メールプロトコルとは何ですか？中小企業に最適なプロトコルを解説

私たちはほぼ毎日メールを送受信していますが、それがどのように機能しているか、あるいはそのプロセスが安全であるかについて考えることはほとんどありません。しかし、誤ったメールプロトコルを選択すると、お客様のコンピューターのストレージ容量の制限から、データ侵害、顧客からの信頼喪失、ドメインのブロックに至るまで、さまざまな問題が発生する可能性があります。

本ガイドでは、メールプロトコルが機能する仕組みの概要を説明し、機能性とセキュリティの極めて重要な違いを解説するとともに、中小企業向けのチェックリストを提供します。

簡単なメール用語集

メールに関する用語はどれも非常によく似ていますが、その違いは重要です。本ガイドでは、以下の内容について説明します：

メールクライアント：Outlook、Apple Mail、Proton Mailなど、お客様がメールの閲覧、作成、管理を行うために使用するソフトウェアアプリです

メールプロトコル：インターネット上でメールがどのように送信、受信、保管されるかを規定する一連のルールのことです。SMTP、IMAP、POP3などのコアプロトコルは、サーバーとクライアント間におけるメッセージの機械的な移動を処理します。

メールセキュリティプロトコル：プライバシーとデータの整合性を確保するために、コアメールプロトコルの上に構築される保護基準のレイヤーです。これには、TLS（転送用）や、S/MIMEまたはPGP（エンドツーエンドのコンテンツ用）などの暗号化方式のほか、マルウェアや迷惑メールを検出する仕組みが含まれます。

メール認証：メールが、その送信元を主張するドメインから実際に送信されたものであることを検証するプロセスです。SPF、DKIM、DMARCを利用して、受信サーバーにメッセージを信頼するか、フラグを立てるか、あるいは拒否するかを指示し、スプーフィングやフィッシングを防止します。

メールマーケティングツール：Mailchimp、HubSpot、SendGridなど、大量のメールキャンペーンを作成、送信、追跡するために設計されたプラットフォームです。これらのツールは、SMTPを利用してメッセージを配信し、高い到達率を確保するために適切なメール認証に大きく依存しています。

メールプロトコルの解説

1. Simple Mail Transfer Protocol (SMTP)

概要：メールを送信するための標準プロトコルです。SMTPは、お客様のメールクライアントからサーバーへの転送、およびサーバー間の転送を処理します。

仕組み：お客様のメールクライアントがSMTPサーバーに接続して認証を行い、メッセージを渡します。その後、サーバーはメッセージを宛先のドメインにルーティングします。SMTPなしでメールを送信することはできません

セキュリティに関する注意点：標準的なSMTPはデータをプレーンテキストで送信します。暗号化（STARTTLS）を行わない場合、機密性の高いビジネスデータが傍受される可能性があります。

2. Internet Message Access Protocol (IMAP)

概要：メールの受信と管理を行うための最新の標準プロトコルです。IMAPはメッセージをサーバー上に保持し、お客様のすべてのデバイス間で同期します。

仕組み：お客様がスマートフォン、ノートパソコン、またはタブレットでメールを確認すると、IMAPが中央サーバーから最新のステータスをフェッチします。メールはサーバー上に保管されるため、ノートパソコンを紛失した場合でも、メール履歴は安全に維持されます。同様に、いずれかのデバイスでメールを削除すると、すべてのデバイスから削除されます。

セキュリティに関する注意点：データはサーバー上に存在するため、強力な認証と暗号化は不可欠です。

3. Post Office Protocol v3 (POP3)

概要：メールを単一のデバイスにダウンロードし、通常はサーバーから削除する古いプロトコルです。

仕組み：メールクライアントが接続し、すべての新規メッセージをダウンロードしてから、接続を解除します。サーバー内は空になります。このプロトコルが現代のビジネスで推奨されることはほとんどありません。データサイロが発生し（お客様のデバイスがクラッシュすると、メール履歴が消失します）、すべてのメールがお客様のデバイスにダウンロードされるため、コンピューターのストレージに関する問題が発生する可能性があります

セキュリティに関する注意点：サーバー側の冗長性がないため、ハードウェアの故障や盗難に対して脆弱です。この高リスクのプロトコルは、特にビジネスには推奨されません

続きを読む： SMTP、IMAP、POP3とは何ですか？

SMTPとIMAPは相反する目的を果たしますが、機能的なメールのセットアップには両方のプロトコルが必要です。SMTPがメッセージを送信し、IMAPが受信メッセージを取得します。最新のメールプロバイダーの多くはこの複雑さを隠しており、ソフトウェアがバックグラウンドでSMTPとIMAPの両方の設定を自動的に構成します。お客様がどちらを使用しているかを考える必要はほとんどなく、ソフトウェアがバックグラウンドで両方を同時に処理します。

メールセキュリティプロトコル

メールプロトコルはメッセージを移動および保管しますが、メールセキュリティプロトコルはメール、差出人、宛先を安全に保つためのシステムです。これらは、データを暗号化してプライベートに保つものと、差出人を認証してユーザー情報を証明するもののいずれかのカテゴリーに分類されます。

暗号化プロトコル

Transport Layer Security (TLS)：メールがインターネット上を行き交う際、メールサーバー間の接続を暗号化します。最新のメールプロバイダーの多くは、デフォルトでTLSを適用しています。

STARTTLS：既存の暗号化されていない接続を安全なTLS接続にアップグレードするコマンドです。相手側がこれをサポートしていない場合、接続はプレーンテキストにフォールバックされます。これは潜在的な脆弱性となります。

Secure/Multipurpose Internet Mail Extensions (S/MIME)：メッセージレベルでのエンドツーエンド暗号化とデジタル署名を提供します。差出人と宛先の双方がデジタル証明書を交換する必要があるため、企業環境でより一般的です。

Pretty Good Privacy (PGP) / GNU Privacy Guard (GPG)：強力なプライバシーを提供する、エンドツーエンド暗号化およびデジタル署名の別の手法です。PGPでは、証明書の代わりに、ユーザーが公開鍵を直接交換するWeb-of-trustモデルを使用します

認証プロトコル

Sender Policy Framework (SPF)：ドメイン所有者が、そのドメインを代表してメールを送信することを許可されたIPアドレスのリストを公開できるようにします。受信サーバーはメッセージを受信すると、このリストと差出人のIPを照合します。IPがリストにない場合、そのメールはSPF認証に失敗します。

DomainKeys Identified Mail (DKIM)：送信ドメインに関連付けられた暗号署名を、送信される各メールに追加します。受信サーバーは、差出人のDNSレコードに公開されている公開鍵とこの署名を照合して検証します

Domain-based Message Authentication, Reporting, and Conformance (DMARC)：SPFとDKIMを連携させ、認証に失敗したときの処理をドメイン所有者が制御できるようにします。DMARCポリシーを通じて、失敗したメッセージを受信、隔離、または拒否するように受信サーバーに指示することができ、お客様のドメインから不正なメールを送信しようとしている発信者を示すレポートを受け取ることができます。

中小企業にとってこれが重要である理由

コアプロトコルの上にセキュリティプロトコルを重ねて構築しないと、お客様は以下のようなリスクにさらされます：

スプーフィング：攻撃者がお客様のドメインを簡単に詐称し、お客様の顧客を騙す可能性があります
傍受：暗号化なしのトラフィックにより、ハッカーが転送中のメールを閲覧できてしまいます
ブラックリスト登録：不適切な認証により、お客様のドメインが迷惑メールとしてフラグを立てられる原因となります

これらのメールセキュリティプロトコルが一体となって多層防御を構築します。すなわち、暗号化によって第三者によるコンテンツの覗き見を防ぎ、認証によってメールが実際に自称する送信元から送信されたものであることを保証します

プロトコルがメールマーケティングの成果に与える影響

中小企業にとって、メールマーケティングには課題があります。それは、メールを送信しているのがお客様自身ではない可能性があるということです。マーケティングツールを使用するか、ご自身でキャンペーンを実行するかによって、セキュリティ保護の責任範囲が異なります。

マーケティングツールを使用している場合

Mailchimp、HubSpot、SendGridなどのプラットフォームは、SMTPサーバーや暗号化を含む送信インフラスを処理します。しかし、これらのプラットフォームがお客様に代わってお客様のドメインを認証することはできません。その部分は、お客様の責任となります。

マーケティングツールが、たとえば newsletter@yourcompany.com などのドメイン、お客様のドメインを使用してメールを送信する場合でも、宛先のサーバーはお客様のドメインの認証レコードを確認します：

SPF：宛先のサーバーが、マーケティングツールによるお客様の代理送信を許可されていることを識別できるように、マーケティングツールの送信IPを含める必要があります。
DKIM：マーケティングツールは暗号鍵を使用してメールに署名しますが、宛先がそれを検証できるように、お客様が対応する公開鍵をお客様のDNSレコードに公開する必要があります。
DMARC：SPFまたはDKIMの認証が失敗した場合の処理を受信サーバーに指示し、お客様のドメインが不正に使用されていないかを監視できるよう、お客様にレポートを送信します。

信頼できるマーケティングツールのほとんどは、オンボーディング時にお客様にこのDNSセットアップの手順を案内します。もしご利用のツールがそれを行わない場合は、注意が必要です。

ご自身でキャンペーンを実行している場合

お客様自身のSMTPサーバーから大量のメールを送信する場合、すべての責任はお客様にあります。以下の対応が必要になります：

暗号化された転送にTLS/STARTTLSを使用するよう、お客様のSMTPサーバーを構成する
お客様のドメインに対してSPF、DKIM、DMARCレコードをセットアップする
お客様の差出人レピュテーションを監視する。共有されている、または十分に管理されていないSMTPサーバーは、ブロックリストに登録される一般的な原因になります
最初は少量の送信から開始し、時間の経過とともに徐々に増やしていくことで、受信トレイプロバイダーからの信頼を構築します

このアプローチにより、お客様はより詳細に制御できるようになりますが、かなり高度な技術的専門知識と継続的なメンテナンスが必要になります。ほとんどの中小企業にとって、信頼できるマーケティングツールを使用することが、より安全でシンプルなパスとなります。

データの所有権とビジネスの継続性

中小企業にとって、メールは単なるコミュニケーションツールではありません。取引、合意、および顧客関係の記録でもあります。

POP3の罠：お客様のチームがPOP3を使用しており、従業員のノートパソコンがクラッシュした場合、データがサーバー上に保存されていないため、何年分ものやり取りが永久に失われる可能性があります。

IMAPのメリット：メールをサーバー上に保持することにより、ハードウェアの故障や従業員の離職があってもデータを保護できます。また、管理者がコンプライアンス監査のために通信をアーカイブおよび検索することも可能になります。

たとえPOP3の方が安価でシンプルに感じられたとしても、重要なビジネスデータを失うリスクを考慮すると、成長企業にとってはIMAPが最も安全な選択肢となります。

中小企業向けメールプロトコルセキュリティチェックリスト

メールインフラを保護する準備はできましたか？以下のステップバイステップガイドに従ってください：

現在のセットアップの監査：
- すべての接続にTLS/STARTTLSを使用していますか？（お客様のプロバイダー設定をご確認ください）。
- 現在もPOP3を使用していますか？その場合は、すぐにIMAPへの移行を計画してください。
認証レコードの実装：
- お客様のDNSプロバイダーにログインします。
- お客様のSPFレコードを追加します（許可されたすべての送信IPを含めます）。
- お客様のDKIM鍵を生成して公開します。
- DMARCポリシーをセットアップします（まずは監視から開始します）。
マーケティングスタックの保護：
- お客様のメールマーケティングプラットフォームが、一般的なサブドメインではなく、お客様のカスタムメールドメイン経由で送信するように構成されていることを確認します。
- 一括キャンペーンを送信する前に、お客様のドメインがすべての認証チェックに合格することを確認します。
テストと監視：
- Gmail、Outlook、Yahooにテストメールを送信します。
- メールヘッダーを表示し、認証に合格したことを確認します。
- 不正な使用を監視するために、DMARC集計レポートの受け取りを登録します。