ドコモメールで「このメールは送信ドメイン認証が行われておりません」という表示がされる、という問合せがあったので、調べたことをご報告です。
キャリアメールって使われているところでは使われている、という感じなんですね。
問合せがあった
キャリアメールでe-mailが使いにくくなって、最近ではすっかりキャリアメールの存在感がなくなっていますが、使っている人はキャリアメールだけを連絡先として使っている、というケースもあるようです。
そんなユーザからの問合せがきました。（内容は実際の内容から一部改変があります。ご了承ください。）
「携帯電話へのメール送信で不審なメッセージが出ました。」
不審なメッセージ？
「受信したメールに"このメールは送信ドメイン認証が行われておりません"とメッセージが出ています。私が自分で自分の携帯電話に送信したテストメールなのに。これじゃあ他の携帯電話にメールを送れないですよ。」
ん？ああ、でもコチラのメール（Android）アプリだと出ていないんですよね。
「不信感を抱かれてしまうかもしれません。このメッセージが出ないようにしてください。」
不信感、ですか…。
ドコモメールのメッセージ
ドコモメール（PC版のWebブラウザ画面）で実際にメールを受信してみると、以下のようにメッセージが表示されることが確認できました。
この「このメールは送信ドメイン認証が行われておりません」をクリックすると、
このような画面でさらに詳細を確認することができます。この表示に下には、メールヘッダ情報が記載されており、さらに詳細なメッセージを確認できます。
これはなに？
自分自身がキャリアメールをそれほど頻繁に使っていないことや、キャリアメールをしいて使うとしたらキャリアメール同士の連絡でしか使わなくなっていたこともあって、この辺りの情報はそれほどアンテナを張っていなかったというのはあります。
ひとまず、これは何か、というのを調べて見ることにしました。
調べてみたところ、docomo公式でドコモメールに関する仕様変更のリリースがされていました。
■なりすましメール警告表示（2025年1月提供開始）
https://www.docomo.ne.jp/info/spam_mail/spoofing_warning/
これによれば、「メールの送信元の正当性が確認できない場合」が該当しそうです。でもSPFレコードはGoogle対策（Gmailへの送信メールサーバへはSPFレコード必須という仕様変更があった）のときに検証してちゃんとやっているんだけどな、と思いながらこれを読んでいました。
ただ読み進めて行くと、DMARC（Domain-based Message Authentication Reporting and Conformance）に対応していないメールサーバのメールは「メールの送信元の正当性が確認できない場合」と扱う、という読み方ができそうです。SPFだけじゃ足りないってことでしょうか？過去の記事では<送信ドメイン認証（Sender ID／SPF）について><https://www.docomo.ne.jp/service/imode_mail/notice/sender_id/>のようにSPFで十分だったようですが。
他のサイトでも結構メッセージ自体の解説はあるものの、対策として挙げられているのは、
メール受信者が「警告メッセージを非表示にする方法」で
「送信ドメイン未認証メールの警告表示」を（警告オフにすることで）受信するメールで表示されなくなるという受信者目線での対策が紹介された情報が多くて、メールサーバ目線の解説があまり見つかりませんでした。
もうちょっとないかなと探してみたら、以下の網羅的な情報を見つけました。
■ドコモメールへメールを送信する際の注意事項
https://www.docomo.ne.jp/service/docomo_mail/smtp_notice/
基本的にドコモメールにて受信するメールはこの注意事項を全て満たしていないと警告表示なしの通常メールとして扱ってくれないような感じの記述です。その弊害として警告表示だけでなくメールの遅延や二つもあり得るよ、という記述が見て取れます。
このページでは、メールサーバ（MTA）で実施する対策もメールユーザがメールソフト（MUA）で実施したり送信時に気をつけたりする内容も、両方がまとめて記述されている（なので網羅的ではある）ものの、メールサーバで何をやらなきゃいけないかは抜粋が必要そうです。
具体的には、（自社PCのメールソフトからキャリアメールのメールアドレスに向けたメール送信というのは）以下の流れになっています。（簡素化した図ですが）
この構成の中で、担当する自社のメールサーバに何をやらなきゃいけないかというのが、前述の<https://www.docomo.ne.jp/service/docomo_mail/smtp_notice>にある内容のうち、
- DMARCの導入
- DKIM（送信ドメイン認証）の導入
- SPFレコードの設定（およびAレコードとMXレコードの設定）
の三点がサーバで実施する必要のある対策となります。
簡単にこの三点を解説
ざっくりとした認識ですが、解説しておきます。
SPF（Sender Policy Frameworkの略）は（Googleのおかげで）有名になったので知っている人が増えていますが、DNSレコードにTXTレコードを設定して、メールの発信元をドメインの権威DNSサーバで指定して保証する、という仕組みです。ドメインの管理者がDNSサーバにメールサーバの発信元となるアドレス情報を設定することで、その情報を元になりすましを判定するという手法になります。
正確には、SPFレコードはメールサーバに設定するわけではなく、メールサーバの情報をDNSサーバに設定することになります。
DKIM（DomainKeys Identified Mailの略）というのはSPFと違って、メールサーバに設定する内容となります。
このためメールサーバが対応していないと設定できません。メールサーバ上で「自分がこのメールの送信者です」という情報を付加します。実際に送信されたメールが受信者のメールサーバに到達したときに公開鍵を使って署名することで、"なりすましでない"ということを証明します。
DMARC（Domain-basedMessage Authentication, Reporting & Conformanceの略）は、SPFなりDKIMなりで認証に失敗したメールをどのように取り扱うのかを指定する機能になります。
このため、前提条件としてSPFとDKIMが両方導入されていることが前提条件となります。
なりすましメールを受け取ったらどうする？を決めておき、DNSサーバのTXTレコードで動きを指定することになります。
ドコモメールで必要とされる送信メールサーバの要件
ドコモメールでは、前述"DMARCの導入"が警告表示の有無を左右する、とされているため、前提条件であるSPFやDKIMの導入も必要になります。
この三つの機能で、送られてきた電子メールが"なりすましでない"ことを受信側メールサーバで検証する材料にする、というのがこの技術のポイントになりそうです。
この"なりすましでないことを証明"できるメール以外は「疑わしいメール」として取り扱う、というルールが前述のドコモメールで2025年1月から実施された「なりすましメール警告表示<https://www.docomo.ne.jp/info/spam_mail/spoofing_warning/>」の内容ということになります。
長くなってしまったので、今回はここまで。
引き続き次回以降で、設定に際して実施した内容を具体的に触れていきます。
※次回：
