Google Workspaceで独自ドメインのメールを運用するなら、SPFとあわせて確認したいのがDKIMです。DKIMは、送信したメールに電子署名を付け、途中で内容が書き換えられていないことや、送信元ドメインとの関係を受信側が確認するための仕組みです。
Google WorkspaceのDKIM設定では、管理コンソールでキーを生成し、その内容をDNSへTXTレコードとして登録した後、管理コンソールで認証を開始します。操作の順番を入れ替えず、最後に別のアカウントへテストメールを送って確認することが大切です。
この記事で分かること
- DKIMで確認できること
- 設定前に必要な権限と準備
- Google管理コンソールでDKIMキーを生成する手順
- DNSへTXTレコードを登録する手順
- DKIM認証を開始し、結果を確認する方法
- DKIMが通らない場合の確認項目
DKIMとは
DKIM（DomainKeys Identified Mail）は、送信メールに電子署名を付けるメール認証の仕組みです。
受信側は、メールに付いた署名と、送信元ドメインのDNSに公開された情報を使って検証します。検証に成功すると、対象のドメインとメールの署名を結び付けて確認できます。
DKIMを設定しても、すべてのメールが必ず受信トレイへ届くわけではありません。メールの配送では、SPFやDMARC、送信状況、メール内容なども判断材料になります。
作業前に確認すること
スーパー管理者で作業できるか
Googleの公式手順では、DKIM設定はスーパー管理者で行います。必要な権限がない場合は、社内の管理者へ依頼してください。
Gmailを有効化してから時間が経っているか
Googleは、Gmailを有効化した後、管理コンソールでDKIMキーを生成できるようになるまで24〜72時間待つよう案内しています。導入直後にキーを生成できない場合は、設定ミスと決め付けず、経過時間を確認します。
DNSを変更できるか
DKIMの公開鍵はDNSへTXTレコードとして登録します。実際のDNS管理先と、変更権限を確認してください。
ドメインを購入した会社とDNSを管理する会社が異なる場合もあります。どの管理画面を変更すべきか分からない状態では、作業を始めないようにします。
変更前のDNSを記録したか
既存のTXTレコード、ホスト名、TTLを記録します。DKIM以外のレコードを誤って編集しないように、変更対象も明確にしておきます。
DKIM設定の全体像
作業は次の順番で進めます。
- Google管理コンソールでDKIMキーを生成する
- 表示されたホスト名とTXT値をDNSへ登録する
- DNSへの反映を待つ
- Google管理コンソールで認証を開始する
- 別のアカウントへテストメールを送って結果を確認する
DNSへ登録する前に「認証を開始」を押さないことがポイントです。
管理コンソールでDKIMキーを生成する
1. Gmailの認証設定を開く
スーパー管理者でGoogle管理コンソールへログインし、次の順に進みます。
アプリ → Google Workspace → Gmail → メールの認証管理画面の表記や配置は変更される可能性があります。見つからない場合は、管理コンソール内で「メールの認証」または「DKIM」を検索してください。
2. 対象ドメインを選ぶ
複数のドメインを登録している場合は、今回DKIMを設定するドメインを選択します。DKIMキーはドメインごとに異なるため、別ドメインの値を流用しません。
3. 新しいレコードを生成する
「新しいレコードを生成」を選び、DKIMキーを生成します。
Googleは、DNS事業者が対応している場合、2048ビットのキーを使用することを推奨しています。DNS事業者が2048ビットのTXT値を扱えない場合は、1024ビットを選びます。
セレクタの初期値はgoogleです。すでに同じセレクタを使っている場合は、別の値を指定します。セレクタは、DNSに登録するホスト名の一部になります。
生成すると、次のような情報が表示されます。
- DNSホスト名：
google._domainkeyなど - TXTレコード値：
v=DKIM1; k=rsa; p=...から始まる長い文字列
ここに示した値は形式の例です。実際の登録には、管理コンソールで対象ドメインに対して生成された値を使用してください。
DNSへTXTレコードを登録する
1. DNS管理画面を開く
対象ドメインのDNSを実際に管理しているサービスへログインし、TXTレコードを追加する画面を開きます。
2. 管理コンソールの値を転記する
Google管理コンソールに表示されたホスト名とTXT値を、DNS管理画面へ登録します。
DNS事業者によっては、ホスト名の後ろへ自動的にドメイン名を補う場合があります。ドメイン名を重ねて入力しないよう、入力例を確認してください。
2048ビットのDKIMキーは長いため、DNS事業者の画面で複数の文字列に分割して表示されることがあります。自動分割に対応しているか、手動で分ける必要があるかは、DNS事業者の案内を確認します。
3. 保存後の値を確認する
登録したホスト名とTXT値が、Google管理コンソールに表示された内容と一致しているか確認します。不要な空白、改行、文字抜けにも注意してください。
管理コンソールで認証を開始する
DNSへTXTレコードを登録し、外部から取得できる状態になったら、Google管理コンソールのDKIM設定へ戻り、「認証を開始」を選びます。
Googleの公式情報では、DNS変更が反映され、DKIM認証が機能するまで最大48時間かかる場合があると案内されています。すぐに開始できない場合は、DNSの値と反映状況を確認してから再度試します。
設定が有効になると、管理コンソールにはDKIMでメールを認証していることを示す状態が表示されます。
テストメールでDKIMを確認する
管理コンソールの状態だけでなく、実際のメールでも確認します。
自社のGoogle Workspaceアカウントから、別のGmailアカウントまたは別ドメインのGoogle Workspaceアカウントへテストメールを送ります。同じ自分のアカウントだけで送受信する方法では、適切な確認にならない場合があります。
Gmailでテストメールを開き、詳細メニューから「メッセージのソースを表示」を選びます。認証結果に、次のような表示があることを確認します。
dkim=passまたは、DKIMがPASSやOKと表示されていれば、そのテストメールの署名検証に成功しています。
送信元ドメインや、署名に使われたドメインも確認します。想定と異なるドメインが表示される場合は、途中で利用している配信サービスやメールゲートウェイの設定を見直します。
DKIMが通らないときの確認項目
| 症状 | 確認すること | 次の対応 |
|---|---|---|
| DKIMキーを生成できない | Gmailを有効化してからの時間、管理者権限 | 24〜72時間後に再確認し、権限を確認する |
| 認証を開始できない | DNSのホスト名とTXT値、反映状況 | 外部からTXTを確認し、入力値を照合する |
| DNSに値が見つからない | 実際のDNS管理先、ホスト名の重複 | 正しいDNSへ登録し直す |
| TXT値が途中で切れている | 長いキーの扱い、引用符、分割方法 | DNS事業者の仕様に合わせて登録する |
| 一部のメールだけ失敗する | 外部の配信サービスやゲートウェイ | どの経路で署名されているか確認する |
| 転送やフッター追加後に失敗する | 送信後にメール内容が変更されていないか | 中継サービスの仕様と設定を確認する |
管理コンソールで認証開始済みでも、実際のメールでdkim=passにならない場合は、送信経路ごとにテストします。Google Workspaceから直接送ったメールと、外部サービスから送ったメールを分けて確認すると、問題のある経路を絞り込みやすくなります。
問題が起きた場合の戻し方
DKIM設定後に問題が起きた場合は、先にテストメールのヘッダーと送信経路を確認します。外部の配信サービスだけで失敗している場合、Google Workspace側のDKIMを止めても、そのサービス側の問題は解決しない可能性があります。
切り戻しが必要な場合は、変更日時、管理コンソールの状態、追加したDNSレコードを記録したうえで、Google公式のDKIM停止手順と、利用中のDNS事業者の手順を確認します。以前のDKIMレコードがあった場合は、保存しておいた変更前の状態と照合してください。
DKIMを止めたり公開鍵を削除したりすると、以後のメールでDKIM認証が行われなくなる可能性があります。影響範囲が分からない場合は、値を削除する前にGoogle Workspaceのサポートまたは販売店へ相談します。
SPF、DMARCとの関係
DKIMは、SPFの代わりになる設定ではありません。
- SPF：送信を許可されたサーバーか確認する
- DKIM：メールの電子署名を確認する
- DMARC：SPFとDKIMの結果を使い、失敗時の扱いとレポートを定める
Googleは、SPF、DKIM、DMARCを組み合わせて使用することを推奨しています。まず正規の送信元を整理してSPFを設定し、次にDKIMの署名を確認したうえで、DMARCを段階的に導入する流れが安全です。
SPFの事前確認と設定方法は、Google WorkspaceのSPF設定方法で詳しく解説しています。
独自ドメインとDNS設定の全体像は、Google Workspaceで独自ドメインを設定する方法で確認できます。
まとめ
Google WorkspaceのDKIM設定は、次の順番で進めます。
- スーパー管理者とDNSの変更権限を確認する
- 管理コンソールで対象ドメインのDKIMキーを生成する
- 表示されたホスト名とTXT値をDNSへ登録する
- DNS反映後に、管理コンソールで認証を開始する
- 別のアカウントへメールを送り、
dkim=passを確認する
認証できないときは、設定を何度も作り直す前に、対象ドメイン、ホスト名、TXT値、DNS管理先、送信経路を順番に確認しましょう。
Google Workspaceの設定を自社だけで判断できない場合
DKIM設定は、Google管理コンソールとDNSの両方を扱います。外部のメール配信サービスやメールゲートウェイも使っている場合は、送信経路によって署名方法が異なることがあります。
「どのドメインを設定すべきか分からない」「既存のレコードを変更してよいか判断できない」「SPFやDMARCも含めて整理したい」という場合は、設定を削除・再作成する前に専門家へ相談する方法もあります。
コエドテックでは、Google Workspaceを含むIT環境や利用ツールの整理、導入・運用に関する相談を受け付けています。まず状況を整理したい場合は、コエドテックのサービス・相談窓口をご確認ください。
