまうケースが多いため、DMARCを設定する場合は、必ず作成者署名を選択して、DKIMアライメントを一致させる必要があります。
2024年に定められたGmailの「メール送信者のガイドライン」では、1日5,000通以上の送信者はDMARCの設定が必須とされているため、基本的にはDMARCの設定をする前提で、DKIMは作成者署名を設定するようにしましょう。
DKIMの設定方法（作成者署名）
それでは実際にDKIMの設定方法を見ていきましょう。
ここでは、弊社が提供するメール配信システム「ブラストメール」の設定方法をもとに、作成者署名を設定する方法を解説します。
使用するメール配信システムによって表示画面は異なりますが、大まかな流れとしては3つのステップで進みます。
ステップ①：鍵ペアを作る
メール配信システムの管理画面で送信元のメールアドレスを登録します。
送信元アドレスメニューから対象アドレスの「DKIM設定」を選択します。
画面に従って、以下の項目を記載します。
- 署名の種類：「作成者署名」を選択
- セレクタ：複数のDKIM公開鍵を区別するための名前（識別子）。任意の文字列を設定します。
- ドメイン：自社ドメインを記入
- 秘密鍵と公開鍵：自動生成を選択
鍵ペア（秘密鍵・公開鍵）がシステムによって自動で生成され、「公開鍵の値」が画面に表示されればOKです。
ステップ②：公開鍵をDNSに公開する
「セレクタ」と「公開鍵」をコピーし、DNSサーバーへ以下の記述を設定します。
- ホスト名：【セレクタ名】._domainkey
- TYPE：TXT
- VALUE：v=DKIM1; k=rsa; p=【公開鍵の値】
ステップ③：検証する
DKIMが正しく設定され、機能しているかを確認しましょう。方法は主に3つあります。
1. 受信メールのヘッダーで確認する
もっとも手軽なのが、テストメールを送信し、そのヘッダーを見る方法です。Gmailの場合、対象メールを開いてメニューから「原文を表示」を選びます。
サマリー部分に、DKIM「PASS」と表示され、ドメインに自社のドメイン名が記載されていれば、認証に成功しています。
より詳細には、ソース本文から「Authentication-Results:」と書かれている部分を探し、
dkim=pass header.d=example.comと書かれていれば、DKIMの認証に成功し、署名にどのドメインが使われたかを確認できます。
2. オンラインツールで確認する
DNS上の公開鍵が正しく登録されているかは、無料のオンラインツールで確認できます。代表的なものに「DKIMCore」や「MXToolBox」があり、ドメイン名とセレクタを入力するだけで、公開鍵が正しく取得できるかをチェックできます。コマンド操作が不要なため、まずはこの方法がおすすめです。
3. コマンドラインで確認する
公開鍵がDNSに正しく公開されているかは、コマンドラインを使って確認することもできます。
【Windowsの場合】
スタートメニューで「cmd」と検索してコマンドプロンプトを開き、次のコマンドを入力します。（「selector」と「example.com」は自社の値に置き換え）。
nslookup -type=txt selector._domainkey.example.com【Mac・Linuxの場合】
「ターミナル」を開き、次のコマンドを入力してEnterキーを押します。（「selector」と「example.com」は自社の値へ置き換え）。
dig txt selector._domainkey.example.comいずれの場合も、成功していれば下記のような文字列が返ってきます。
v=DKIM1; k=rsa; p=【公開鍵の文字列】各ツールの具体的な使い方や、DKIM認証に失敗したときの原因と対処法は、以下の記事で詳しく解説しています。
SPF・DKIM・DMARCの役割の違い
DKIMを理解したところで、混同されやすいSPF・DMARCとの違いを整理します。
3つはいずれも送信ドメイン認証技術で、組み合わせることで強固ななりすまし対策になります。まずは、それぞれが「何を検証し、何を防ぐのか」を比較してみましょう。
| 技術 | 何を検証するか | 主に防げること | 単独での弱点 |
|---|---|---|---|
| SPF | 送信元サーバーのIPアドレス（許可されたサーバーからの送信か） | 無関係なサーバーからの送信 | Fromに表示されるアドレスの偽装は防げない |
| DKIM | 電子署名（本文・ヘッダーの改ざんの有無と、署名ドメインの正当性） | メールの改ざん・なりすまし | 単独ではFromドメインとの一致（アライメント）までは保証しない |
| DMARC | SPF・DKIMの結果とFromドメインの整合性 | Fromドメインのなりすまし | SPFかDKIMの整備が前提となる |
SPFは送信サーバーのIPアドレスを、DKIMは電子署名によって本文の改ざんと署名ドメインの正当性を検証します。
SPFの仕組みや書き方をあわせて確認したい方は、こちらの記事が参考になります。
そしてDMARCは、SPFとDKIMの結果をFromドメインと突き合わせ、認証に失敗したメールの扱い（そのまま通す・隔離する・拒否する）を送信側が指定できるようにする仕組みです。SPFやDKIM単独ではカバーしにくい「Fromドメインのなりすまし」を、DMARCが補完する関係にあります。
DMARCについては、以下の記事で詳しく解説しています。
ドメイン認証の先にある「BIMI」とは
SPF・DKIM・DMARCの設定が整ったら、次に注目したいのが「BIMI（Brand Indicators for Message Identification）」です。BIMIは、受信トレイ上に送信企業のブランドロゴを表示できる規格で、なりすまし対策とブランド認知向上を同時に実現できる技術として注目されています。
BIMIを利用するには、SPF・DKIMの整備に加えて、DMARCポリシーを「quarantine（隔離）」または「reject（拒否）」に設定していることが前提です。さらに、Gmailでロゴを確実に表示させるにはVMC（認証済みマーク証明書）の取得も事実上必須となります。つまりBIMIは、DKIMをはじめとするドメイン認証を着実に整えた先にある、発展的な取り組みといえます。
BIMIのメリットから導入ステップ、DMARC移行のロードマップ、設定チェックリストまでをまとめた「BIMI完全ガイド」を無料でご用意しています。あわせてご活用ください。
DKIMに対応したメール配信システムを使うのがおすすめ
DKIMの設定は、自社サーバーで行おうとすると鍵管理やDNS設定など専門的な知識が必要になります。メルマガやお知らせメールなど一斉送信の業務がある場合は、DKIMに標準対応したメール配信システムを利用するのが現実的かつ確実な方法です。
メール配信システムとは
メール配信システムとは、複数の宛先へ同時にメールを送ったり、配信リストを管理したりできるサービスです。SPF・DKIMといった送信ドメイン認証に対応したシステムを選べば、面倒な設定の多くをツール側に任せながら、高い到達率でメールを届けられます。
おすすめのメール配信システム「ブラストメール」
ブラストメール（blastmail）は、15年連続で導入社数シェアNo.1（※）を獲得している、メルマガ配信や大量配信に特化したメール配信システムです。27,000社以上の導入実績に裏打ちされた高い到達率と、専門知識がなくても直感的に使えるシンプルな操作性が支持されています。
- SPF・DKIM対応：Gmailの送信者ガイドラインに準拠した配信基盤で、なりすまし対策と高い到達率を実現（DKIMはStandardプランから利用可能）
- 効果測定：開封率・クリック率・エラーカウントを確認でき、次の施策にすぐ活かせる
- フィルタ配信（セグメント配信）：読者の属性や行動履歴でグループを作成し、最適なタイミングで配信
そのシンプルさと低価格から、メール配信システムを初めて導入する企業にも推奨できるサービスです。無料トライアルが用意されているので、まずは操作感を試してみてください。
公式サイト：シェア1位のメール配信システム「ブラストメール」
※ミックITリポート2025年8月号「クラウド型eメール一斉配信サービスの市場動向と中期予測（売上高/アクティブ法人顧客数）」より
おすすめのメール配信システム「blastengine」
blastengine（ブラストエンジン）は、お客様のシステムとSMTPリレーやAPIで連携し、一斉配信やトランザクションメールを高速・大量に送れるメール配信サービスです。サーバーの運用・メンテナンスはブラストエンジン側が担うため、常に高いIPレピュテーションを維持し、エンジニアを面倒なメールサーバー管理から解放します。
- SPF/DKIM/DMARC対応：最新のメール認証技術に標準対応し、なりすまし・迷惑メール判定を回避
- API連携・SMTPリレー：既存システムへの組み込みが容易で、最短当日から利用開始できる
- 99%以上の高い到達率：国内キャリア・ISPへの個別送信ロジックで確実に届ける
- バウンスメール自動対応：エラーメール管理を自動化し、運用負荷を大幅に削減
自動送信メールやシステム連携での確実な配信を求める企業に最適です。初期費用無料・月額3,000円からと低コストで、メールアドレスを入力するだけで無料トライアルを開始できます。
ブラストエンジン公式サイト：https://blastengine.jp/
FAQ
- Q：DKIMとはどのような技術で、SPFとは何が違いますか？
- A：DKIMはメールに電子署名を付与して「改ざん」や「なりすまし」を防ぐ送信ドメイン認証技術です。SPFが送信元の「住所（IPアドレス）」を確認するのに対し、DKIMは「封印（印鑑）」で中身の正当性まで保証します。両者は組み合わせることでより強固なセキュリティを実現できます。
- Q：DKIMの設定はどのような手順で行いますか？
- A：基本の流れは、①秘密鍵と公開鍵のペアを生成、②公開鍵をDNSにTXTレコードとして公開、③設定を確認、の3ステップです。鍵長は2048ビットが推奨されており、メール配信システムを使えば設定の多くをツール側に任せられます。
- Q：DKIMが正しく設定されているか確認するには？
- A：受信メールのヘッダーで「dkim=pass」を確認する方法、DKIMCoreやMXToolBoxなどのオンラインツールにドメイン名とセレクタを入力する方法、digコマンドで直接DNSを参照する方法があります。まずは手軽なヘッダー確認かオンラインツールから始めるのがおすすめです。
- Q：DKIMの「作成者署名」と「第三者署名」の違いは何ですか？
- A：第三者署名は配信サービスのドメイン、作成者署名は自社のドメインで署名する方式です。DMARC認証を成功させ、なりすまし対策の効果を最大化するには、自社ドメインでの「作成者署名」が推奨されます。
- Q：DKIMを設定しないとどうなりますか？
- A：自社ドメインがなりすましに悪用されるリスクが高まるほか、Gmailなどの送信者ガイドラインを満たせず、正規のメールでも迷惑メール判定や受信拒否を受けやすくなります。特に1日5,000通以上を送る場合は、SPF・DKIM・DMARCの設定が必須要件となっています。
まとめ
DKIMとは、メールに電子署名を付与し、なりすましや改ざんを検知する送信ドメイン認証技術です。秘密鍵と公開鍵を使ってメールの正当性を保証し、セキュリティの強化だけでなく到達率の向上にも貢献します。
設定は「鍵ペアの生成→DNSへの公開鍵登録→設定を確認」という流れで進み、設定後はヘッダーやオンラインツールで正しく機能しているかを必ず確認しましょう。さらに到達率を高めるには、自社ドメインで署名する「作成者署名」での運用が重要です。
2024年2月以降のGmail・Yahoo!ガイドラインにより、DKIMの設定はビジネスメールの必須要件となりました。自社サーバーでの設定が難しい場合は、DKIMに標準対応したメール配信システムの活用が、もっとも確実で手間のかからない選択肢です。お客様や取引先の信頼を守るためにも、送信ドメイン認証を整え、安全に届くメール環境を構築しましょう。
