問い合わせフォームのメールが届かない。差出人を名乗るだけで送れてしまう仕組みの話

「先週、サイトのフォームからお送りしたんですけど」。
そう言われて受信箱を探しても、そんなメールは無い。
念のため迷惑メールのフォルダを開くと、そこに並んでいる。
こういう話はよく聞く。
受け取る側は、届いていないことにすら気づいていない。
調べていくと、これは設定のミスというより、メールという仕組みの成り立ちの話だと分かる。

メールは、差出人を自由に名乗れてしまう

郵便の封筒を思い浮かべてほしい。
裏の差出人欄は、書く人が手で書く。
誰の名前を書いても、ポストは受け取ってくれる。
メールもずっとこの作りのままだった。
送信側が「私は◯◯という会社です」と名乗れば、そう名乗ったまま相手に届いてしまう。
だから受け取る側、たとえばGmailのような大きなサービスは、届いたメールを最初から少し疑ってかかる。
名乗りが本当かどうかを、こちらが用意しておいた材料で確かめにくる。
その材料を置いていない差出人は、正直に運用していても怪しい側に分類されてしまう。

SPF・DKIM・DMARC は、三つの確かめ方

横文字が三つ並ぶと身構えるけれど、やっていることは単純だ。

SPFは、送っていい機械の名簿だ。
「うちのドメインのメールは、この住所のサーバーからしか出しません」という一覧を、ドメインの設定（DNS）に書いておく。
受け取り側は、実際に送ってきた機械が名簿に載っているかを見る。

DKIMは、封蝋にあたる。
送るときにメールへ電子的な署名を付けておいて、受け取り側がそれを照合する。
確かにそのドメインが出したものか、途中で中身が書き換わっていないかが分かる。

DMARCは、合わなかったときの扱い方の宣言だ。
名簿にも封蝋にも合わない差出人が現れたら、何もしないのか、迷惑メールに隔離してほしいのか、受け取らないでほしいのか。
その希望をこちらから書いておく。
結果をまとめたレポートを受け取る設定もできるので、自分のドメインを騙って誰かが送っていないかにも気づける。

フォームでよく起きていること

よくある原因は、通知メールの差出人だ。
フォームに入力された相手のメールアドレスを、そのまま送信者として使っている作りがある。
返信しやすいように、という善意の作りだと思う。
けれど実際には、自分のサーバーが他人のドメインを名乗って送っている形になる。
名簿に載っているはずがない。
直し方は拍子抜けするほど簡単で、差出人を自分のドメインの固定アドレスに戻し、相手のアドレスは返信先（Reply-To）に入れる。
これだけで、返信のしやすさは保ったまま、名乗りと実体が一致するようになる。

届いていないことは、こちらからは見えない

この話でいちばん怖いのは、エラーが一通も返ってこないことだ。
送信は成功していて、相手のサーバーも受け取っていて、ただ静かに迷惑メールへ振り分けられる。
画面の上では何ごとも起きていない。
だから、月に一度だけ自分でフォームを送ってみるといい。
宛先はGmailと携帯のアドレスと、仕事で使っているアドレスの三つ。
三分で終わる。
問い合わせが減ったなと感じている人は、減ったのではなく届いていないだけかもしれない。
まず自分宛てに一通、送ってみてほしい。