2024年02月01日Googleは一日に5000件Gmailに送信するメールアカウントに対して
通常よりさらに厳格なポリシーを適用することになり、警視庁の情報提供フォームが使えなくなると言った
問題が起きています。

このポリシー変更はメールマガジンを配信する別名リストマーケティング
を行うブロガーなどにも強く悪影響が出るのでここで一度Gmailの一括送信ガイドライン
についておさらいしておこうと思います。

全体的に本件のガイドラインは多数のメールを一度に送っている送信者がなりすましでないか?
と言う判定におけるポリシーが強化されていると言うことができます。

この記事の著者

魔理沙っち(爲國 勇芽)@marisachi426

3年目の副業ブロガー。2年間のブログ経験を活かし、2022年にテックライフを開設。
WordPress立ち上げのノウハウやITを生かして生活を豊かにする情報を配信中。

目次

Gmail宛てメール送信者に求められる要件の概要

Googleには、Gmailアカウントにメールを送信するすべての送信者にたいして一定の
ガイドラインを設けています。

それが送信者ガイドラインです。
以下はその要約となります。

  • ドメインに SPF または DKIM メール認証を設定します。
  • 送信元のドメインまたは IP に、有効な正引きおよび逆引き DNS レコード(PTR レコードとも呼ばれます)があることを確認します。詳細
  • メールの送信に TLS 接続を使用します。Google Workspace で TLS を設定する手順については、メールのセキュアな接続を必須にするをご覧ください。
  • Postmaster Tools で報告される迷惑メール率を 0.10% 未満に維持し、迷惑メール率が決して 0.30% 以上にならないようにします。詳しくは、迷惑メール率の詳細をご覧ください。
  • Internet Message Format 標準(RFC 5322)に準拠する形式でメールを作成します。
  • Gmail の From: ヘッダーのなりすましはしないでください。Gmail では、DMARC の検疫適用ポリシーの使用が開始されます。Gmail の From: ヘッダーのなりすましをした場合、メール配信に影響する可能性があります。
  • メーリング リストや受信ゲートウェイを使用するなどして、メールを定期的に転送する場合は、送信メールに ARC ヘッダーを追加します。ARC ヘッダーによって、メールが転送されたことが示され、送信者が転送者と見なされます。メーリング リストの送信者は、メーリング リストを指定する List-id: ヘッダーも送信メールに追加する必要があります。

これをリストにし整理すると以下の形になります。

要件全てのメール送信者1日5,000通以上のメール送信者
ドメイン用のSPFまたはDKIMメール認証を設定するSPFまたはDKIM
但し、迷惑メール率0.3%以下の要件があるので、実質SPFとDKIMの実装
SPFとDKIMの実装
DMARCの実装不要
但し、迷惑メール率0.3%以下の要件があるので、実質必要
必要
DMARCのポリシーp=noneで良いが、迷惑メール率0.3%以下の要件があるので、実質p=quarantineもしくはreject
FDrDNS必要
但し、SPFが実装されていれば、SPFの仕様上は非奨励
STARTTLS必須
迷惑メール率0.3%以下
機械による判別ではなく、ユーザが迷惑メールであるとマークした数によって計算される
RFC5322準拠のメールフォーマット必須
ARC必須
メーリングリストのList-idヘッダ必須
RFC8058ベースのワンクリック配信停止不要必要

電子メールのなりすまし対策

送信ガイドラインの規定は、主になりすましを対策する目的があります。

以下はなりすまし対策に使われているメールのテクノロジーです。

  • STARTTLS|通信の安全性確保
  • SPF|送信サーバーの一致性の確認
  • DKIM|送信ドメインの一致性の確認
  • DMARC|なりすましメールに対する検疫ポリシー
  • DNSの正引き・逆引き|ドメインと送信サーバーの所有者の透明性向上
  • BIMI|トレードマーク認証
  • S/MIME|メールの暗号化と電子署名

STARTTLS|通信暗号化

STARTTLSとは「START+TLS」の2つの要素で構成され、STARTとは「メールを送る前の段階
(最初)には暗号化されていない状態であり、TLSを使用した暗号化通信に切り替えを行う」ことを意味します。

加えて、TLSは前述のようにSSLがバージョンアップした暗号化の通信手順を指し、
メールを安全に通信するために通信内容の暗号化を行います。

SSLとはSecure Secure Layerの略称で、SSL証明書と言う物を用いて
通信内容を暗号化する方法の事、Web分野などでも活用されており、個人情報を収集するときなどを
必ず対応することが義務付けられている。

しかし、SSLには脆弱性が多く情報流出の温床となっていた、そこでセキュリティレベルを強化したのがTLS「Transport Layer Security」である。

TLSはHTTPなどのアプリケーション層のプロトコルと組み合わせることで、
HTTPSなどセキュアな通信プロトコルを実現している。そのようなプロトコルとして以下のものがある。

SSLと組み合わせたプロトコルポート番号元のプロトコルポート番号
HTTPS443HTTP80
SMTPS465SMTP25
LDAPS636LDAP389
FTPS (data)989FTP (data)20
FTPS (control)990FTP (control)21
IMAPS993IMAP143
POP3S995POP3110

STARTTLSへの対応は、送信サーバーにSSL/TLS認証書を用意することで完了できます。

ほとんどのレンタルサーバーのメールサーバーは標準でSTARTTLSに対応しています。

魔理沙っち

しかし、TLSは平文(暗号化していない状態)での通信に比べてクライアントのリソース(計算能力)
を多く消費するので必要しか使われてこなかった。

エンジニア

しかし、Googleの非暗号化サイトの排除により
短い鍵長で瞬時に処理できる楕円曲線DSAと
呼ばれる証明書を活用したサイトが増えている。

触りだけ解説「ECDSA|楕円曲線DSA暗号とは」

楕円曲線暗号とは、データを暗号化するときに楕円曲線を下図を活用して
暗号化する暗号スイート(暗号化方式のこと)。

一般的に活用されるSHA256やDSA、RSAなどの証明書では高いセキュリティーを維持するために
2048bit長の長さを持つ証明書が必要ですが楕円曲線DSAでは224bitと言う驚異の短さで同じ
セキュリティレベルを得れるためクライアントのリソース負荷を軽減することができる。

SPF|送信サーバーの一致性の確認

SPF「Sender Policy Framework」とは、送信のメールサーバーを認証することで
ドメインのなりすましを防止するごく標準的ななりすまし対策技術です。

DNSのドメイン情報を配布する仕組みを活用して、ドメインに成り代わって送信できるメールサーバを
限定化することでなりすましによる迷惑メールの送信を抑制することが可能です。

具体的な仕組みは・・・

受信側のメールサーバーは 「リターンパス・ヘッダ を受信メールアドレスの中に入れて、送信IPアドレスが送信ドメインのSPFレコードに含まれていることを確認します。

送信IPアドレスがSPFレコードに含まれていない場合、SPFチェックは失敗し、
受信メールサーバーはそのメールを疑わしいと判断して拒否します。
下図参照

SPFへの対応はお使いのネームサーバ―(DNS)にSPFレコードと呼ばれる、
TXTレコードを作成することで終わります。

v=spf1 +mx +a +ip4:183.90.181.102 ~all

上記が設定されている場合は、@marisachi426.comがメールを送るとき
送信サーバーがmxレコードに列挙されるサーバーアドレスでIPアドレスが
183.90.181.102ではない場合は全てなりすましとして迷惑ボックス送りと判断してください!
と言う解釈になる。

これがもし、

v=spf1 +mx +a +ip4:183.90.181.102 -all

となっていた場合は、送信サーバーのアドレスが183.90.181.102と一致していない場合は
全て受信せず破棄してくださいとなる。

魔理沙っち

この場合は迷惑メールフォルダーにすら保存されないのでポリシーの設定は慎重に行いましょう。

DKIM|送信ドメインの一致性の確認

DKIM(Domain Keys Identified Mail)は、電子メールの偽造を防ぐための技術の一つです。DKIMは、特定のドメインから送信されたメールが改ざんされていないことを確認するためのデジタル署名をメールに追加します。これにより、受信者はメールが本当にそのドメインから送信されたものであるか確認することができます。

電子メールの送信者がメールを送信する前に、送信ドメインの秘密鍵を使用してメールのヘッダと本文を署名します。受信者は、公開鍵を使用して受信したメールの署名を検証し、改ざんされていないかどうかを確認します。この方式により、フィッシング詐欺やスパムメールなど、メールの信頼性を低下させる悪意ある行為を防ぐことができます。

DKIMの導入により、電子メールの送信元の認証と信頼性が向上し、受信者は安心して正当なメールを受け取ることができます。

SPFとDKIMの違い

SFPDKIM
送信元サーバーの認証×
なりすましの検証
送信ドメインの認証×
改竄の検証×
転送メールへの認証×
セキュリティーレベル一般的高い
導入難易度低い難しい(専門知識が必要)
魔理沙っち

DKIMの実装方法は各メール送信サーバ―事業者の
ドキュメントを参照してください。

エンジニア

送信サーバーによって作成するべきDNSレコードが異なるため割愛させていただきます。

DMARC|なりすましメールに対する検疫ポリシー

Domain-based Message Authentication, Reporting and Conformance (DMARC)は
前項のDKIMやSPFを補完する技術で主に認証をしなかったときや認証時に整合性が
取れなかったときのメールを受信者がどう扱うべきかを決定付けるポリシーです。

DMARCのポリシーがrejectである場合は、認証に通過できなかったメールはなりすましとして
受信者メールサーバーにて保存されず削除されます。

一方quarantine(検疫)が採択されると、認証に失敗したメールは
なりすましによる迷惑メールとして迷惑メールフォルダーに隔離されます。

最後にnoneは如何なる状況にあっても処理を行わずレポート送信先のメールアドレスが
ある場合は認証結果を送信して通常の受信者メールサーバーのポリシーに則て処理させます。

魔理沙っち

Gmailのポリシーは検疫になっているためnoneの場合やDMARCが設定されていない場合はなりすましメールは
迷惑メールフォルダーに隔離されます。

DMARCの導入方法は非常に簡単で_dmarc.送信元ドメインと言う名前の
TXTレコードを作成して以下の通り記述するだけです。

v=DMARC1; p=reject; rua=mailto:c2d7e838e09e45dbafe60490a8d70ad4@dmarc-reports.cloudflare.net,mailto:qrke3zzp@ag.jp.dmarcian.com;

vはバージョン

pはポリシー推奨reject

ruaやrufは認証レポートの送信先メールアドレスを指定します。

DNSの正引き・逆引き|ドメインと送信サーバーの所有者の透明性向上

DNSの正引きとはIPをドメインにすること言います。

反対にIPからドメイン名を引くことを逆引きと言います。

この時PTRレコードと呼ばれる逆引き用のレコードをサーバやドメインが所轄する
上位のDNSに逆引きゾーンとして記録することでドメインやサイト、サーバーの
所有者を透明化することができます。

魔理沙っち

逆引き対応は非常に難しいので個人だと対応がしにくいかもしれません。

BIMI|トレードマーク認証

Brand Indicators for Message Identification」の略で、対応しているメールクライアント
(メールソフト)の受信トレイでブランドロゴを表示できる、比較的新しいメールの仕様です。

受信者は、ロゴの表示を確認することで、
なりすましではなく正規の送信元からのメールであることを認識できます。

DMARC承認後にロゴ画像を取得し、VMC証明と言うトレードマーク証明書をもちいて
ブランドロゴの所有権が確認できたときのみロゴを表示することで開封率・到達率を高める
なりすまし対策の一つ。

魔理沙っち

個人では実装がほぼ不可能です!

VMC証明書の取得要件

  • ロゴ(トレードマーク)が商標登録されていること
  • 取得コスト1年で261,800円 ※税抜238,000円

と言うことで個人で100%不可能です。

S/MIME|メールの暗号化と電子署名

S/MIME(Secure / Multipurpose Internet Mail Extensions)とは、電子メールのセキュリティを向上する暗号化方式のひとつで、電子証明書を用いてメールの暗号化とメールへ電子署名を行うことができます。 S/MIMEの方式を用いるには、送信者と受信者側との両方がS/MIMEに対応する電子メールソフトを使用している必要がありますが、Microsoft社のOutlookやiPhone・iPadのメールソフトなど多くのメールソフトが対応しています。

メールアドレスその物実在性を証明する証明書とメールを署名する証明書が含まれた証明書
を使うことでメールに対してタイムスタンプを挿入して改竄を検知すると同時に解読不可能な
メールにすることでなりすましや個人情報の流出を限りなく防ぐ方法。

魔理沙っち

企業メールに付いてくる署名欄の電子版と認識すればOK

エンジニア

主に金融機関など高いセキュリティーが要求される分野
で活用されます。

S/MIME証明の取得要件(個人向け)

  • 送受信可能なメールアドレス
  • 取得コスト1年無料(更新無し)
魔理沙っち

以上がメールのなりすまし対策と呼ばれる
Gmailの一般送信ガイドラインです。

一括送信ガイドライン【ダイレクトメール向け】

一括送信ガイドラインと言う物は主に1日5000通を超えるメールマガジンやダイレクトメールの
送信者に適用される追加のガイドラインです。

  • ドメインに SPF および DKIM メール認証を設定します。
  • 送信元のドメインまたは IP に、有効な正引きおよび逆引き DNS レコード
    (PTR レコードとも呼ばれます)があることを確認します。
  • メールの送信に TLS 接続を使用します。
  • Postmaster Tools で報告される迷惑メール率を 0.10% 未満に維持し、
    迷惑メール率が決して 0.30% 以上にならないようにします。
  • Internet Message Format 標準(RFC 5322)に準拠する形式でメールを作成します。
  • Gmail の From: ヘッダーのなりすましはしないでください。
    Gmail では、DMARC の検疫適用ポリシーの使用が開始されます。
    Gmail の From: ヘッダーのなりすましをした場合、メール配信に影響する可能性があります。
  • メーリング リストや受信ゲートウェイを使用するなどして、メールを定期的に転送する場合は、
    送信メールに ARC ヘッダーを追加します。
    ARC ヘッダーによって、メールが転送されたことが示され、送信者が転送者と見なされます。
  • メーリング リストの送信者は、
    メーリング リストを指定する List-id: ヘッダーも送信メールに追加する必要があります。
  • 送信ドメインに DMARC メール認証を設定します。DMARC 適用ポリシーは none に設定できます。
    ですがrejectが望ましい。
  • ダイレクト メールの場合、送信者の From: ヘッダー内のドメインは、SPF ドメインまたは DKIM ドメインと一致している必要があります。これは DMARC アライメントに合格するために必要です。
  • マーケティング目的のメールと配信登録されたメールは、ワンクリックでの登録解除に対応し、
    メッセージ本文に登録解除のリンクをわかりやすく表示する必要があります。
魔理沙っち

登録解除用のリンクとメールアドレス変更用のリンクを
それぞれ別々で用意して解除用のリンクが使われたら直ちに購読が解除される必要があります。

エンジニア

ブロガーのメールマガジンだと購読停止かメールアドレス変更を選択する仕様になってるリンクが多いのでこれではガイドラインに準じているとは言えません。

2024 年 2 月 1 日より前に 1 日あたり 5,000 件を超えるメールを送信する場合も、できるだけ早くこの記事のガイドラインに沿って対応してください。この期限までに送信者の要件を満たすことで、メールが確実に配信される可能性が高まります。この記事の要件を満たしていない場合、メールが想定どおりに配信されなかったり、迷惑メールに分類されたりする可能性があります。メール配信に関して問題が発生した場合は、トラブルシューティングをご覧ください。

Fromのドメインを変更してはならない

メールは送信時にFromアドレスを変更することで送信ドメインを変更することができたりします。
しかし、Fromドメインをむやみやたらに変更してはいけません。

これはSPFやDKIMで設定されたドメインと一緒にする必要があるためです。

これらと異なるドメインが設定されるとDMARCによってなりすましと扱われ
Googleにメールが隔離又は破棄されることになります。

ワンクリック登録解除に対応する必要がある

メールマガジンなどマーケティングが目的でメーリングリストを活用して
送信する場合はヘッダーにListID情報を含めると同時にワンクリックによる
購読解除を有効にする必要があります。

また、有効になったワンクリック購読解除のURL情報はヘッダーに乗せる必要があります。

Gmailからヘッダー情報を確認する方法

以下の手順で実際にGmailのヘッダー情報を確認してみましょう。

STEP

テストメールを送信する

まずはじめにメールマガジンなどで使用するメールドメインのアドレスで
自信のGmailアドレスにテストメールをおくります。

STEP

Gmailからメールを開く

送信したら、Gmailで受信したメールを開きます。

STEP

メッセージソースを表示させる

開いたメールの右上の3点ボタンにメッセージソースを表示と言うメニューがあるので
それをクリック。

STEP

SPF、DKIM、DMARCがすべてPASSになっているか確認

追加のウィンドウでSPF、DKIM、DMACの3つが全てPASSになっていれば
一般送信者向けのなりすまし対策は完了です。

したがってGmailの一般送信ガイドラインに準拠したこととなり、
迷惑メールに入らなくなります。

STEP

一括送信ガイドライン用①メーリングリストIDの有無を確認する


Mailchampなどのマーケティング用メーラーのテストメール送信機能で自身のGmailに
テストメールを送信しソースを表示させます。

表示して上図の様にList-IDと言う情報が含まれていれば一括送信要件の1つ目はクリアです。

STEP

一括送信ガイドライン用②ワンクリック購読解除の有無を確認する

テストメールの部分は同じ流れで今度はメッセージソースヘッダーに
List-Unsubscribe-Post: List-Unsubscribe=One-Clickと
List-Unsubscribe:購読解除用URLが含まれていること

メール本文にワンクリックで購読が解除できるリンクが含まれていることを確認します。
これらの2つが2月1日以降全て含まれていればGmailの一括送信向けガイドラインは
順守されたことになります。

まとめ|備えあれば憂いなし

今回はGoogleの送信者ガイドラインの技術的要件を解説しながら、
メールのなりすまし対策技術について解説しました。

S/MIMEは無くてもGoogleの要件を満たせますが、あるに越したことは無いので
暇があればぜひ導入してみては?

合わせてメールマガジンでブログの集客を行う人は、日本の規制法である
特定電子メール法(特電法)に準じているかも合わせて確認しましょう。

この記事でブロガーのメールの配達率が少しでも向上すれば幸いです。

この記事が気に入ったら
いいね または フォローしてね!

参考になったらシェア!

この記事を書いた人

魔理沙っちのアバター 魔理沙っち 自称:精肉社畜個人投資家自作erブロガーゲーマー

#ブルプロ待機勢
化け物スペック魔女っ子!!!!!!!!!!!!!!
https://potofu.me/marisachi426

普段は精肉で鶏肉を開いてる社畜さha!
家帰ればすぐさま始まる俺の第二姿ho!
自作、サイト運営、雑談なんでもカモーン!!
オンラインゲーム仲間募集中!
DiscordID:Marisa45201#0145

コメント

コメントする

目次