Stripeのカスタムメールドメイン：DMARCを活用した決済への信頼構築

公開日： 2026年10月9日

Stripeは、世界中の企業の決済業務を支えています。ダブリンとサンフランシスコにグローバル本社を置くStripeの役割は、顧客が「支払う」をクリックしたときだけにとどまりません。企業はStripeを利用して、請求書、領収書、決済失敗、その他の重要なアカウントや請求情報について、顧客と連絡を取り合っています。

そして、そうした連絡が企業の独自のメールドメインを使用して送信される場合、別の種類の保証が重要になってきます：

受信者は、そのメールが実際にそのドメインから送信されたものであると信頼できるでしょうか？

そこで、メール認証とDMARCが登場するのです。

Stripe でカスタムメールドメインを設定する方法

デフォルトでは、Stripeは自社のstripe.comドメインから顧客へのメールを送信します。ただし、事業者はカスタムメールドメインを設定することで、顧客とのやり取りを自社のドメインに関連付けることができます。

これを有効にするには、Stripe ではドメインの所有権を確認し、メール認証用に特定の DNS レコードを設定する必要があります：

ドメイン所有権の確認
SPF（Sender Policy Framework）
DKIM（ドメインキー認証メール）
DMARC（ドメインベースのメッセージ認証、報告、および適合性）

何よりも重要なのは、メールセキュリティの観点から、Stripeが「カスタムメールドメインを使用するには、そのドメインに対してDMARCポリシーを設定する必要があります」と明示している点です。

DMARC（Domain-Based Message Authentication, Reporting & Conformance）は、SPF や DKIM と連携して、ドメイン所有者がメールの認証を行うのを支援し、認証に失敗したメッセージを受信システムがどのように処理すべきかを定義します。詳細については、Stripe の「カスタムメールドメイン」に関するドキュメントをご覧ください。

Stripeは、DMARCを初めて導入する組織に対し、まずは以下のモニタリング方針から始めることを推奨しています。 p=none から始め、 p=quarantine といったより厳格なポリシーへと段階的に移行することを推奨しています。また、 p=reject といったより厳格なポリシーへと段階的に移行することを推奨しています。

StripeのCNAMEレコードとTXTレコードは、実際にはどのような役割を果たしているのでしょうか？

Stripeのメール設定に必要なDNSレコードは、それぞれ異なる役割を果たしています：

CNAMEレコードは、Stripeの「Mail From」およびDKIMの設定を構成するもので、これによりStripeはお客様のカスタムドメインを名乗って、適切に認証されたメールを送信できるようになります。

TXTレコードは、ドメインの所有権を確認し、そのドメインのDMARCポリシーなどの情報を公開します。

これらのレコードを組み合わせることで、Stripe が正規の送信者であることが確認され、同社のサービスを通じて送信されるメールが適切に認証されるようになります。しかし、レコードを追加することだけでは不十分です。

StripeのカスタムメールドメインのDNSに障害が発生したらどうなる？

Stripeのカスタムドメインに関する要件は、セットアップ時に一度確認されるだけではありません。カスタムメールドメインの検証が完了した後も、Stripeは必要なDNS TXTレコードを頻繁に確認し、設定が有効な状態を維持しているかを確認しています。

これらのレコードのいずれかが無効になったり削除されたりした場合、Stripeはアカウント所有者に通知します。これには運用上の影響があります。48時間以内にDNS設定が修正されない場合、Stripeは問題が解決されるまで、顧客へのメール送信先をstripe.comドメインに戻します。

そのメモは、Stripeという枠をはるかに超えた、ある事柄を思い起こさせる興味深いものとなっています：

DMARC やメール認証は、「一度設定すればそれきり」というものではありません。
DNSの設定は変わります。サービスも変わります。プロバイダーも変わります。新しい送信プラットフォームが登場し、古いものは姿を消します。
メール環境の状況を把握し続けることは、初期設定が完了した後も長期にわたって重要です。

Stripeの「はじめに」ドキュメントは、ご利用を始める上で役立ちます。

決済セキュリティとPCI DSSコンプライアンスにおいて、DMARCが重要な理由

支払いに関する連絡は、とりわけデリケートな問題です。

請求書、支払督促、または支払不履行の通知は、当然ながら受信者に行動を促すものです。この種の連絡は、緊急性を煽り、金銭的な不安を巧みに利用し、被害者が送信元を確認せずに悪意のあるリンクをクリックしたり、機密の認証情報を開示したりする可能性を高めるため、悪意のある攻撃者にとって魅力的な標的となります。

Stripeは、決済業界において最高かつ最も厳格なセキュリティ認証であるPCI DSSレベル1の認証を取得しています。

決済詐欺に対抗するため、ペイメント・カード・インダストリー・データ・セキュリティ・スタンダード（PCI DSS）では、DMARC、SPF、DKIMを組み合わせて導入することを推奨しています。

「フィッシング対策の仕組みを構築する際には、組織は複数のアプローチを組み合わせて検討することが推奨されます。例えば、ドメインベースのメッセージ認証・報告・準拠（DMARC）、送信者ポリシーフレームワーク（SPF）、ドメインキー識別メール（DKIM）といったなりすまし防止対策を活用することで、フィッシング犯が組織のドメインを偽装したり、従業員になりすましたりすることを防ぐことができます。」

ドメインのなりすましは、受信者に、不正なメッセージが信頼できる組織から送信されたものと信じ込ませることを目的とした、フィッシングやビジネスメール詐欺の試みにおいて利用されることがあります。

SPF、DKIM、DMARCは、組織がより強固な保護体制を構築し、ブランドへの信頼を高めるのに役立ちます。

SPFは、特定のドメインのメール送信が許可されているインフラストラクチャを特定するのに役立ちます。
DKIMは、メッセージおよびそれに関連する署名ドメインの検証に役立つ暗号認証を提供します。
DMARCはSPFおよびDKIMを基盤とし、ドメイン整合性を追加するとともに、認証に失敗したメッセージを受信システムがどのように処理すべきかについて、ドメイン所有者にポリシーを提供します。

また、DMARCはドメイン所有者に、特に貴重な情報を提供します。それは、誰が自分の名義でメールを送信しているのかを把握できるという点です。

こうした可視性により、組織は正当な送信サービスと、未知または不正な送信元とを区別し、認証上の問題に対処すべき箇所を把握することができるようになります。

DMARCの可視化から強制への移行

ほとんどの組織にとって、Stripeははるかに大規模なメールエコシステムの一部に過ぎないでしょう。

従業員のメールは、Microsoft 365、Google Workspace、またはその他のプロバイダーによって管理されている場合があります。また、マーケティングプラットフォーム、CRMシステム、カスタマーサポートツール、人事管理アプリケーション、サプライヤー、その他のクラウドサービスも、組織のドメインを使用してメールを送信する場合があります。正当な送信者については、その身元を把握し、適切に認証する必要があります。

だからこそ、DMARCの導入は単にDNSレコードを公開するだけのことではありません。DMARCレコードの作成自体は数分で完了します。自社に代わってメールを送信するすべての要素を把握し、監視段階から執行段階へと安全に移行していくことこそが、真の道のりなのです。

ドメインの適用を確実に実施するためのプロセスは、以下の5つの段階から構成されます： :

発見 → 理解 → 修正 → 監視 → 実施

「発見」：あなたに代わってメールを送信しているすべての送信元を特定する
理解：集計XMLレポートの評価
修正：すべての正規送信ドメインにおいて、SPFおよびDKIMの設定を統一する
実施： p=quarantine またはp=reject に移行し、なりすましに対する保護を強化してください

なお p=none、DMARCは監視と可視性を提供しますが、DMARCチェックに失敗した場合でも、いかなる措置も強制しません。正当な送信者が特定され、認証上の問題が解決されるにつれて、組織は「p=quarantine 」へと移行し、最終的には「p=reject 」へと進むことができます。「enforcement」段階では、DMARCは組織のドメインの不正使用に対して、はるかに強力な保護を提供することができます。

dmarcianの活用方法

dmarcianは、組織が複雑なDMARC XMLレポートを、理解しやすく、具体的なアクションにつながるダッシュボードに変換するのを支援します。正当な送信者を特定し、認証上の問題を発見し、配信率を低下させたり、正当な業務を妨げたりすることなく、チームが安全にポリシー適用に向けて前進できるようサポートします。当社の無料ツールを使用すれば、SPFレコードのエラーをチェックしたり、カスタムメールドメインの設定を通じて自社の存在感を高めたりすることができます。

目標は、単にDMARC、SPF、DKIMを導入することだけではありません。自社のエコシステムを十分に理解し、適切に管理することで、正当なメールは引き続き正常に配信され、一方で自社のドメインを装った不正なメッセージに対しては、DMARCポリシーに従って適切な措置を講じられるようにすることです。

支払いは信頼にかかっている――メールも同様だ

ダブリンの本社を拠点とするStripeは、ヨーロッパおよび世界中の企業がデジタル決済を導入できるよう支援しています。同社が採用するカスタムメールドメインへの取り組みは、もうひとつ同様に重要な点を浮き彫りにしています。それは、デジタル取引は決済そのものに対する信頼だけでなく、それを取り巻くコミュニケーションに対する信頼にも依存しているということです。

あるメールが自組織からのものだと記載されている場合、受信者はそれが実際にそうであることを信頼できる必要があります。メール認証は、その信頼を確立するのに役立ちます。DMARCは、組織が自社のドメインを誰が使用しているかを把握し、より強固な保護体制へと移行するために必要な可視性とポリシーフレームワークを提供します。

請求書であれ、支払通知であれ、あるいはその他のビジネス上の連絡であれ、信頼は支払いの段階で終わらせてはなりません。

あなたのメールを信頼している人々を、DMARCで守りましょう。

さらに詳しく議論を続けたい方は、ぜひ dmarcian Forum へお越しください。

タグ：コンプライアンス、カスタムドメイン、サイバーセキュリティ、DMARC、DMARCのメリット、決済、SPF、Stripe

この記事は気に入っていただけましたか？