Exchange Online での SPF、DKIM、DMARC: メール認証の設定

By Mirko Peters · 2026-10-29

Exchange Online で SPF、DKIM、DMARC を構成してドメインを保護し、なりすましを防ぎ、高いメール到達率を確保する方法を解説します。

Automatically translated with AI from the original post. Read the English original

Microsoft 365 で組織の送信メールと受信メールを保護するには、SPF、DKIM、DMARC を正しく構成する必要があります。このガイドでは、Exchange Online でこの 3 つの重要なメール認証プロトコルがどのように連携して、ドメインをなりすまし、フィッシング攻撃、意図しない配信失敗から守るのかを解説します。

重要なポイント

• SPF は、お使いのカスタム ドメインの代理としてメールを送信することを許可されたメールサーバーを定義します。
• DKIM は送信メッセージに暗号署名を付与し、メール内容が送信中に改ざんされていないことを検証できるようにします。
• DMARC は SPF と DKIM の両方の結果を利用して、組織を装う未認証のメールを受信サーバーがどのように扱うべきかを決定します。
• onmicrosoft.com による既定の Microsoft ルーティングでも基本的な配信は可能ですが、カスタム ドメインでは公開 DNS に明示的な SPF レコードと DKIM レコードが必要です。
• DMARC の監視は「none」ポリシーから始め、その後に厳格な隔離または拒否の適用へ移行するのが適切です。

Exchange Online のメール認証を理解する

Exchange Online へ移行する際、組織はメールボックスの移行、ハイブリッド コネクタ、予定表の共有に多くの注意を向けがちです。しかし、メールフローを正しく整えるには、MX レコードを Microsoft に向けるだけでは不十分です。適切なメール認証がなければ、正当なビジネス メールが迷惑メールフォルダーに振り分けられることが頻繁に起こり、さらに悪いことに、脅威アクターに組織のブランドを簡単になりすまされてしまいます。

メール認証プロトコルは、ドメインにとってのデジタルパスポートであり、警備員の役割も果たします。Exchange Online のメールボックスが Gmail や Yahoo などの外部の受信者にメールを送信するとき、受信サーバーは、そのメッセージが確かに組織から発信されたものであり、悪意のある第三者によって偽造されたものではないという確かな証拠を求めています。現代のクラウド管理者にとって、SPF、DKIM、DMARC の三点セットは欠かせないものになっています。

Exchange Online における SPF の役割

Sender Policy Framework (SPF) は、公開 DNS プロバイダーに公開される基本的な TXT レコードです。ドメインの代理としてメールを送信することを許可された IP アドレスやサービスを明示的に列挙します。Exchange Online テナントの場合、SPF レコードには Microsoft の包含メカニズムを含める必要があります。

一般的な Exchange Online の SPF レコードは非常にシンプルで、通常は include:spf.protection.outlook.com を含みます。外部サーバーがお使いのドメインからメールを受信すると、公開 DNS に問い合わせて SPF レコードを確認し、送信サーバーの IP アドレスが認可リストと一致するかどうかを判断します。マーケティング ツール、チケット管理システム、人事システムなど、サードパーティのサービスがお使いのドメインの代理でメールを送信する場合、構文エラーや参照回数の上限超過による失敗を防ぐため、それらのサービスも 1 つの SPF レコードに慎重に統合する必要があります。

DKIM 署名の実装

SPF が送信サーバーを検証するのに対し、DomainKeys Identified Mail (DKIM) はメッセージそのものの完全性を検証します。DKIM は送信されるすべてのメールのヘッダーにデジタル署名を追加します。この署名は、お使いのドメインの DNS 設定に公開された公開鍵と暗号学的に結び付けられています。

Exchange Online では、Microsoft Defender ポータルで DKIM を簡単に構成できます。ただし、外部の DNS レジストラーで特定の CNAME レコードを作成する必要があります。有効にすると、Exchange Online が送信メッセージに自動的に署名します。悪意のある第三者がメールの送信途中で内容を改ざんすると、暗号化ハッシュの検証に失敗します。これにより、受信側のメールゲートウェイに改ざんがあったことが即座に伝わります。DKIM の有効化は、主要なコンシューマー向けおよびエンタープライズ向けのメールプロバイダーでの到達率を高めるために不可欠な手順です。

DMARC ポリシーの適用

Domain-based Message Authentication, Reporting, and Conformance（DMARC）は、SPF と DKIM を統一されたポリシーのもとにまとめます。DMARC レコードは、受信したメッセージが SPF と DKIM の両方のチェックに失敗した場合に、受信側のメールサーバーがどう処理すべきかを指定します。特に重要なのは、DMARC がアライメントの規則も導入している点です。これにより、エンドユーザーに表示される 'From' ヘッダーのドメインが、SPF と DKIM で認証されたドメインと一致することを確認できます。

Exchange Online で DMARC を導入する場合、管理者は必ず監視ポリシー（p=none）から始めるべきです。この設定により、受信側サーバーはメールをブロックすることなく、指定されたレポート用アドレスに XML 形式の集約レポートと失敗レポートを毎日送信します。これらのレポートを分析することで、IT 管理者は許可されていない送信元を特定し、誤って構成された社内システムを修正できます。そのうえで、段階的に p=quarantine へ移行し、最終的に p=reject に設定することで、ドメインを最大限に保護できます。

よくあるメールフローの落とし穴のトラブルシューティング

DNS 構成が正しくても、Exchange Online のメールフローを管理する管理者は、見落としやすい問題に直面します。よくある問題の一つは、メールがオンプレミスの Exchange サーバーと Exchange Online Protection（EOP）の両方を経由するハイブリッド環境での導入時に発生します。内部リレーコネクタに適切なアクセス許可や送信元 IP アドレスの宣言がない場合、送信メッセージの DKIM 署名が失敗したり、SPF のソフトフェイルが発生したりする可能性があります。

もう一つのよくある課題は、サードパーティのアプリケーションが SMTP クライアント送信やダイレクト送信を使って Exchange Online経由でメールを中継する場合です。これらのアプリケーションがプライマリのカスタムドメインを送信者アドレスに使用しているのに、SPF レコードで明示的に許可されていない場合、またはアプリ専用のメールボックスで認証されていない場合、スパムフィルターがメッセージをすぐにフラグ付けします。Exchange 管理センターのメッセージ追跡ログを確認すると、業務に影響が出る前に認証の不備を特定できます。

まとめと次のステップ

Exchange Online でカスタムドメインを保護することは、基本的なメールボックスの作成やカレンダーの共有をはるかに超えるものです。SPF、DKIM、DMARC を習得することで、組織のコミュニケーションの信頼性とコンプライアンスを保ち、世界中の受信者の受信トレイに安全に届けることができます。基本的なメールアーキテクチャ、共有メールボックス、クラウドとハイブリッドの戦略について理解を深めるには、ポッドキャストのエピソード全編を聴いて、Microsoft の主力メールエンジン内部の仕組みを、専門用語を抑えたわかりやすい解説でご確認ください。

よくある質問

Exchange Online の SPF include 文字列は何ですか？

Microsoft 365 Exchange Online の標準的な SPF include 文字列は include:spf.protection.outlook.com です。これは、Microsoft の認可されたクラウド送信基盤をお使いのドメインに対して信頼するよう、受信側サーバーに指示するものです。

Exchange Online では DKIM が自動的に有効になりますか？

いいえ。Microsoft はインフラを提供しますが、DKIM は管理者が Microsoft Defender ポータルで手動で有効にし、必要な CNAME レコードを公開 DNS のレジストラーに登録する必要があります。

推奨される最初の DMARC ポリシーは何ですか？

推奨される最初のポリシーは p=none です。このポリシーでは、メール配信に影響を与えずに DMARC の集約レポートと失敗レポートを収集できます。より厳格な隔離や拒否のポリシーを適用する前に、正規のメール送信元を特定するのに役立ちます。

Exchange Online のメールが迷惑メールフォルダーに届くのはなぜですか？

ドメインに SPF、DKIM、DMARC のレコードが正しく構成されていない場合、または送信元 IP アドレスの評判が悪い場合、メールは迷惑メールフォルダーに届きやすくなります。これらの認証プロトコルを設定すると送信者の評判が向上し、受信トレイへの適切な配置につながります。