DKIMだけではなぜ安全性が不十分なのか

• 2026年6月18日

DomainKeys Identified Mail（DKIM）は、電子メールセキュリティの基盤となる技術です。暗号署名を提供することで、電子メールメッセージが送信中に改ざんされていないこと、およびそのメッセージが主張するドメインから送信されたものであることを保証します。

DKIMとは何ですか？

電子メール認証のためのオープン標準であるDKIMは、ドメインのDNSに公開されます。2005年にその起源を持つDKIMは、DMARCが電子メールを送信ドメインに関連付けるために用いる2つの方法のうちの1つです。

DKIM を使用するには、メールサーバーが送信するメールに特別な DKIM 署名を付加するように設定されます。この署名は、転送中にメールが改ざんされるのを防ぐ、暗号化されたドメインの「印」のようなものだと考えてください。これらの署名はメールに添付されて送信され、最終的な宛先へと届くまでの経路にある各メールサーバーによって、その都度検証されます。

DKIMはどのように機能するのでしょうか？

受信メールサーバーがメッセージを受信すると、DKIM署名を検索し、DNS上で送信者のDKIM公開鍵を確認します。DKIM署名に含まれるDKIMセレクタは、この鍵をどこで検索するかを決定するために使用されます。鍵が見つかった場合、その鍵を使用してDKIM署名を復号します。その後、復号された署名を、受信したメールから取得した値と比較します。両者が一致すれば、DKIMは有効とみなされます。

電子メールのセキュリティにおいてDKIMのみに依存することのリスク

高度なAIシステムや、犯罪者による「フィッシング・アズ・ア・サービス（Phishing-as-a-Service）」といったビジネスモデルを含む、高度なフィッシング手口が横行している現状において、DKIMのみに依存することは危険な道へとつながります。DKIMはメッセージの完全性や転送サービスの正当性を認証することはできますが、攻撃者によるドメインのなりすましを阻止することはできません。DKIMは、DMARCの基盤となるSPFやDKIMを含む、より広範な電子メールセキュリティ戦略の一環として位置づけるべきです。

DKIMは身元ではなく、完全性を検証する

DKIMは、メッセージ本文や特定のヘッダー（「From」など）が第三者によって改ざんされていないことを証明します。しかし、攻撃者が自身が管理するドメインから送信される悪意のあるメールに対して、有効な署名を生成することを防ぐことはできません。

「From」ヘッダーに表示されている内容との不一致

DKIMのみの場合の最大の弱点は、署名によって検証されるドメイン（d=タグ）が、ユーザーに表示される「From」アドレスと一致することを義務付けていない点である。

DKIMは、認証に失敗した場合の処理を制御するものではありません

DKIM を使用すると、サーバーはメッセージの検証を行うことができますが、検証に失敗した場合に受信サーバーがどのように対応すべきかについては指示しません。DKIM 署名がないメールでも受信トレイに配信される場合があり、また、署名が破損していても、そのメッセージのスパムスコアへの影響はごくわずかである可能性があります。受信サーバーがどのような措置を講じるべきかを指示するのは、DMARC ポリシーだけです。