10サービス以上のメール到達率改善を地道に継続的に進めている話 / Continue to improve email delivery rates across multiple services

Security-JAWS【第41回】~Day1 発表資料
メール到達率改善は、SPF / DKIM / DMARC の設定を一度整えれば終わるものではありません。複数サービス・複数ドメイン・複数の送信経路がある環境では、どこで認証が崩れているのか、何が IP reputation を悪化させているのか、どのチームにどんな対応を依頼すべきかを継続的に見える化し、改善を運用として回せる状態を作る必要があります。

本発表では、10サービス以上・30ドメイン以上にまたがるメール送信を対象に、DMARC ポリシーを none から quarantine、さらに一部を reject へ進めるために継続的に取り組んでいる事例を紹介します。もともとはバウンス率を十分に監視できておらず、ログは出力していたものの各開発チームの改善行動にはつながっていませんでした。そうした中で IP reputation が低下し、このままではブラックリスト掲載や送信不能につながりかねない状況になったことが、改善を本格化するきっかけになりました。

そこで、DMARC レポートから SPF / DKIM が pass していない経路やドメインを洗い出し、SaaS を含む複数の送信経路の設定見直しや不要送信の除外を進めました。加えて、SRE・情報セキュリティ部門・社内システム部門による隔週の会議体を設け、Postmaster Tools を用いた継続的な観測と、各チームへの改善依頼を回す運用を作りました。

Transcript

1. 1 © SMS Co., Ltd. 2026.5.16 株式会社エス・エム・エス 山口隆史 10サービス以上のメール到達率改善を 地道に継続的に進めている話
2. 2 © SMS Co., Ltd. 実際に数えてみたら、 30サービス以上、50ドメイン以上ありました 謹んでお詫びいたします
3. 3 © SMS Co., Ltd. エレベーターピッチ 「メールの運用を経験したことが無い人」向けに発表する 「10サービス以上のメール到達率改善を地道に継続的に進めている 話」は 「複数のサービス、複数のドメイン、共通リレーをまたいで、メー ルの到達率とIPレピュテーションを守る運用の話」です これは「課題を潰しながら改善をしているという現在進行中の事 例」であり これまどの発表事例とは違って「成功事例だけではなく、現場で課 題を見つけて改善を回し続ける地道な運用に焦点を当てている」
4. 4 © SMS Co., Ltd. 自己紹介 氏名：山口隆史(やまぐちたかし) 所属：株式会社エス・エム・エス 　　　プロダクト推進本部　技術推進グループ 業務：全社SREとしての活動 略歴：フリーランス、SIer、Web系を渡り歩く→現職（2024/05〜） 自称：Security Hub芸人 通称：千葉支部公式AWS BuilderCards審判員 好きなAWSサービス：営業、Security Hub、GuardDuty 他：AWS Community Builder(Security & Identity)、JAWS-UG千葉支部運営 　　Snyk Ambassador、SRE NEXTコアスタッフ 第022587号
5. 5 © SMS Co., Ltd.
6. 6 © SMS Co., Ltd. 会社概要 *1：第7期迄は単体数値、第8期より連結数値にて記載 基礎情報 株式会社エス・エム・エス（英語表記）SMS Co., Ltd. 2003年 4月4日 東京証券取引所プライム市場（証券コード:2175） 25億5,172万円（2026年3月31日時点） 連結：4,660人、単体：3,214人（2026年3月31日時点） 国内：4社、海外：アジア・オセアニア等16の国と地域 「高齢社会に適した情報インフラを構築することで人々の 生活の質を向上し、社会に貢献し続ける」 高齢社会に求められる領域を、医療・介護/障害福祉・ヘルスケア ・シニアライフと捉え、価値提供先であるエンドユーザ・従事者・事 業者をつなぐプラットフォームとしての情報インフラを構築し、40以 上のサービスを展開 会社名 設立 市場情報 資本金 従業員数 関連会社 ミッション 業績 売上推移 *1 （売上高・億円） 社会課題の解決につながる事業を 創造・拡大し、継続的に成長
7. 7 © SMS Co., Ltd. 分野 区分 サービス キャリア 人材紹介サー ビス DR・その他 介護・障害福祉 経営支援 ヘルスケア シニアライフ 海外 ＊1．柔道整復師、あん摩マッサージ師、はり師、きゅう師のこと サービス一覧（一部抜粋） 看護師向け 人材紹介 PT/OT/ST向け 人材紹介 職種横断ダイレクト リクルーティング ケアマネジャー・相談員 ・障がい福祉の人材紹介 看護学生向け 就職情報 放射線技師向け 人材紹介 臨床検査技師向け 人材紹介 看護師・看護学生向け コミュニティ 臨床工学技士向け 人材紹介 保育士向け 人材紹介 治療家*1・セラピスト向け 人材紹介 介護/障害福祉 事業者向け経営支援 介護事業の 経営者・管理者向け情報 高齢社会の 調査・研究・情報発信 医療従事者向け医薬情報 柔道整復師・あはき師 向け受験参考書 管理栄養士・栄養士向け 人材紹介 介護職向け人材紹介 介護で悩む人向け コミュニティ 高齢者向け 食事宅配紹介 高齢者向け 住宅紹介 遠隔指導特定保健指導 サービス 管理栄養士・栄養士 向けコミュニティ ICTを活用した 禁煙サポート 認知症患者とその家族 向け認知症情報 遠隔指導重症化 予防サービス 女性の健康経営 サポート 産業保健に 関わる人向け情報 企業の健康管理 業務サポート リフォーム会社 紹介 葬儀社紹介　 介護で働く人の ためのスクール 介護・医療・福祉の 資格講座情報 行動療法に特化した 禁煙サポート 医療介護業界特化型 ストレスチェック 認知症予防 ソリューション 看護師向け キャリアサービス 看護師の職場を 診断するツール 障害のある方向け 就労支援事業所情報 障害のある方向け 人材紹介 建設・不動産 業界向け人材紹介 障害福祉事業者向け 業務支援 仕事と介護の 両立支援ソリューション 医療従事者向け人材紹介 (マレーシア、フィリピン、アイルランド、UK、ドイツ等)
8. 8 © SMS Co., Ltd. 01 02 03 04 05 06 07 メール到達率の運用が必要になった切っ掛け 最低限の用語整理 よくある落とし穴 共有リレーサーバー運用で大事なこと 日々の運用はどうしているのか 事例紹介 まとめ 目次
9. 9 © SMS Co., Ltd. 01 02 03 04 05 06 07 メール到達率の運用が必要になった切っ掛け 最低限の用語整理 よくある落とし穴 共有リレーサーバー運用で大事なこと 日々の運用はどうしているのか 事例紹介 まとめ 目次
10. 10 © SMS Co., Ltd. 課題は元々あった • キャリアメールに届かない • 文字化けする • 遅延する • バウンスが増えたり
11. 11 © SMS Co., Ltd. 課題は元々あった • キャリアメールに届かない • 文字化けする • 遅延する • バウンスが増えた 個別の障害対応や問い合わせ対応として扱っていた だけだった
12. 12 © SMS Co., Ltd. 1つめの切っ掛け「2024年2月 Google ガイドライン」 • 1日5000通以上送る送信者向けのガイドライン • 迷惑メール率 0.3% 未満に抑える事が必要 • SPF/DKIM/DMARCへの対応が必要 • 対応しないとメールが届きにくくなる
13. 13 © SMS Co., Ltd. 1つめの切っ掛け「2024年2月 Google ガイドライン」 • 1日5000通以上送る送信者向けのガイドライン • 迷惑メール率 0.3% 未満に抑える事が必要 • SPF/DKIM/DMARCへの対応が必要 • 対応しないとメールが届きにくくなる メール認証は「やっておくと良い設定」ではなく、 事業メールを届けるための前提になった
14. 14 © SMS Co., Ltd. 2つめの切っ掛け「IPレピュテーション低下」 • Postmaster ToolsでIPやドメインの評価低下を確認した • このまま悪化していくと以下の事象が発生する可能性あり ◦ 迷惑メール判定 ◦ 配送制限やブラックリスト掲載 ◦ 最終的に送信不能
15. 15 © SMS Co., Ltd. 2つめの切っ掛け「IPレピュテーション低下」 • ログや配信結果は出ていた ◦ それを見るだけでは各チームの改善行動につながっていな かった • どのサービスで、どの宛先に、どのような失敗が起きているか を整理しないと、具体的な改善依頼ができなかった
16. 16 © SMS Co., Ltd. 2つめの切っ掛け「IPレピュテーション低下」 • ログや配信結果は出ていた ◦ それを見るだけでは各チームの改善行動につながっていな かった • どのサービスで、どの宛先に、どのような失敗が起きているか を整理しないと、具体的な改善依頼ができなかった 到達率やバウンス率を見える化し、改善依頼まで回 す運用が必要になった
17. 17 © SMS Co., Ltd. 01 02 03 04 05 06 07 メール到達率の運用が必要になった切っ掛け 最低限の用語整理 よくある落とし穴 共有リレーサーバー運用で大事なこと 日々の運用はどうしているのか 事例紹介 まとめ 目次
18. 18 © SMS Co., Ltd. SPF / DKIM / DMARCのまとめ 仕組み 何を検証するか 評価対象 SPF 送信元 IP が正規かどうか Return-Path（= Envelope From）のドメイン DKIM メール本文が改ざんされていないか （電子署名） DKIM-Signature ヘッダのドメ イン DMARC SPF と DKIM を踏まえた最終判断 From: ヘッダのドメイン
19. 19 © SMS Co., Ltd. SPF • SPFは、送信元IPアドレスが、そのドメインからメールを送ってよい サーバーかを確認する仕組み • DNSのTXTレコードに「このドメインのメールは、このIPやこの送信 サービスから送ってよい」と書く • 受信側は、実際に接続してきた送信元IPとSPFレコードを照合する • 注意点として、SPFが見るのはメール本文に表示されるFromではな く、SMTP上のReturn-Path / Envelope-From側のドメイン • つまり、受信メール画面上の差出人ドメインと、SPFで評価されるドメ インが違うことがある • SPFは「このサーバーから送ってよいです」というメール送信元IPの許 可リスト
20. 20 © SMS Co., Ltd. DKIM • DKIMは、メールに電子署名を付けて、送信後に本文や一部ヘッダが改 ざんされていないことを確認する仕組み • 送信側は秘密鍵で署名し、受信側はDNSに公開された公開鍵で検証する • DKIMで重要なのは、DKIM-Signatureヘッダの d= に入っている署名 ドメイン • FromヘッダのドメインとDKIM署名の d= が揃っていると、DMARC alignmentを満たしやすい • 一方で、メール配信SaaS側のドメインで署名されている場合、DKIM自 体はpassしてもDMARCではfailすることがある • DKIMは「このメールは途中で書き換えられていません」を示す電子署 名
21. 21 © SMS Co., Ltd. DMARC • DMARCは、SPFとDKIMの認証結果を使って、見えている差出人From のドメインとして正当なメールかを判断する仕組み • DMARCは、単にSPF pass / DKIM passを見るだけではない • Fromヘッダのドメインと、SPFまたはDKIMで認証されたドメインが 揃っているかを見る • この「揃っているか」がalignment
22. 22 © SMS Co., Ltd. DMARC • DMARCポリシーには none / quarantine / reject がある • noneは、失敗しても受信側に任せる。主に観測用 • quarantineは、失敗したメールを迷惑メール扱いにしてほしい、とい う指示 • rejectは、失敗したメールを受信拒否してほしい、という指示 • DMARCを強めるほど、なりすまし対策としては強くなる • 送信元の設定が不十分だと、正規メールもquarantine/rejectされる • DMARCは「画面に見えている差出人として、本当に正しいメールか」 を判定する仕組み
23. 23 © SMS Co., Ltd. alignment • アライメントは、Fromヘッダのドメインと、SPFまたはDKIMで認証さ れたドメインが揃っているかを見る考え方 • SPF alignmentは、FromヘッダのドメインとReturn-Path / Envelope-Fromのドメインが揃っているかを見る • DKIM alignmentは、FromヘッダのドメインとDKIM署名の d= ドメイ ンが揃っているかを見る • SPFまたはDKIMのどちらか一方でalignmentを満たせば、DMARCは passできる • 逆に、SPFもDKIMも単体ではpassしていても、どちらもFromと揃って いなければDMARCはfailになる • 正規の送信サービスを使っていても、Fromとのalignmentが取れてい なければDMARC強化で落ちる
24. 24 © SMS Co., Ltd. DMARCレポート • DMARCレポートは、受信側が「どの送信元から来たメールを、どう認 証判定したか」を送ってくれるレポート ◦ どのIPから送られているか ◦ SPF / DKIM / DMARC がpassしているか ◦ Fromドメインと認証ドメインが揃っているか • 受信側がnone / quarantine / rejectのどの扱いにしたか • 送信元棚卸しや、想定外の送信経路の発見に使える • ただしXMLのままだと読みにくいので、可視化や集計の仕組みが必要に なる
25. 25 © SMS Co., Ltd. Google PostMaster Tools • Google Postmaster Toolsは、Gmailから見た送信元ドメインの状態 を確認するためのツール • 迷惑メール率、ドメインレピュテーション、IPレピュテーション、認証 状況などを確認できる • 「Gmailからどう見えているか」を知るには強い • 一方で、なぜ悪化したのか、どの施策が効いたのかまでは直接教えてく れない • そのため、Postmaster Toolsだけで判断せず、DMARCレポート、配 信ログ、バウンスログと合わせて見る必要がある
26. 26 © SMS Co., Ltd. IPレピュテーション • IPレピュテーションは、送信元IPアドレスに対する受信側の評価 • そのIPから送られてくるメールが、迷惑メール扱いされやすいか、信頼 できる送信元として扱われるかに影響する • 迷惑メール報告、バウンス率、送信量の急増、不審な送信パターンなど で悪化することがある • 共有IPを使っている場合、自社・自サービス以外の送信の影響を受ける こともある • IPレピュテーションが下がると、同じIPから送るメール全体が届きにく くなる可能性がある • IPレピュテーションは「この送信元IPは信頼できるか」という評価
27. 27 © SMS Co., Ltd. ドメインレピュテーション • ドメインレピュテーションは、送信元ドメインに対する受信側の評価 • Fromドメインや認証に使われるドメインが、信頼できる送信元として 扱われるかに影響する • 迷惑メール報告、認証失敗、バウンス率、送信内容、送信頻度などで悪 化することがある • IPを変えても、ドメインレピュテーションが低いと届きにくさが残るこ とがある • ドメインレピュテーションは「このドメインから来るメールは信頼でき るか」という評価
28. 28 © SMS Co., Ltd. ここから本題
29. 29 © SMS Co., Ltd.
30. 30 © SMS Co., Ltd. 01 02 03 04 05 06 07 メール到達率の運用が必要になった切っ掛け 最低限の用語整理 よくある落とし穴 共有リレーサーバー運用で大事なこと 日々の運用はどうしているのか 事例紹介 まとめ 目次
31. 31 © SMS Co., Ltd. メール送信ツールを使う場合の課題
32. 32 © SMS Co., Ltd. SPFを設定するだけでは見えない課題
33. 33 © SMS Co., Ltd. SPFを設定するだけでは見えない課題
34. 34 © SMS Co., Ltd. グループアドレス、転送アドレス問題
35. 35 © SMS Co., Ltd. DMARCレポートでわかることわからないこと
36. 36 © SMS Co., Ltd. 送信元棚卸しの詳細
37. 37 © SMS Co., Ltd. PostMasterToolsでわかることわからないこと
38. 38 © SMS Co., Ltd. 01 02 03 04 05 06 07 メール到達率の運用が必要になった切っ掛け 最低限の用語整理 よくある落とし穴 共有リレーサーバー運用で大事なこと 日々の運用はどうしているのか 事例紹介 まとめ 目次
39. 39 © SMS Co., Ltd. 1つのサービスの問題の影響がすごく大きい
40. 40 © SMS Co., Ltd. IPレピュテーションを低下させないことが重要 • IPレピュテーションは、送信元IPに対する受信側の信頼スコア • 同じIPから迷惑メール報告やバウンスが多いメールが送られると、IP全 体の評価が下がる • 共有リレーサーバーの場合、あるサービスの高バウンスや大量送信が、 同じリレーサーバーを使う他サービスにも波及する
41. 41 © SMS Co., Ltd. IPレピュテーションを低下させないことが重要 • IPレピュテーションは、送信元IPに対する受信側の信頼スコア • 同じIPから迷惑メール報告やバウンスが多いメールが送られると、IP全 体の評価が下がる • 共有リレーサーバーの場合、あるサービスの高バウンスや大量送信が、 同じリレーサーバーを使う他サービスにも波及する • つまり「そのサービスだけの問題」では済まなくなる • 複数サービスを同じリレーで運用する場合は、サービス単位ではなく、 共通基盤全体としてレピュテーションを見る必要がある
42. 42 © SMS Co., Ltd. 低下するとどうなるか？ • 一時的に配送制限を受けることがある ◦ 再送キューや未配信キューが増える ◦ 配信遅延が発生する • アプリケーションからはメールは送信できているように見えても（リ レーサーバーが受け付けただけ）、実際には届くまでに時間がかかった り、受信側で弾かれたりする • 最悪の場合は、受信側にメールを受け取ってもらえなくなる
43. 43 © SMS Co., Ltd. 対処法は？ • 基本的にはレピュテーションが低下しきるまでに介入する ◦ バウンス率の改善 ◦ SPF/DKIM/DMARC設定の不備の是正 ◦ IPブラックリストからの削除依頼 • どうしようも無い場合はレピュテーションの低下したIPを配信から外す 手もある ◦ これを実施するためにはあらかじめリレーサーバーに必要数＋αの 複数IPをアタッチしておく必要がある
44. 44 © SMS Co., Ltd. 01 02 03 04 05 06 07 メール到達率の運用が必要になった切っ掛け 最低限の用語整理 よくある落とし穴 共有リレーサーバー運用で大事なこと 日々の運用はどうしているのか 事例紹介 まとめ 目次
45. 45 © SMS Co., Ltd. 見ているだけで終わらせない
46. 46 © SMS Co., Ltd. 銀の弾丸なんてものはなく地道な運用を続けるのみ！
47. 47 © SMS Co., Ltd. 「見るもの」を分ける • Postmaster Tools ◦ Gmailから見た迷惑メール率、IPレピュテーション、ドメインレ ピュテーション、認証率を見る • DMARCレポート ◦ 対象ドメインのSPF / DKIM / DMARC結果を見る • 配信ログ / バウンスログ ◦ バウンス率の集計 ◦ どのドメイン宛でメール送信が失敗・滞留しているかを見る • 再送キュー / 未配信キュー / 送信失敗 ◦ 配信遅延や配信制限の検知に利用する
48. 48 © SMS Co., Ltd. 問題が見つかったときの流れ • 検知 ◦ Postmaster Toolsやアラート通知、事業部からの相談で異常に気 づく • 対象特定 ◦ 対象ドメイン、対象サービス、送信経路を特定する • 認証結果確認 ◦ DMARCレポートで、SPF / DKIM / DMARC のどこで失敗している かを見る • ログ確認 ◦ 配信ログやバウンスログで、宛先ドメインやエラー内容を見る
49. 49 © SMS Co., Ltd. 問題が見つかったときの流れ • 事業部連携 ◦ 送信元設定、Return-Path、DKIM署名ドメイン、Fromドメインを 確認する ◦ 必要に応じて、事業部に送信リストのクリーニングや送信設定の確 認を依頼する • 設定確認 ◦ DNS変更が必要な場合は、影響範囲を確認してからSPF / DKIM / DMARC設定を変更する • 経過観察 ◦ 変更後は、DMARCレポートやPostmaster Toolsで経過観察する
50. 50 © SMS Co., Ltd. どう回していくのか？
51. 51 © SMS Co., Ltd. 定例と連携で回す • Gmailスパム対策定例 ◦ Postmaster Toolsで見える迷惑メール率、IPレピュテーション、ド メインレピュテーションを確認する場 ◦ 数字を見る場ではなく、次の改善アクションを決める場 • メール関連定例 ◦ DMARCポリシー変更や、送信元棚卸し、バウンス率の共有を行う 場 • 事業部との相談窓口 ◦ 「メールが届かない」「迷惑メールに入る」「新しいSaaSから送 りたい」といった相談の窓口
52. 52 © SMS Co., Ltd. 大事なこと • 数値を異常に気づくトリガーとして使う • 送信元を把握しておく • 事業部と一緒に改善する • 仕組み化する
53. 53 © SMS Co., Ltd. 01 02 03 04 05 06 07 メール到達率の運用が必要になった切っ掛け 最低限の用語整理 よくある落とし穴 共有リレーサーバー運用で大事なこと 日々の運用はどうしているのか 事例紹介 まとめ 目次
54. 54 © SMS Co., Ltd. DMARCをrejectに持って行けた事例１ • rejectに進められたドメインでは、送信元が比較的把握できていた • どのサービスが、どのドメインから、どの送信基盤を使ってメールを 送っているかを説明できた • DMARCレポートで、想定外の送信元や認証失敗がないかを確認した • none → quarantine → reject のように段階的に進めた • 変更後も、DMARCレポートやPostmaster Toolsで影響を確認した
55. 55 © SMS Co., Ltd. DMARCをrejectに持って行けた事例２ • なりすましが実際に発生したドメインでは、rejectにする判断がしやす かった • なりすましの原因を突き止めて、送信元側で止めることは難しい ◦ DMARC以外は自分たちのコントロール範囲外で発生している • なので「今後受信者に届かないようにする」ことを優先できた • 送信元の利用状況と影響範囲を確認できたため、短期間でrejectまで進 められた
56. 56 © SMS Co., Ltd. DMARCをrejectに持って行けていない事例 • 一番大きい理由は、正規メールの送信元を把握しきれていないこと • 共通ドメインや歴史の長いドメインでは、複数のサービス、複数の SaaS、複数の部署がメールを送っている • 昔から使われている送信経路が残っている • 誰が、どこから、何のために送っているメールなのかがすぐに分からな い • この状態でrejectにすると、正規メールが届かなくなる可能性がある
57. 57 © SMS Co., Ltd. DMARCをrejectに持って行ける行けないの違い
58. 58 © SMS Co., Ltd. 01 02 03 04 05 06 07 メール到達率の運用が必要になった切っ掛け 最低限の用語整理 よくある落とし穴 共有リレーサーバー運用で大事なこと 日々の運用はどうしているのか 事例紹介 まとめ 目次
59. 59 © SMS Co., Ltd. まとめ • メール到達率改善は、SPF / DKIM / DMARC を設定して終わりではな い ◦ DMARCはrejectに持って行ける状態を作るのが大事 ◦ 見える化して、原因を切り分け、改善を回し続ける必要がある • 複数サービスで同じリレーサーバーを利用する場合、たった1つのサー ビスの逸脱が全体障害へ繋がる ◦ IPレピュテーションの積み上げには時間がかかるが、崩れるのは あっというま ◦ サービス側がメール到達率を改善できるように、見える化と改善を 回し続けることが重要