簡潔な回答
独自メールドメインの DKIM はどう設定しますか?
メールプロバイダーのドメイン設定を開き、表示される DKIM レコードをコピーして、_domainkey の名前の下で DNS に公開します。Proton Mail と Fastmail は CNAME レコード3つ、Mailbox.org は4つです。Postelva は無料のDNSエディターでそれらをホストし、プロバイダーがレコードを検出すると署名が始まります。
3つのプロバイダーの DKIM レコード
| プロバイダー | 記録 | 名前(ホスト) | 向け先 |
|---|---|---|---|
| Proton Mail | 3 CNAME | protonmail._domainkey, protonmail2._domainkey, protonmail3._domainkey | domains.proton.ch 配下のターゲット。ドメインごとに固有 |
| Mailbox.org | 4 CNAME | MBO0001._domainkey から MBO0004._domainkey | MBO0001._domainkey.mailbox.org と、MBO0004 まで同様 |
| Fastmail | 3 CNAME | fm1._domainkey, fm2._domainkey, fm3._domainkey | fm1.yourdomain.dkim.fmhosted.com。fm2 と fm3 も同様 |
最終確認日 。それより古い数値にはそれぞれの日付を記載しています
5つのステップで DKIM を設定する
プロバイダーの DKIM タブを開く
Proton Mail では、設定、組織、ドメイン名と進み、そのドメインの DKIM タブです。Fastmail と Mailbox.org では、ドメイン設定にレコードが一覧表示されます。
名前とターゲットをそれぞれコピーする
そのままコピーしてください。再入力はしないでください。ターゲットの1文字が違うだけで、鍵を読み取れなくなります。
DNSエディターでレコードを追加する
プロバイダーが示すホストで、1行につき CNAME レコードを1つ作成します。DNSエディターが自動でドメインを付け足す場合は、その前の部分だけを入力してください。
待ってから、プロバイダーに確認を依頼する
プロバイダーの確認または再チェックのボタンをクリックします。新しいレコードがあらゆる場所で見えるようになるまで、数分から数時間かかることがあります。
テストメッセージを送り、結果を読む
別のプロバイダーのアドレスにメッセージを送り、完全なヘッダーを開いて dkim=pass を探します。そのあと DMARC レコードに進みます。
; Fastmail (replace example.com with your domain)
fm1._domainkey.example.com. IN CNAME fm1.example.com.dkim.fmhosted.com.
fm2._domainkey.example.com. IN CNAME fm2.example.com.dkim.fmhosted.com.
fm3._domainkey.example.com. IN CNAME fm3.example.com.dkim.fmhosted.com.
; Mailbox.org
MBO0001._domainkey.example.com. IN CNAME MBO0001._domainkey.mailbox.org.
MBO0002._domainkey.example.com. IN CNAME MBO0002._domainkey.mailbox.org.
MBO0003._domainkey.example.com. IN CNAME MBO0003._domainkey.mailbox.org.
MBO0004._domainkey.example.com. IN CNAME MBO0004._domainkey.mailbox.org.DKIM はどのように機能しますか?
DKIM では、送信サーバーが秘密鍵で各メッセージに署名し、受信側は DNS に公開された公開鍵で署名を確認できます。 署名は DKIM-Signature ヘッダーにあります。署名ドメイン(d=)、セレクター(s=)、署名対象ヘッダー(h=)、本文のハッシュ(bh=)、署名そのもの(b=)を含みます。Internet Standard である RFC 6376 がこれらのタグを定義しています。
受信側は、セレクターとドメインから DNS 名を組み立てます。selector._domainkey.domain です。セレクター fm1 とドメイン example.com なら、fm1._domainkey.example.com を問い合わせます。応答は、タグ v=DKIM1、k=rsa、そして base64 の公開鍵が続く p= を含むレコードです。p= が空なら、鍵は失効しています。
有効な署名は2つのことを証明します。メッセージが、そのドメインの秘密鍵を持つシステムによって署名されたこと、そして署名された部分が転送中に変更されていないことです。メッセージが望ましいものであるとは言っていません。その判断は DMARC の役割で、SPF、DKIM、DMARC の違いで取り上げています。
なぜプロバイダーは鍵ではなく CNAME レコードを求めるのですか?
CNAME は鍵の管理をプロバイダーに委ねます。公開鍵はプロバイダーのアドレスに置かれたままで、プロバイダーは DNS の編集をお願いすることなく、鍵を入れ替えられます。 Proton Mail、Fastmail、Mailbox.org はいずれもこの方式です。レコードは、あなたのセレクター名から、プロバイダーが管理するホストへの CNAME で、そこに実際の鍵レコードがあります。
利点は鍵のローテーションです。RFC 6376 は、セレクターを再利用せず、新しいセレクターの下に新しい鍵を公開することを勧めており、Proton Mail は3つのセレクター(protonmail、protonmail2、protonmail3)を公開して、ある鍵から次の鍵へ移る余地を確保しています。あなたにとっての代償は信頼です。プロバイダーのホストが応答し続けることに依存します。
2026年11月12日時点の Postelva の比較によると、ヘルプページで DKIM レコードを確認できた3つのプロバイダーが必要とする CNAME レコードは3、4、3件で合計10件であり、TXT の鍵を求めるところはありません。
DKIM の鍵の長さはどのくらいにすべきですか?
2048ビットの RSA 鍵を使ってください。1024ビットは、RFC 6376 が長期間使う鍵として許容する最小値です。 標準では、署名者は少なくとも1024ビットの RSA 鍵を使わなければならず、検証者は512〜2048ビットの鍵を検証できなければなりません。Google の送信者ガイドラインは、少なくとも1024ビットを求め、2048ビットを推奨しています。上記の CNAME の設定のように、プロバイダーが鍵を作成する場合、長さはプロバイダーが選ぶため、あなたが設定することは何もありません。
自分でサイズを選ぶ必要があるなら、2048を選んでください。2048ビットの鍵は DNS の255文字の1つの文字列より長いため、TXT の値は複数の文字列に分割されます。ほとんどの DNS エディターは自動で行います。SPF レコードの作成方法で説明している SPF レコードにも、同じエディターの制限があります。
1つのドメインで複数のプロバイダーを使えますか?
はい。各プロバイダーが独自のセレクターで署名するため、DKIM レコードが衝突することはありません。 その理由がセレクターです。Proton は protonmail、protonmail2、protonmail3、Fastmail は fm1、fm2、fm3、Mailbox.org は MBO0001 から MBO0004 を使います。あなたの名前で送信するニュースレターツールは、独自のセレクターを追加します。
SPF は異なります。すべての送信者に対して1つのレコードを持ち、10回のルックアップ制限があります。プロバイダーを完全にやめるときは、新しいプロバイダーが署名していることを確認してから、そのプロバイダーの DKIM レコードを削除してください。放置された鍵が、古いアカウントにアクセスできる誰かに使われないようにするためです。移行の手順全体はメールを失わずに新しいプロバイダーへ移す方法をご覧ください。
DKIM が機能していることをどう確認しますか?
dig でセレクターを検索し、そのあと実際のメッセージを送ります。 dig CNAME fm1._domainkey.example.com +short というコマンドで、プロバイダーのターゲットが表示されるはずです。TXT の鍵の場合は、代わりに TXT を問い合わせます。決定的なテストはメッセージです。受け取ったコピーのヘッダーに、受信サーバーが dkim=pass を記録したかが示されます。
レコードが正しいのに確認が失敗する場合、よくある原因は、ホスト名の誤り(DNSエディターによるドメインの二重追加)、古いキャッシュ、プロバイダーが署名を有効にする前に送ったメッセージです。次のガイドMX、SPF、DKIM、DMARC レコードの確認方法にコマンドを載せています。Fastmail の手順の全体はFastmail 独自ドメインのガイドにあります。
DKIM 設定についてのよくある質問
DKIM セレクターとは何ですか?
セレクターは、署名者が選ぶ、fm1 や protonmail のような、1つの鍵を識別するラベルです。これにより、ドメインは複数の鍵を同時に保持し、ダウンタイムなしに入れ替えられます。
SPF があるなら DKIM は必要ですか?
はい。SPF はメッセージが転送されると壊れますが、DKIM の署名は、メッセージが改変されない限り残ります。Gmail の大量送信者のルールは、両方を求めています。
なぜ DNSエディターはアンダースコアで始まるレコードを拒否するのですか?
_domainkey のようなアンダースコア付きの名前は、ホスト名としては有効でなくても、DNS では有効です。プロバイダーが示すとおりにホストを入力し、ドメインを二重に追加しないでください。
DKIM セレクターを変更できますか?
プロバイダーが設定します。Mailbox.org は MBO0001 から MBO0004、Fastmail は fm1 から fm3、Proton Mail は protonmail から protonmail3 を使います。名前は変更しないでください。
DKIM はメッセージを暗号化しますか?
いいえ。送信元と完全性を証明するためにメッセージに署名するもので、内容は隠しません。
まとめ
- DKIM は各メッセージに署名します。公開鍵は selector._domainkey.domain に置かれます。
- Proton Mail と Fastmail は CNAME レコードが3つ、Mailbox.org は4つ必要です。
- 名前とターゲットは、プロバイダーの画面から正確にコピーしてください。Proton Mail のターゲットはドメインごとに固有です。
- RFC 6376 は、署名者に少なくとも1024ビットの RSA 鍵を使うことを求めています。2048を推奨します。
- 各プロバイダーが独自のセレクターを使うため、複数のプロバイダーが1つのドメインに署名できます。
- dig と、dkim=pass を示す実際のメッセージでテストします。
- Postelva は無料の DNS でレコードをホストします。.com は毎年 $12.49/年 です。
出典 (5)
- RFC 6376、DomainKeys Identified Mail (DKIM) Signatures — RFC Editor (2026-11-12 確認)
- メール送信者のガイドライン — Google Workspace Admin Help (2026-11-12 確認)
- 独自ドメインとなりすまし対策 — Proton (2026-11-12 確認)
- 独自ドメインの SPF、DKIM、DMARC — Mailbox.org (2026-11-12 確認)
- Fastmail の DNS ヘルプ — Fastmail (2026-11-12 確認)