送信ドメイン認証（SPF／DKIM／DMARC）とは？そうしんどめいんにんしょう
送信ドメイン認証（SPF／DKIM／DMARC）とは、自ドメインを名乗る偽のメールを受信側が見分けられるようにする、DNSを使った3つの仕組みの総称。SPFは送信を許可したサーバのIPアドレスをTXTレコードで公開し、接続元と照合させる。DKIMは送信時に付けた電子署名を、DNSで公開した鍵で検証させる。DMARCは両者の結果とヘッダFromの整合（アライメント）を条件に、失敗時の扱い（none／quarantine／reject）を所有者が宣言し、レポートを受け取る。
最終更新：2026-10-06
この語が出る過去問を解く →背景
SMTPには差出人を確かめる手順が無く、誰でも他人のドメインを名乗って送信できる。取引先や自社を装う標的型攻撃やビジネスメール詐欺は、この構造をそのまま利用する。仕様自体を変えられない以上、「このドメインの正しい送り手はこれだ」という情報をドメイン所有者がDNSで公開し、受信側に確かめてもらう形にするしかなかった。3つが順に積み上がったのはこの経緯によるもので、支援士では自社ドメインを騙られる側としての対策を設計させる出題になる。
具体例
転送されたメールは接続元が転送サーバに変わるためSPFが失敗しやすいが、DKIMの署名は本文とヘッダが変わらなければ有効なまま残る。両方を導入したうえでDMARCをまずp=noneで運用してレポートを集め、正規の送信経路をすべて洗い出してからquarantine、rejectへ段階的に引き上げる、という進め方が定着している。総務省とIPAも、なりすまし対策としてこの3点セットの導入を推奨している。
試験での引っ掛け
SPFが検証するのはエンベロープの送信元（MAIL FROM）で、利用者が目にするヘッダFromの詐称は直接には防げない。ここを縛るのがDMARCのアライメントである。またDMARCのポリシーがnoneのままでは、受信側は認証に失敗しても通常どおり配送するので、レポートは集まるが遮断の効果は無い。DKIMの署名が有効であることは「そのドメインが署名した」ことを示すだけで、内容の正しさを保証するものでもない。
関連用語
出た過去問
出典：平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問12（IPA）
スパムメールへの対策であるDKIM(DomainKeys Identified Mail)の説明はどれか。
正解：送信側メールサーバにおいてディジタル署名を電子メールのヘッダに付加し,受信側メールサーバにおいてそのディジタル署名を公開鍵によって検証する仕組み
要点：DKIMは署名とDNS公開鍵でメールの送信元と完全性を検証する
DKIMは、送信側メールサーバが本文とヘッダに対する署名を生成してDKIM-Signatureヘッダとして付加し、受信側がDNSのTXTレコードから取得した公開鍵で検証する仕組みである。検証に成功すれば、そのドメインの管理下から送られ、途中で改ざんされていないことが確認できる。IPアドレスで送信元を検証するSPFと組み合わせ、DMARCで運用方針を示すのが一般的である。
出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12（IPA）
DKIM（DomainKeys Identified Mail）の説明はどれか。
正解：送信側メールサーバにおいてディジタル署名を電子メールのヘッダに付加し、受信側メールサーバにおいてそのディジタル署名を公開鍵によって検証する仕組み
要点：DKIMは電子署名と公開鍵でメールの送信ドメインを検証する
DKIMは、送信側のメールサーバが電子メールに対して秘密鍵でディジタル署名を生成しヘッダに付加し、受信側はDNSのTXTレコードで公開されている公開鍵を取得して署名を検証する仕組みである。これにより、送信ドメインの正当性とメールが途中で改ざんされていないことを確認できる。
出典：平成31年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問15（IPA）
SPF（Sender Policy Framework）によるドメイン認証を実施する場合，SPFの導入時に，電子メール送信元アドレスのドメイン所有者側で行う必要…
正解：DNSサーバにSPFレコードを登録する。
要点：SPFは送信許可サーバをDNSレコードで公開する
SPFは、あるドメインの正当な送信元メールサーバのIPアドレス範囲をDNSのTXT（SPF）レコードとして公開し、受信側がそれと実際の接続元を突き合わせて検証する仕組みである。したがって送信側ドメインの所有者が行うのは、DNSへのSPFレコード登録である。
出典：令和2年度 10月試験 情報処理安全確保支援士試験 午前Ⅱ 問17（IPA）
インターネットサービスプロバイダ（ISP）が、スパムメール対策として導入するIP25Bに該当するものはどれか。
正解：他社ISPのネットワークの動的IPアドレスから自社ISPのメールサーバへのSMTP通信を制限する。
要点：IP25Bは受信側で他社動的IPからの直接SMTPを制限する
IP25Bは、受信側のISPが自社のメールサーバに対して、他社ISPの動的IPアドレスから直接届く25番ポートの通信を制限する対策である。動的アドレスの機器から直接メールサーバへ送られる通信は、ボット化した端末による迷惑メールである可能性が高いという考え方に基づく。送信側で外向きの25番を制限するOP25Bと向きが逆である点が要点である。
出典：令和4年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問15（IPA）
SPFによるドメイン認証を実施する場合,SPFの導入時に,電子メール送信元アドレスのドメイン所有者側で行う必要がある設定はどれか。
正解：DNSサーバにSPFレコードを登録する。
要点：SPFは送信許可サーバをDNSのSPFレコードで宣言する
SPFは、あるドメインの名前で送信してよいメールサーバのIPアドレスを、そのドメインの管理者があらかじめDNSのTXTレコード（SPFレコード）として公開する仕組みである。受信側は送信元IPアドレスとこの宣言を突き合わせ、正当な送信元かを判定する。したがって送信側ドメインの所有者が行うべき作業は、DNSへの宣言の登録である。
出典・参考
公式シラバスの3 技術要素 ＞ 5. セキュリティ実装技術 ＞ (2) 認証・認可技術に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。