【これならわかる！】SPF・DKIM・DMARCの仕組みを「郵便」で説明してみた

「メールのなりすまし防止対策（SPF・DKIM・DMARC）って、非エンジニアにどう説明すればいいの…？」

専門用語を使わずに説明しようとすると、途中で頭がパンクしそうになりますよね。

今回は、難しい技術仕様を削ぎ落とし、「手紙の配達」に例えてできる限りシンプルに整理してみました！

まずは登場人物（メールの要素）

サトウ家（ドメイン所有者）：正しく手紙を送りたい人
表の差出人（Header From）：封筒の表面に書いてある差出人（メール画面で見える名前）
裏の発送者（Envelope From）：郵便局が配送手続きに使う差出人（システム内部で使う名前）

悪者は、この「表の差出人」に嘘の名前（サトウ家）を書いて騙そうとしてきます。それを見抜くのが3つの仕組みです。

3つのなりすまし防止対策

1. SPF（どのポストから投函されたか？）

仕組み：郵便職員は、ポストから封筒を回収するときに「どのポストから取り出したか」をスタンプします。サトウ家は「自分たちはこのポストを使う」と全世界に公開しているため、受取人はスタンプと公開情報を見比べることで、正規のポストから出されたか確認できます。
弱点：悪者が「裏の発送者」として自分のポストを使いつつ、封筒の「表の差出人」に嘘で「サトウ家」と書くことができるため、SPFだけでは完全な保証になりません。

2. DKIM（鍵付きの南京錠）

仕組み：サトウ家から出された封筒には、集荷元の郵便局で「南京錠」がかけられます。世界中の郵便局にはその錠を開ける鍵が配られており、届け先の郵便局で開けて確認します。
効果：無事に開けば「封筒の内容が途中で改ざんされていないこと」「南京錠が確かにサトウ家のものであること」が証明されます。

3. DMARC（届け先郵便局のルールブック）

仕組み：届け先の郵便局は、サトウ家が公開している「ルールブック」に従って配送処理を行います。
ポイント：DMARCの最も重要な役割は、「封筒の表の差出人（Header From）」と「裏の発送者・南京錠（Envelope From / DKIM）」が一致しているかまで厳格に突き合わせることです。

【ルールブック（DMARC方針）の指示例】

両方OK（表と裏の差出人も一致） ➔ 「安心して受取人に渡すこと」

どちらかがNG（または表と裏が食い違っている） ➔ 「迷惑メールボックスに入れる」または「ゴミ箱に捨てること」

まとめ

対策	例え	チェックしていること
SPF	ポストの確認	許可された正規のサーバー（ポスト）から送られたか？
DKIM	南京錠と鍵	途中で内容が改ざんされず、本人が送ったものか？
DMARC	ルールブック	認証結果と、「表の差出人」と「裏の発送者」の一致を確認して処理

単体では抜け道があるSPFとDKIMですが、「DMARCというルールブックで表と裏の差出人の一致まで監視する」ことで、初めて鉄壁の防御になります。

なぜメールのなりすまし対策が必要になったのか？（歴史的背景）

「そもそも、なんでこんなにややこしい仕組みが3つも必要なの…？」そう疑問に思った方も多いのではないでしょうか。

実は、これには「昔のメールの仕組みがゆるすぎた」という歴史的な背景があります。

1. 昔のメールは「みんな善人」という前提で作られた（1980年代）

電子メールの基礎（SMTP）が生まれた1980年代当時、インターネットを使っていたのは大学や研究機関など、限られた信頼できる人々だけでした。

そのため、システムを作った人たちは「わざわざ他人になりすましてメールを送る悪人なんていないだろう」と信じ切っていたのです。

その結果、手紙の差出人欄に誰の名前でも書けるのと同じように、「メールの画面に表示される差出人名（Header From）は誰でも自由に偽装できる」という致命的な穴を残したまま、メールの仕組みが世界中に広まってしまいました。

2. 悪人の登場と「なりすまし詐欺」の爆発（1990〜2000年代）

ネットが一般化すると、悪者たちがこの抜け道に気づきます。

銀行や有名企業になりすまして偽メールを送る（フィッシング詐欺）
他人のメールアドレスを勝手に使って大量のスパムを送る

「銀行からの連絡だと思って開いたらパスワードを盗まれた」「自社のメールアドレスが悪用され、見知らぬ人から苦情が殺到した」といった被害が世界中で大問題になりました。

3. 「後付けの重ね着」で進化してきた3つの対策

「メールの仕組み自体をゼロから作り直すのは不可能」だったため、既存の仕組みの上にセキュリティを重ね着していく補強作業が始まりました。それがSPF、DKIM、DMARCの歴史です。

【第1世代】SPF（2000年代前半〜）
  「正規のポスト（送信元サーバー）から出されたか」をチェック！
  ⇒ 弱点：転送メールで失敗しやすい／「表の差出人」の偽装は見抜けなかった。

【第2世代】DKIM（2000年代半ば〜）
  「電子署名（南京錠）」で改ざん防止と本人確認をチェック！
  ⇒ 弱点：署名は本物でも、失敗したメールをどう処分すべきかの指示が出せなかった。

【第3世代】DMARC（2010年代〜現在）
  SPFとDKIMをまとめあげ、「表と裏の差出人一致」を検証する最強のルールブック！
  ⇒ 完成：「偽物は捨てて！」などの指示まで出せる完璧な防壁が完成。