DKIM キーに関する考慮事項
DKIM 鍵を作成する前に、その目的と、DKIM 鍵の循環とドメインの一致の仕組みを理解します。
必要なエディション
| 使用可能なインターフェース: Salesforce Classic および Lightning Experience |
| 使用可能なエディション: Database.com を除くすべてのエディション |
概要
DomainKeys Identified Mail (DKIM) を使用してメールをデジタル署名すると、メッセージがドメインから送信されたことが鍵で証明されます。この署名は業界標準です。
Salesforce は DKIM 鍵ペアを使用して、会社に代わって送信される送信メールに署名します。これにより、正当な送信者としてのドメインの評価が高まります。各 DKIM 鍵のペアは、1 つの非公開鍵と 1 つの公開鍵で構成されます。Salesforce は公開鍵を公開し、非公開鍵は Salesforce に保存されます。これらのリンクされた鍵は、送信メールドメインを検証し、送信メールの信頼性を検証するのに役立ちます。
メールの転送中、Salesforce は非公開鍵を使用して DKIM 署名を生成し、その署名を送信メールに追加します。受信者がメールを受信すると、DKIM 署名がドメインの公開 DNS レコードを介して公開鍵に対して検証されます。この検証により、送信者が本人であることを証明します。
Salesforce では、有効な DKIM 鍵によってドメインを所有していることも検証されます。ドメインとメールアドレスの両方が検証された場合にのみ、Salesforce がユーザーの代わりにメールを送信できます。詳細は、「Requirements to Send Email from Salesforce (Salesforce からメールを送信するための要件)」を参照してください。
DKIM 鍵の循環
セキュリティ上の理由により、Salesforce は 30 日ごとに DKIM 鍵を循環させます。循環サイクルは、DKIM 鍵ペアが作成されて公開されたときに開始されます。
DKIM 鍵のペアには、公開鍵と非公開鍵が含まれます。
- 主 DKIM 鍵: メインの有効な公開と非公開の DKIM 鍵のペア。
- Alternate DKIM Key (代替 DKIM 鍵): 循環時にプライマリ鍵のペアを置き換えるために使用される、セカンダリの無効な公開鍵と非公開鍵のペア。
DKIM キーを設定するときに、プライマリ非公開鍵とセカンダリ非公開鍵のペアを参照する CNAME レコードを設定します。Salesforce によって鍵が循環されます。
循環タイムライン
DKIM 鍵が初めて公開されたときから始まるイベントのタイムラインを次に示します。DKIM キーを有効化すると、Salesforce によって次の各アクションが実行されます。
- 0: プライマリ DKIM 鍵ペアが公開されます。
- 25 日目: Salesforce は循環に備えて代替 DKIM 鍵ペアを作成します。Salesforce は、すべての DNS サーバーが新しい鍵ペアを認識できるように、循環の 5 日前に代替鍵ペアを DNS に公開します。
- 30 日目: Salesforce は代替鍵のペアを有効としてマークし、今後 30 日間、新しく有効になった鍵でメールに署名します。
複数の DKIM 鍵ペア
複数の有効な DKIM 鍵が送信ドメインに一致する場合、Salesforce は最も長い一致ドメインパターンを持つ鍵を使用します。複数の有効なキーのパターンが最も長く一致する場合、Salesforce は使用するキーをランダムに 1 つ選択します。
例: sales.mail.example.com ドメインを使用して Salesforce からメールを送信します。これら 3 つのドメイン一致パターンに DKIM キーペアが存在する場合、Salesforce は次の順序でキーを使用します。
- .sales.mail.example.com
- .mail.example.com
- .example.com
DKIM 鍵の照会
DKIM キーと承認済みメールドメインを照会する方法についての詳細は、「検証済みメール送信ドメインのリストの取得」を参照してください。
ドメインレベルのメール検証用の DKIM
Salesforce では、ドメインレベルおよびユーザーレベルのメール検証が必要です。両方のレベルの検証が完了した後にのみ、Salesforce がユーザーに代わってメールを送信できます。
ドメインレベル検証では、有効な DKIM キーのドメイン名が [送信元] アドレスに表示されたドメイン全体と一致する必要があります。配信の失敗を回避するには、メール送信ドメインとサブドメインごとに個別の DKIM キーを有効化します。「Requirements to Send Email from Salesforce」を参照してください。
ユーザーレベルのメール検証用の DKIM
Salesforce では、お客様からのご要望に応じて、ドメインレベルの検証を使用してユーザーレベルのメール検証の要件をスキップするオプションを提供しています。ただし、Salesforce はセキュリティリスクを考慮してこのオプションを推奨しません。ブランドとビジネスを保護するために、[すべての有効な DKIM 鍵にメール検証を要求] を有効にすることを強くお勧めします。「Considerations for Send Email from Salesforce (Salesforce からのメールの送信に関する考慮事項)」を参照してください。
