DKIM（DomainKeys Identified Mail）とは、送信側がメールに電子署名を付与し、受信側がDNS上の公開鍵を使って、署名に使われたドメインと、署名する対象部分の完全性を検証する仕組みです。
クラウド型メールサービスでは初期設定の一部として提供されることもありますが、利用組織側でも、署名の有効化、DNSへの公開鍵登録、鍵更新が正しく行われているかを点検する必要があります。
DKIMの仕組み
DKIMでは、送信側メールサーバーが秘密鍵を使い、選択したヘッダーと本文から電子署名を生成します。受信側は、DKIM署名に記載されたドメインとセレクタを基にDNSから公開鍵を取得し、署名を検証します。
公開鍵は通常、次の名前でDNSに公開されます。
<selector>._domainkey.<domain>
セレクタは、同じドメインで複数の鍵を使い分けたり、安全に鍵を更新したりするための識別子です。たとえば、selector1._domainkey.example.jpのような名前になります。
署名の検証に成功すると、少なくとも次のことが分かります。
- DKIM署名の
d=タグで示されたドメインに対応する秘密鍵が使われたこと - 署名対象となったヘッダーや本文部分が、署名後に変更されていないこと
一方、DKIMの成功だけで、メールの内容や送信者が安全であることまで保証されるわけではありません。
SPF・DMARCとの違い
SPFは接続元IPアドレスが許可されているかを確認し、DKIMは電子署名を検証します。この2つは確認する対象が異なります。
DMARCはSPFまたはDKIMの結果に加えて、認証に使われたドメインと、メールクライアントに表示される差出人（From）ドメインの整合性を検証します。メールのなりすまし対策では、3つを組み合わせて使用します。
公開鍵を外部から確認するときの注意点
DKIMの公開鍵を取得するにはセレクタが必要ですが、使用中のセレクタをDNSから網羅的に列挙する標準的な方法はありません。セレクタが分からない場合は、実際に受信したメールのDKIM署名ヘッダーや、利用しているメールサービスの管理画面で調べます。一般的な名前には次のようなものがあります。
default, google, selector1, selector2, dkim, mail, s1, s2
企業が上記以外のセレクタを使用している場合、一般的な候補だけを使った外部調査では公開鍵を検出できません。また、公開鍵が存在しても、実際に送信されるメールに常に適切な署名が付与されているとは限りません。
自社の設定を調べる場合は、DNSレコードだけでなく、実際に送信したメールのAuthentication-Resultsや、DKIM署名ヘッダーも検証します。
DKIMを運用するときの確認ポイント
- 利用しているメールサービスでDKIM署名を有効にする
- 署名ドメインと差出人（From）ドメインのアライメントを検証する
- 公開鍵と対応する秘密鍵を適切に管理する
- 鍵の更新手順とセレクタの切り替え手順を決める
- 古い公開鍵や使われなくなったセレクタを整理する
- 実際に送信したメールの認証結果を確認する
- DMARCレポートを使って認証失敗を継続的に監視する
鍵の公開後も、実際の署名結果、鍵の更新状況、DMARCとの整合性を定期的に点検します。
当社の調査で確認されたDKIM公開鍵
当社（Aioright Technologies）が既知のセレクタを使って公開DNS情報を調査したところ、DKIM公開鍵の検出率は中小企業31.8%、大企業51.4%でした。
| 指標 | 中小企業 | 大企業 |
|---|---|---|
| DKIM公開鍵検出 | 151社 | 143社 |
| 検出率 | 31.8% | 51.4% |
なお、この数値はDKIMの導入率ではありません。調査で確認したセレクタはdefault、google、selector1、selector2、dkim、mail、s1、s2に限定されているため、未検出は未設定を意味しません。
当社は2026年8月1日から20日に公開情報を調査・分析しました。メール関連指標は、MXレコードを確認できた中小企業475社、大企業278社を分母としています。これは既知のセレクタに対する検出結果であり、実際のDKIM導入率ではありません。詳しい調査方法と制約は調査報告書で確認できます。
自社のメール設定を確認するには
SecureScanでは、DKIM公開鍵を含むメール・DNSの公開設定を確認できます。複数のメール基盤や配信サービスを利用しており、鍵の更新手順やDMARCとの整合性を整理したい場合は、セキュリティ・ITコンサルティングへご相談ください。