Amazon SESのSPF・DKIM・DMARC設定ガイド

Amazon SESメール認証設定ガイド

2025年10月31日
著者: Yunes Tarada
翻訳: 東條 百々朱

この記事はPowerDMARCのブログ記事 A Step-by-Step Guide to Setting Up SPF, DKIM, and DMARC for Amazon SES の翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。

主なポイント

1. Amazon SESでSPF、DKIM、DMARCを使用して送信ドメインを認証することで、スプーフィングを防止し、メール到達率を向上できます。
2. Amazon SESでは、DKIMやカスタムMAIL FROMドメインの設定に必要なCNAME、TXT、MXレコードが自動的に生成されます。
3. Amazon SESで正しく検証を完了するには、DNSレコードを正確に設定し、変更が反映されるまで待つことが重要です。
4. PowerDMARCのツールを使用すると、SPF、DKIM、DMARCの設定が正しいかを確認し、継続的に監視できます。

Amazon SES向けにSPF、DKIM、DMARCを設定することで、メールの正当性を確認できるようになり、安全な送信と受信トレイ到達率の向上につながります。
では、それぞれの認証方式がどのような役割を持つのか見てみましょう。

SPF（Sender Policy Framework）は、自社ドメインに代わってメールを送信できるメールサーバを指定する仕組みです。
DKIM（DomainKeys Identified Mail）は、メールにデジタル署名を追加し、送信後にメールが改竄されていないことを確認する仕組みです。
DMARC（Domain-based Message Authentication, Reporting & Conformance）は、SPFやDKIMの認証結果をもとに、認証に失敗したメールを受信側がどのように処理するかを指定し、認証状況をレポートとして確認できるようにします。

これらの認証方式を組み合わせることで、ブランドをスプーフィングやフィッシングから保護しながら、送信者評価やメール到達率の向上につなげられます。
以下の手順に従ってAmazon SESでSPF、DKIM、DMARCを設定し、受信トレイ到達率と送信者としての信頼性を高めましょう。

Amazon SESでSPF、DKIM、DMARCを設定する方法

ステップ1：Amazon SESのDKIMレコードを設定する

まず、Amazon SESで送信ドメインを設定します。
この手順では、DKIMの設定も同時に行います。

1. Amazon SESのダッシュボードを開きます。
2. 画面左側のメニューから「Configurations」>「Identities」へ移動します。
3. 「Identity」の一覧から、設定するドメインを選択します。
4. SESに表示されるDKIM設定用の3つのCNAMEレコードを確認します。
5. 利用しているDNSプロバイダへログインします。
   この例では、Amazon Lightsail DNSを使用します。
6. 対象ドメインのDNS管理画面を開きます。
7. SESに表示された3つのCNAMEレコードを、それぞれ新しく作成します。
   各レコードのタイプはCNAMEに設定してください。
8. SESダッシュボードに表示されている「Record Name」をコピーし、DNS管理画面の「Name」または「Host」フィールドへ貼り付けます。
9. 同様に「Value」をコピーし、「Value」「Target」などの対応するフィールドへ貼り付けます。
   SESに表示されるCNAMEレコード名が完全修飾ドメイン名になっている場合でも、DNSプロバイダによってはドメイン部分を自動的に補完します。
   例えば、xxxxx._domainkey.example.comと表示されている場合、DNS管理画面ではxxxxx._domainkeyのみを入力することがあります。
   必ず利用しているDNSプロバイダの仕様を確認してください。
10. 3つのCNAMEレコードをすべて追加したら、設定を保存します。
11. Amazon SESのダッシュボードへ戻ります。
12. DNSの変更が反映されるまで待ちます。
    反映には数分で済む場合もありますが、DNSプロバイダによっては数時間かかることがあります。
13. 検証が完了すると、SES上のDKIMステータスに「Successful」など、設定完了を示す状態が表示されます。

ステップ2：カスタムMAIL FROMドメインを使用してSPFを設定する

次に、SPFを設定します。
Amazon SESでSPFアライメントを設定する方法の1つが、カスタムMAIL FROMドメインを使用する方法です。

1. Amazon SESで、対象ドメインの設定画面を開きます。
2. 「Edit」をクリックします。
3. 「Custom MAIL FROM domain」セクションを探します。
4. 「Use a custom MAIL FROM domain」のチェックボックスをオンにします。
5. MAIL FROMとして使用するサブドメインを入力します。
   例えば、mail.example.comやbounce.example.comなどを使用できます。
6. 「Save Changes」をクリックします。
7. SESに表示される2つのDNSレコードを確認します。
   通常、1つはMXレコード、もう1つはTXTレコードです。
   TXTレコードにはSPFの設定値が含まれています。
8. DNSプロバイダの管理画面へ戻ります。
9. SESに表示されたMXレコードを追加します。
   レコードタイプをMXに設定し、SESから提供された名前またはホスト名と、値またはターゲットを入力します。
10. 次に、SESに表示されたTXTレコードを追加します。
    レコードタイプをTXTに設定し、名前またはホスト名とSPF値を入力します。
11. すべてのレコードを保存します。
12. DNSの変更が反映されるまで待ちます。
13. 変更が反映されると、Amazon SESにカスタムMAIL FROMドメインの設定が完了したことを示すステータスが表示されます。
    注意点として、同じホスト名に複数のSPFレコードを公開してはいけません。
    すでにSPFレコードが存在する場合は、新しいレコードを追加するのではなく、既存のSPFレコードへ必要な設定を統合してください。

ステップ3：Amazon SES用のDMARCレコードを作成する

最後にDMARCを設定します。

1. まず、対象ドメインにすでにDMARCレコードが公開されていないか確認します。
   1つのドメインに公開できるDMARCレコードは1つだけです。
2. DMARCレコードがない場合は、DNSプロバイダで新しいTXTレコードを作成します。
3. レコードの「Host」または「Name」フィールドへ_dmarcと入力します。
4. 「Value」フィールドへDMARCポリシーを入力します。
   例えば、監視から開始する場合は、次のようなレコードを使用できます。
   

   
   v=DMARC1; p=none; rua=mailto:your_email@example.com;
   

5. your_email@example.comの部分を、DMARC集約レポートを受信する実際のメールアドレスへ置き換えます。
6. TXTレコードを保存します。
7. DNSへ反映された後、DMARCレコードが正しく公開されていることを確認します。
   導入初期はp=noneでレポートを収集し、すべての正当な送信元が正しく認証されていることを確認することをおすすめします。
   問題がないことを確認した後は、p=quarantine、最終的にはp=rejectへ段階的に移行できます。

ステップ4：PowerDMARCで設定を検証・監視する

DNSの変更が反映されたら、SPF、DKIM、DMARCが正しく設定されているかを確認します。
PowerDMARCの各種確認ツールを使用すると、設定内容を簡単に検証できます。

1. PowerDMARCへ登録します。
2. 左側のサイドバーから「ダッシュボード」>「分析ツール」>「PowerToolbox」>「ツールの参照」へ移動します。
3. DKIMレコードを確認します。
   「DKIMレコード参照」をクリックします。
4. 対象ドメインと、必要に応じてDKIMセレクタを入力します。
5. 「参照」をクリックします。
6. DKIMレコードが正しく公開されていることを確認します。
7. SPFレコードを確認します。
   「ツールの参照」へ戻ります。
8. 「SPFレコード参照」をクリックします。
9. 対象ドメインを入力します。
10. 「参照」をクリックします。
11. SPFレコードにエラーがなく、正しく公開されていることを確認します。
12. DMARCレコードを確認します。
    「ツールの参照」へ戻ります。
13. 「DMARCレコード参照」をクリックします。
14. 対象ドメインを入力します。
15. 「参照」をクリックします。
16. DMARCレコードの構文やポリシーが正しく設定されていることを確認します。
17. 問題が表示された場合は、DNS設定を修正し、変更が反映された後に再度確認します。

設定完了後に得られる効果

以上で設定は完了です。
Amazon SES向けにSPF、DKIM、DMARCを正しく設定することで、以下の効果が期待できます。

• 自社ドメインを使用したフィッシングやスプーフィング攻撃を防止しやすくなる
• メールの正当性を受信側が確認できるようになる
• メールが送信後に改竄されていないことを確認できる
• メール到達率を改善し、受信トレイへ届きやすくなる
• 受信者や主要なメールサービス提供者からの信頼向上につながる
• 自社ドメインに代わってメールを送信している送信元を把握できる
• DMARCレポートを通じて、認証失敗や設定ミスを継続的に監視できる

ただし、SPF、DKIM、DMARCを設定しただけで、すべてのメールが必ず受信トレイへ届くわけではありません。
メール到達率には、送信者評価、迷惑メール率、送信量、メールリストの品質、コンテンツ、受信者のエンゲージメントなども影響します。

設定中に問題が発生した場合や、専門家による支援が必要な場合は、PowerDMARCへお問い合わせください。
PowerDMARCのデモへお申し込みいただくことで、メール認証設定の簡素化、継続的なDMARC監視、メールセキュリティの強化、メール到達率の改善をどのように支援できるかをご確認いただけます。