お店の名前をかたった偽メールを防ぐ。SPF・DMARC・DKIMを店主さん向けに｜無料チェックで設定の有無が分かります

お店のドメイン（メールの@より後ろ）には、「誰が送っていいか」「偽物をどう扱うか」「本物の印」の3つの設定があります。SPF・DMARC・DKIMと呼ばれます。設定がないと、お店の名前をかたった偽メールを受け取る側が見分けられず、本物のメールも迷惑メールに入りやすくなります。設定はDNS（アドレス帳）に数行足すだけです。

うちのドメインに設定があるか、無料で確認する →

公開・情報確認：2026年10月30日

設定がないと、何が起きるか

メールの仕組みは、もともと「差出人」を自由に書けるようにできています。封筒の裏に誰の名前でも書けるのと同じです。だから、お店のアドレスを差出人にした偽メールは、誰でも送れてしまいます。

これを受け取る側が見分けるための仕組みが、SPF・DMARC・DKIMです。お店の側がドメインに「本物はここから送ります」「偽物は捨ててください」と書いておくと、受け取る側のメールサービス（Gmailなど）がそれを読んで、偽物を止めます。

設定がないと、次の2つが起きます。

お店の名前をかたった偽メールが、お客さんに届く。「ご注文の確認」「請求書」などの件名で、偽のリンクへ誘導されるケースがあります。お店は何もしていないのに、信用を落とします。
お店から送った本物のメールが、相手の迷惑メールに入る。2024年2月以降、GmailやYahoo!メールは、なりすまし対策のないドメインからのメールを届きにくくしています。「送ったのに届いていない」の原因の多くがこれです。

3つの設定を、ひとことで

設定	ひとことで言うと	ないとどうなる
SPF	「このドメインのメールは、この送信元からしか送りません」というリスト	どこから送っても本物扱いになる
DKIM	送るメールに付ける、お店の「電子的なハンコ」	途中で書き換えられても気づけない
DMARC	「SPFやDKIMに合わないメールは、こう扱ってください」という方針（何もしない／隔離／拒否）	偽物の扱いを受け取る側に任せることになる

3つとも、ドメインのDNS（インターネットのアドレス帳）に書く設定です。ホームページやメールのソフトをいじるのではなく、ドメインを管理している画面（お名前.com、ムームードメイン、さくら、Xserverなど）で、文字列を数行足します。

自分のドメインに設定があるか、確かめる

当社の無料セキュリティチェックにホームページのアドレスを入れると、「なりすましメール・通信・露出の確認」の欄に、SPF・DMARC・DKIMの有無が出ます。読み方は次のとおりです。

「SPF・DMARCの設定が見当たりません」：まず設定するところから。この記事の「最初の一手」へ。
「SPFはあるが、結びが拒否になっていない」：設定はあるが効きが弱い状態。「~all」を「-all」にする変更を検討します（送信元の洗い出しが先）。
「DMARCはあるが、方針が何もしない（p=none）」：様子見の段階。問題なければ「隔離」か「拒否」へ進めます。
「SPFの設定が2つ以上」：これは要注意。2つあると設定そのものが無効と扱われ、本物のメールが迷惑メールに入る原因になります。1つにまとめます。
「DKIMはよく使われる名前では見つからない」：Google WorkspaceやMicrosoft 365、さくらなどは専用の名前で設定します。チェックは代表的な名前しか見ないので、「ない」とは限りません。

メールをこのドメインで使っていない（ホームページだけ）場合も、設定は意味があります。使っていないドメインこそ、名前をかたられても誰も気づきません。「このドメインからはメールを送りません」という設定（SPFを v=spf1 -all、DMARCを p=reject）を置いておくと、偽メールを止められます。

最初の一手：DMARCを「何もしない」で置く

いきなり「拒否」にすると、設定の漏れがあったときに本物のメールまで止まります。だから順番は、

SPFを1つだけ置く。メールを送っている送信元（Google Workspace、Microsoft 365、さくら、ホームページの問い合わせフォーム、予約システム、メール配信サービスなど）を洗い出して、1行にまとめます。送信元が分からなければ、まず ~all（疑わしい扱い）で置きます。
DMARCを「何もしない（p=none）」で置く。この段階では何も止まりません。代わりに、「誰がこのドメインの名前でメールを送っているか」の集計レポートが届くようになります。
2〜4週間、レポートを見る。本物の送信元が全部SPFかDKIMに合っていることを確かめます。知らない送信元があれば、それが見落としか、なりすましかを確認します。
問題なければ「隔離（p=quarantine）」→「拒否（p=reject）」へ。ここまで来ると、偽メールが止まり、本物は届く状態になります。

DKIMは、メールを送っているサービスの管理画面に「DKIMを有効にする」設定があり、そこに出る文字列をDNSに貼ります。Google WorkspaceでもMicrosoft 365でも、手順は公式ヘルプに載っています。

自分でできる？誰に頼む？

DNSの画面に入れる人なら、自分でできます。所要時間は、送信元の洗い出しを含めて1〜2時間が目安です。ただ、次の場合はつまずきやすいです。

ドメインをどこで契約したか分からない（制作会社が代わりに取っている、など）
メールを送っている仕組みが複数ある（問い合わせフォーム、予約、配信サービス）
すでにSPFがあるが、誰がいつ書いたか分からない

こういう場合は、まず「何がどこにあるか」を整理するところからです。当社の相談では、ドメインの契約先の特定、送信元の洗い出し、設定の文字列づくり、DNSへの登録、レポートの読み方までを、画面を一緒に見ながら進めます。キーボードを打つのはご本人で、こちらは隣で手順を示す形です。初回の相談は無料で、設定作業は内容と金額を事前に提示します。

よくある誤解

「うちは小さいから狙われない」：偽メールは、ドメインの名前を機械的に拾って大量に送られます。大きさは関係ありません。
「SSL（https）にしているから大丈夫」：httpsはホームページの通信の暗号化で、メールのなりすましとは別の話です。両方必要です。
「設定したから、もう偽メールは来ない」：止められるのは「お店のドメインを差出人にした」偽物です。似た名前の別ドメイン（文字を1つ変えたもの）からの偽メールは別の対策になります。無料チェックでは、似た名前のアドレスが実在するかも確認しています。

うちのドメインに設定があるか、無料で確認する →

参考：Google「メール送信者のガイドライン」（DMARC等の要件）、総務省迷惑メール対策。本記事は一般的な説明で、個々の環境での設定は契約先の案内に従ってください。

← ブログ一覧に戻る