DKIMセレクタ：複数鍵の運用と安全な鍵ローテーション

DKIMセレクタの確認方法

セレクタは推測せず、実際のメールから読み取ります。

1. 対象のサービスから、自分で管理している受信トレイ宛てにメールを送ります（GmailでもOutlookでも可）。
2. メールのヘッダー全体を開きます（GmailとOutlookのどちらも「メッセージのソースを表示」）。
3. DKIM-Signature:ヘッダーを探し、s=の値を読みます。これがセレクタです。d=の値は署名ドメインです。

多くのメール配信サービスは、送信ドメインや認証の設定画面にもセレクタを表示しています。通常は、公開を求められるDNSレコードの一部として示されます。追加するCNAMEを渡された場合は、そのレコード名の一番左のラベルがセレクタです。公開した鍵が正しく解決されるかは、DKIMチェックで確認できます。

複数のセレクタを運用する理由

複数のセレクタを同時に有効にする理由は、日常的には2つあります。

鍵のローテーション：署名鍵は定期的に交換すべきです。そうすれば、漏えいしたり総当たりで破られたりした秘密鍵が使える期間を限れます。ローテーションが安全なのは、古い鍵を廃止する前に新しい鍵を有効にできる場合だけです。この重なりを可能にするのが、別々のセレクタです。

複数の送信サービス：トランザクションメール、マーケティング基盤、ヘルプデスクは、それぞれ独自の鍵で署名します。サービスごとに専用のセレクタを割り当てれば干渉は起きず、1つのサービスの鍵を廃止しても他には影響しません。複数を同時に管理するには、それなりの作法があります。複数のDKIMレコードを管理する方法をご覧ください。

セレクタでDKIM鍵をローテーション

鍵を定期的にローテーションすれば、秘密鍵が漏えいしたときの被害を抑えられます。

ローテーションでは新しい鍵に新しいセレクタを使い、2つの衝突を防ぎます。

1. 新しい鍵ペアを生成します（一般的な基準は2048ビットのRSAです）。
2. 新しい公開鍵を公開します。新しいセレクタ（例：2026a._domainkey.yourdomain.com）の下に、DNSのTXTレコードとして登録します（プロバイダーが鍵をホストする場合はCNAME）。
3. 署名を切り替えます。メールサーバーで新しい秘密鍵とセレクタを使います。
4. 古いセレクタは猶予期間のあいだ残します。配送中のメールは古い鍵で署名されており、引き続き検証できる必要があります。
5. 古い鍵を廃止します。使うメールがなくなったら廃止し、定期的に繰り返します。

Palisadeのようなマネージドプラットフォームなら、このサイクルから手作業の編集をなくせます。エージェントが新しいセレクタのレコード案を作成し、まだ署名に使われているセレクタをDMARCレポートで示します。各変更はチームが承認してから反映されるため、深夜2時にDNSを手で編集する必要はありません。ローテーションで最も多いミス、まだメールが依存している古い鍵の廃止にも気づきやすくなります。

セレクタとDKIMレコードの違い

両者は関連していますが、同じものではありません。セレクタは鍵の場所を示す名前（s=タグ）です。DKIMレコードは<selector>._domainkey.<domain>にあるDNSエントリで、公開鍵そのものを保持します。1つのセレクタは1つのレコードに対応します。多くのメール配信サービスはこのレコードをCNAMEとして公開し、サービス側が代わりに生成・ローテーションする鍵を指すようにしています。そのためCNAMEを一度追加すれば、鍵そのものに触れる必要はありません。TXTでもCNAMEでも、受信側の作業は同じです。メールのセレクタでレコードを探し、鍵を読み取り、検証します。

SPFやDMARCと合わせて初めてDKIMを設定するなら、DMARC・DKIM・SPFの概要で3つの関係を確認できます。セキュリティスコアなら、すべてを一度にチェックできます。

関連記事

• DMARC、DKIM、SPFとは？
• DKIM署名がアライメントに失敗するのはなぜ？
• 複数のDKIMレコードを効率よく管理するには？

DKIMの鍵、セレクタ、アライメントが、すべての送信サービスで本当に機能しているか知りたいですか？セキュリティスコアをチェックすれば、現状を無料で確認できます。