DKIMの設定方法は？Microsoft 365やGoogleで迷わない手順

DKIMは、管理画面に出た値をDNSに追加し、署名を有効にして、社外宛のメールで確かめれば設定できます。Microsoft 365ならCNAMEを2つ⁠、Google WorkspaceならTXTを1つ追加します。

今日やることは、自社のDNSを誰が変更できるかを確かめることです。DNSを変更できる人が分からないと、手順の途中で止まるからです。制作会社やプロバイダが持っている場合は、依頼の連絡先を聞いておきます。

この記事は公開情報を整理したものです。私たちが各サービスを導入や検証したわけではありません。画面の名前や場所は変わることがあり、言語の設定でも表示が変わるので、操作の前にリンク先の公式手順も見てください。関連する対策はメールセキュリティのカテゴリ⁠にあります。

2つ⁠のサービスで何が違う？

同じDKIMでも、DNSに追加する形が違います。

共通の注意は、値を自社の管理画面から写すことです。ネットの記事の例は、そのまま使えません。

Microsoft 365ではどう進める？

Microsoftの公式手順⁠をもとに、カスタムドメインの場合の流れをまとめます。contoso.onmicrosoft.com のような初期のドメインだけでメールを使っているなら、自動で署名されるので作業は要りません。

手順

1. Defenderポータル⁠でメール認証の設定を開き、DKIMのタブを選ぶ
2. 対象のドメインの行で、トグルを有効にしようとする
3. エラーの画面が出るが、これは想定どおりの動き。閉じると状態が CnameMissing になる
4. ドメインの行を開き、詳細に出るCNAMEの値を2つとも控える
5. DNSの管理画面でCNAMEを2つ作る
6. 数分（またはそれ以上）待ち、詳細の画面で署名のトグルを有効にする
7. 状態が Signing DKIM signatures for this domain に変わったことを確かめる

有効にしようとするとエラーが出るので驚きますが、ここで止めずに進みます。

DNSに追加する内容

名前はどの組織でも同じです。値はドメインごとに違います。

この形は2025年5月⁠に導入された、新しいカスタムドメイン向けのものです。値の途中の1文字⁠はMicrosoftが割り当てるもので、自分では決められません。既存のカスタムドメインは、値の末尾が onmicrosoft.com になる古い形式のまま使われ、同じセレクターで新旧の形式は共存できません。どちらの形式でも、画面に出た値に合わせます。

ドメインが複数あるなら、ドメインごとに2つずつ作ります。

鍵の長さは？

Microsoftの説明では、PowerShellの New-DkimSigningConfig の鍵の長さは既定が1024ビットで、2048ビットを指定できます。Rotate-DkimSigningConfig -Identity <ドメイン> -KeySize 2048 で切り替えることもできます。ローテーションの後は、新しい鍵に切り替わるまでの間、古い鍵で検証されます。

Google Workspaceではどう進める？

Googleの公式手順⁠をもとにまとめます。操作には特権管理者のログインが必要です。Gmailを有効にした直後は、24〜72時間ほど待ってから鍵を取得するよう案内されています。

手順

1. Google管理コンソールで、アプリ、Google Workspace、Gmailと進み、メールの認証を開く
2. 対象のドメインを選ぶ
3. 新しいレコードを生成を押す
4. 鍵のビット長を選ぶ。DNSの事業者が対応していれば2048
5. プレフィックスを確かめる。google を別の用途で使っていれば変える
6. 表示された名前と値をコピーする。この時点で認証を開始を押さない
7. DNSにTXTレコードを追加する
8. 動くまで待つ（最長48時間ほど）
9. 管理コンソールに戻り、認証を開始を押す
10. 状態がDKIMでメールを認証、に変わったことを確かめる

DNSに追加する内容

2048ビットの鍵は文字数が長く、DNSの事業者によっては入らない場合があります。Googleのトラブルシューティングは、入力時にエラーが出る場合は文字数の制限を疑うよう案内しています。事業者の手順を確かめ、それでも入らない場合に1024ビットを選びます。

追加した後も、管理コンソールには更新が必要という表示が最長48時間ほど残ることがあります。追加が正しければ無視して構わない、とGoogleは説明しています。

効いたかはどう確かめる？

署名を有効にしただけでは、確かめたことになりません。社外の宛先に送り、受信側で見ます。

• Microsoftの説明では、outlook.comやgmail.comなど別のメールシステムの宛先へ送り、ヘッダーを見る
• Googleの説明では、GmailかGoogle Workspaceの別のユーザーへ送る。自分宛では確かめられない
• Gmailでは、その他のメニューからメッセージのソースを表示で開ける

見る行は2つです。

d= が自社のドメインでないと、次に進めるDMARCの設定⁠で合格になりません。DMARCでは、認証したドメインが差出人のドメインと一致する必要があるからです。

よくつまずく点は？

外部のサービスが署名していない

メールを送っているのがMicrosoft 365やGoogleだけとは限りません。たとえば製造業で、受発注のシステムが自社のドメインで注文の確認メールを送り、問い合わせフォームが自動で返信し、配信サービスが展示会の案内を送っている場合です。それぞれのサービスで、別にDKIMの設定が要ります。

一覧にして、1つずつ事業者に確かめます。「自社のドメインでDKIM署名できますか」「DNSに何を追加しますか」⁠の2つ⁠を聞けば足ります。Microsoftは、直接管理していない配信サービスには、主なドメインではなくサブドメインを使うよう案内しています。

送信の途中で本文が変わる

Googleは、body hash did not verify と出る場合はメールが送信中に変更されたと説明しています。送信ゲートウェイが全メールの下にフッターを足す設定にしていると、これが起きることがあります。免責の文言や署名を自動で足す仕組みがあるなら、DKIMの署名との順番を確かめます。送信時のゲートウェイを入れ替えるときは、メールセキュリティの製品比較で署名の扱いも聞いてください。

名前の入れ方を間違える

DNSの事業者によって、名前の欄にドメインまで書くかどうかが違います。selector1._domainkey だけで入れるのか、selector1._domainkey.example.com まで入れるのかは、事業者の説明で確かめます。登録後に外から引いて、意図した名前で見えるかを確かめます。Googleの管理者ツールボックスにあるDigのツールでも確かめられます。

DNSを別の人が変えられる

DKIMの公開鍵はDNSにあるので、DNSの管理アカウントの守りも一緒に見ます。管理者の多要素認証や、変更の通知を確かめてください。製品が必要な場合はDNSセキュリティの製品比較があります。

次に何をする？

DKIMの設定だけでは、受信側に「失敗したらどうするか」⁠を伝えられません。Googleも、SPFとDMARCを合わせて設定するよう案内しています。Gmailのアカウントへ1日5,000件以上送る送信者には、送信者のガイドライン⁠でSPF、DKIM、DMARCのすべてが求められています。

次の手順はnoneから始めるDMARCの設定⁠に進みます。レポートを読むところを任せたい場合は、DMARCサービスの比較を見てください。