CNAMEレコードの設定に関する問題

Domain Keys Identified Mail (DKIM)とは、メールが信頼できるサーバーから送信され、改ざんされていないことを暗号技術によって検証するメール認証方式です。

この記事では、DKIMとCNAMEについて説明した上で、Proton Mail(新しいウィンドウ)でお客様のカスタムドメインにCNAMEレコードを追加する際に、DKIMチェックが失敗した場合の対処手順を説明します。

DKIMはどのように機能しますか？

サーバーがお客様のドメインのメールを送信する際、（信頼できるサーバーのみが知っている）秘密鍵を使用してメールコンテンツの暗号化されたハッシュ値を計算し、それをDKIM署名としてメールヘッダーに追加します。

受信側サーバーは、お客様のドメインのDNSレコードにある対応する公開鍵を検索し、暗号化されたハッシュ値を復号化します。そして、受信したメールコンテンツに基づいて新しいハッシュ値を計算し、復号化したハッシュ値と新しいハッシュ値が一致するか確認することで、メールコンテンツを検証します。一致した場合、メールは変更されていないはずであるため、DKIMはパスします。そうでない場合、DKIMは失敗し、そのメールは不審なメールとして扱われます。

CNAMEレコードとは何ですか？

Proton Mailでは、 3つのなりすまし防止レコード（SPF、DKIM、およびDMARC）を追加することをお勧めしています。弊社では、セキュリティのベストプラクティスとして認められている自動的なDKIM鍵ローテーションを管理するために、CNAMEレコードを使用しています。これにより、セキュリティ向上のために他の鍵が定期的に自動で廃止・再作成される一方で、常に有効な鍵が使用され、サービスが中断されることなく提供されます。

詳細については、DKIM鍵管理の紹介をご覧ください。

お客様のドメインのDNS設定に追加するCNAMEレコードは、セットアップウィザードに表示されているものと完全に一致する必要があります。お客様のドメインのDNS設定でこれらのレコードが検出されると、ドメインの編集セットアップページのDKIMタブのアイコンが緑色に変わります。その後、お客様に通知し、他のProton Mailアドレスと同様に、お客様のカスタムドメインからの送信メールへのDKIM署名を開始します。

DKIMチェックが失敗した場合の対処法

DKIMチェックが失敗する原因として、次の3つの可能性が考えられます。

1. ドメインのDNS設定に、誤ったCNAME値を入力している。

弊社のドメインの編集セットアップページから値をコピー＆ペーストした場合はその可能性は低いですが、念のため確認することをお勧めします。必要な値を確認するには、設定 -> すべての設定 -> ドメイン名 -> ドメインの横にある「レビュー」ボタンを押す -> DKIMタブの順に進んでください。

お客様のドメインのDNS設定に追加するCNAMEレコードは、セットアップウィザードに表示されているものと完全に一致している必要があります。

2. 一部のレジストラでは、末尾にピリオドが付いたCNAME値を受け付けません。

一方で、ピリオドを必要とするレジストラもあります。ご利用のレジストラが末尾にピリオドが付いたCNAMEレコードを受け付けない場合は、各CNAME値の末尾にあるピリオドを削除してから、もう一度お試しください。

3. 既存のDKIMがTXTレコードとして存在しており、これを削除する必要がある。

以前にTXTレコードを使用してドメインの手動DKIM鍵ローテーションを設定していた場合、CNAMEレコードを入力する前に、DNS設定からこのレコードを削除する必要があります。現在のTXTレコードでは対応していませんが、CNAMEレコードを使用することでProton Mailが自動鍵ローテーションを設定できるようになるため、CNAMEレコードを使用してDNS設定を再構成する必要があります。

このTXTレコードを削除したら、新規ユーザー向けの手順に従ってください。TXTレコードを削除すると、メールへのDKIM署名は停止します。DKIMによる保護を維持するために、CNAMEのホスト名と値をただちにDNS設定に入力してください。

現在手動でのDKIM鍵ローテーションを使用しているすべてのお客様に、新しい自動鍵ローテーションシステムへのアップグレードを強くお勧めします。これにより、手動で鍵をローテーションする手間が省けるだけでなく、1024ビットの鍵を使用している場合は自動的に鍵の強度がアップグレードされます。