2023年10月Googleによる大ニュース

2023年10月、国内インターネット業界が衝撃を受けたGoogleのガイドラインが発表されました。

本誌をご覧の方のなかにも動揺を受けた方もいらっしゃるかと思いますが、2024年2月から、1日に5,000通以上Gmail（Gmailアドレス/ GoogleWorkspaceアドレスを問わず）に対して送信する場合は、SPFおよびDKIMによる両認証が必須となり、またDMARCによる受信方法の指示も必ず行わなければならないというものでした。

◇Google「メール送信者のガイドライン」
https://support.google.com/mail/answer/81126#subscriptions

同ガイドラインでは他にも「クリック一つで配信停止」「送信前の承諾取得」などのなかなか難しい機能追加も課せられていますが、一番業界を震撼させているのは、「SPFおよびDKIMの認証導入」「DMARCの導入」が必須となるという点です。

世界と日本のサイバーセキュリティへの取り組み温度差
かねてより各種セミナーや迷惑メール協議会などの発表でもいわれていましたが、日本は世界でも屈指のサイバーセキュリティ後進国であり、とくにメール周りへのセキュリティ導入遅滞は甚だしく、2023年現在のDMARC導入率はアフリカ諸国よりも低いといわれています。

諸外国では、数年前から政府機関や上場企業になりすましたメールによって市民が被害を受けないよう、SPF、DKIMの設定およびDMARC導入の義務化が進められており、例えば、米国では2017年からアメリカ政府のドメイン(.gov)は、必ずDMARCの設定をするよう通達が出ています。

◇アメリカ合衆国サイバーセキュリティ：2017年10月16日通達
https://www.cisa.gov/news-events/directives/bod-18-01-enhance-email-and-web-security

一方、日本国内の取り組み状況ですが、日本DNSオペレーターズグループのDNSステータス調査を見る限り、2023年11月現在の日本政府関連ドメインやTOPIX銘柄企業ドメインでのDMARC導入率は大変低く、半数にも遠く及ばない状況となっています。

◇日本政府関連ドメインDNS状況：
https://stats.dnsops.jp/view/jp-go
◇TOPIX銘柄企業ドメインDNS状況：
https://stats.dnsops.jp/view/jp-topix

このような状況下で、Gmailにより、2024年2月までにDKIM認証やDMARCの設定が必要という一石が投じられ、国内の多くの企業で大きな波紋が広がっています。

今までも定期的にGmailの仕様変更があり、その都度「DKIM設定がないから受信拒否した」というエラーメッセージが多数返ってくる時期がありましたが、日本のDKIM導入率の低さに合わせてGoogle側がチューニングしてくれるのか、数日後にはDKIMなしでも送信できるよう回復していました。そのため、DKIM認証は必須であるという認識が日本において広まりにくい状態となっていました。

しかしながら今回はGoogleが公式に「DKIM認証、DMARC設定がないと受け取らない」と明言しているため、そのルールを撤回することはないと思われます。

また本発表を受けて、Yahooなども同様のルールを適用すると発表していますので、なおさら必須化されるものとみています。

想定される影響
私共で、各ECサイトを調査・解析したところ、B2CのECサイトで会員アドレスに登録されているドメインで一番多いのはGmailで全体の約50～60％を占めており、また1日に配信したメールの宛先をドメインごとに分析した結果としても半数以上をGmailが占めています（2位以下は大きく引き離してyahoo.co.jp、3位は携帯キャリア等）。

この傾向からすると、B2CのECサイトで影響を受けるのは、1日の売買成約数が数千以上あるショップ様や、会員登録アドレス数が1万名以上のショップ様は、ほぼ影響をうける対象となることになります。

しかしながら、現在、B2CのECサイトで利用されるメールでのDKIM導入率は半数以下となっており、各カートサービスでDKIM設定ができる仕様になっていないことも導入率の低さにつながっているものと思われます。

このままの状態が続く場合、2024年2月以降、メルマガなどの一斉送信だけでなく、物品購入や予約時に送信するトランザクションメールでも、メールが届かないことによるクレームは増えるものと予想されています。

皆さまが携わられているECサイトなどでメールを配信する機能がおありの場合は、SPFおよびDKIM認証の導入とDMARCの設定ができているか、2024年2月までに、念のため再確認されることを強くお勧めいたします。