なりすましメール対策は、メールを送る部署の仕事 — SPF・DKIM・DMARCをマーケティング担当が確かめる順番

自社の名前で偽メールが届く前に。SPF・DKIM・DMARCという送信元を証明する仕組みを専門用語のまま置かずに説明し、メールの送り口が多い会社ほど起きやすい漏れと、自社のメールを止めずに強めていく順番を整理します。

情報漏えいの公表が続くと、次に増えるのは「本物らしい偽のメール」です。差出人の欄に自社の名前やドメイン（メールアドレスの「@」より後ろ、会社ごとの住所にあたる部分）が書かれた偽物が、自社の顧客に届きます。

これを防ぐ仕組みが、SPF・DKIM・DMARCの3つです。名前だけ聞くと情報システム部門の仕事に見えますが、私たちはメールを送っている部署、つまりマーケティング担当が確かめるべきものだと考えています。理由は単純で、メールの送り口を増やしているのがマーケティングの側だからです。

結論を先に書きます。

3つの仕組みは「入れたかどうか」ではなく、「自社のすべての送り口で効いているか」で確かめる。 送り口（メールを送る道具やサービス）を1つ足すたびに確認する運用にする。偽メールへの扱いは、いきなり厳しくせず「様子を見るだけ」から始め、自社のメールが止まらないのを確かめてから強める。

この記事では、設定の画面操作やDNS（ドメインの住所録にあたる設定）の書き方は扱いません。使っているサービスごとに手順が違うからです。扱うのは、何を確かめれば漏れが無いと言えるかと、その順番です。

3つの仕組みを、言葉をかみ砕いて言うと

まず、それぞれが何をしているかです。専門用語のままだと社内で話が通じないので、たとえで置き換えます。

名前	何をするか	たとえ
SPF	「このドメインの名前でメールを送ってよいのは、この送信元だけ」と公開しておく	自社の名前で手紙を出してよい人の名簿
DKIM	送るメールに、改ざんされていないことを示す電子的な署名を付ける	封筒に押す封印
DMARC	名簿にも封印にも合わないメールを、受け取る側にどう扱ってほしいかを宣言する。結果の報告も受け取れる	「名簿に無い人の手紙は捨ててください」という宣言と、届いた報告

大事なのは、3つは役割が違い、どれか1つでは足りないということです。名簿だけあっても、受け取る側に「合わないものをどうするか」が伝わっていなければ、偽物はそのまま届くことがあります。宣言だけあっても、名簿と封印が整っていなければ、自社の本物のメールまで「合わないもの」として扱われます。

なお、GmailやYahoo!メールなど大手のメールサービスは、大量にメールを送る送信者に対して、これらの仕組みを整えることを求める方針を出しています。偽メール対策というだけでなく、自社のメルマガが届くかどうかにも関わる話になっています。

漏れが起きるのは「送り口」が増えたとき

なりすまし対策が「入れたはずなのに効いていない」ときの原因は、たいてい技術ではなく運用にあります。メールの送り口が、知らないうちに増えているのです。

マーケティングの現場で、自社のドメインの名前でメールを送っている送り口を挙げてみます。

普段の業務メール（社員が使うメールサービス）
メルマガやステップメールの配信システム
問い合わせフォームや資料請求フォームの自動返信
ネットショップや予約システムからの通知
営業支援・顧客管理ツールから送るメール
ウェビナーや会員サイトの案内メール
自動化ツールやAIエージェントが送るメール

私たちも、配信の道具を複数使っています（ステップメールをAIに書かせるに書いた構成です）。送り口が複数あること自体は普通のことです。問題は、名簿（SPF）と封印（DKIM）の設定が、送り口ごとに別々に必要なことです。

新しい配信ツールを契約して、送信元の名前に自社のドメインを入れた。その時点で名簿と封印の設定をしなかった。こうして、本物なのに「名簿に無いメール」が生まれます。このまま宣言（DMARC）を厳しくすると、そのツールから送ったメールが届かなくなります。逆に、それを恐れて宣言をゆるいままにしておくと、偽物も届き続けます。

確かめる順番

ここからが本題です。次の順で進めると、自社のメールを止めずに強めていけます。

1. 送り口の一覧を作る

最初にやるのは設定ではなく、一覧づくりです。上に挙げた送り口のうち、自社のドメインを差出人に使っているものを全部書き出します。

送り口	担当部署	差出人のアドレス	名簿に入っているか	封印が付いているか
例: メルマガ配信	マーケティング	news@〜	確認する	確認する
例: フォームの自動返信	マーケティング	info@〜	確認する	確認する

一覧の右側の2列は、各サービスの管理画面や、届いたメールの詳細表示（多くのメールソフトで「メッセージのソースを表示」などから見られる、SPFやDKIMが「通った」かどうかの記録）で確かめられます。分からなければ、そのサービスのサポートに「自社ドメインでSPFとDKIMが通っているか」をそのまま聞いて構いません。

この一覧は、自動化ツールとAIエージェントに渡した「連携の鍵」の棚卸しと同じ考え方です。どこに何があるかが分かっていなければ、守るも止めるもできません。

2. 宣言は「様子を見るだけ」から始める

DMARCの宣言には、強さの段階があります。

段階	受け取る側への頼み方	位置づけ
様子を見るだけ	合わないメールも普段どおり届けてよい。結果だけ報告してほしい	最初はここ
迷惑メールへ	合わないメールは迷惑メールのフォルダへ	本物が止まらないと確かめてから
受け取り拒否	合わないメールは受け取らないで	最終段階

いきなり「受け取り拒否」にすると、一覧から漏れていた送り口のメールが、自社の顧客に届かなくなります。 フォームの自動返信が届かない、予約の確認メールが届かない、といった形で表に出るのは、たいてい数日たってからです。

「様子を見るだけ」の段階でも、報告は受け取れます。報告には、自社のドメインの名前で、どこからメールが送られているかが載ります。ここで一覧に無い送り口が見つかれば、それが漏れていた本物か、偽物です。

3. 報告を読んで、一覧を直す

報告は機械向けの形式で届くため、そのままでは読みにくいものです。報告を見やすく整えてくれるサービスもありますし、担当の業者に読んでもらう方法もあります。マーケティング担当が見るべき点は1つだけです。

一覧に無い送り口から、自社の名前のメールが出ていないか

出ていれば、それが自社の誰かが契約したツールなのかを社内で確かめます。本物なら名簿と封印を整えます。心当たりが無ければ、なりすましの可能性があります。

4. 一覧が埋まってから、宣言を強める

すべての送り口で名簿と封印が通ったのを確かめてから、「迷惑メールへ」、その次に「受け取り拒否」と進めます。急ぐ理由が無ければ、段階ごとにしばらく報告を見てから進めるほうが安全です。

仕組みの外側で、顧客に伝えておくこと

3つの仕組みが守れるのは、自社のドメインそのものを名乗る偽メールまでです。よく似た別のドメイン（一文字違い、ハイフンの有無など）から送られる偽物や、SMSや電話での偽の連絡は防げません。

そこで、仕組みとは別に、顧客に先に伝えておくことがあります。

**「当社はメールでカード情報やパスワードの再入力を求めません」**と、メルマガのフッター（末尾の定型文）や、よくある質問のページに書いておく
自社が実際に使っている差出人のアドレスを、サイトに載せておく
不審な連絡を受けたときの問い合わせ先を、分かりやすい場所に置く

偽の連絡がなぜ漏えいのあとに増えるのか、ほかに何を点検するかは、相次ぐ情報漏えいのあと、顧客リストを持つマーケティング担当が今週見直すことにまとめています。

正直に書いておくこと

ここで書いたのは、確かめる順番と考え方です。設定したことで迷惑メールに入る割合や、届く割合がどう変わるかは書いていません。業種や送り方、受け取る側のメールサービスによって変わり、私たちが一般的な数字として言える根拠を持っていないからです。

また、DNSの設定を変えるのは、多くの会社で情報システム部門や制作会社の仕事です。マーケティング担当がやるべきなのは、自分で設定を書くことではなく、送り口の一覧を持ち、新しい送り口を足すときに確認を差し込むことだと私たちは考えています。

まとめ

SPFは送ってよい送信元の名簿、DKIMは封筒の封印、DMARCは合わないメールの扱いの宣言と報告。役割が違い、どれか1つでは足りない
漏れが起きるのは技術ではなく運用。メールの送り口が増えたときに、名簿と封印の設定が抜ける
最初にやるのは設定ではなく、自社ドメインで送っている送り口の一覧づくり
宣言は「様子を見るだけ」から始め、報告で一覧に無い送り口を探し、本物が止まらないのを確かめてから強める
送り口を1つ足すたびに確認する運用にする。担当はメールを送る部署が持つ
仕組みでは防げない偽物もある。「メールでカード情報を求めない」ことを顧客に先に伝えておく

あわせて読んでいただきたい記事です。

メールや自動化の仕組みを増やすとき、どこに人の確認を置いているか。私たちが自社で引いている線と、つまずいたところをまとめた無料レポート『AIエージェント導入の実際』をこちらでお配りしています。自社の運用を見直すときの材料に使ってください。

本記事の内容は2026年10月時点のものです。