DKIMセレクター
DKIMセレクターとは、特定の1つのDKIM公開鍵を指し示すラベルで、1つのドメインが複数の鍵（送信サービスごとに1つ）を公開できるようにします。DNSホスト selector._domainkey.yourdomain.com を形成し、DKIM-Signatureヘッダーの s= タグとして現れます。
このガイドは、DKIMに関する完全ガイドの一部です。関連: DKIMレコード、DKIM署名。
DKIMセレクターとは、ドメインのDNSに保管された特定の公開鍵を指し示す短いラベルです。これにより、1つのドメインが同時に多数のDKIM鍵（送信サービスごと、または鍵の世代ごとに1つ）を公開でき、受信サーバーは特定のメッセージの署名を検証する際に、どの鍵を取得すればよいかを正確に把握できます。
セレクターがDKIMルックアップにどう組み込まれるか
DKIM署名されたすべてのメールは、その署名の中にセレクターを持っています。受信メールサーバーは、そのセレクターをあなたのドメインと組み合わせてDNSホスト名を構築し、そこに保管された公開鍵を検索します。この規則は固定されています。
selector._domainkey.yourdomain.com中央のラベル_domainkeyは常に存在します。これはDKIMがDNSで予約する名前空間です。セレクターは署名サービスが選んだ任意のものです。例えば、example.comからのメッセージがセレクターgoogleで署名されている場合、検証者は次を照会します。
google._domainkey.example.comそのホスト名には、公開鍵を含むTXTレコードが保管されています。受信者はそれを取得し、それを使ってメッセージの暗号学的署名をチェックし、それに応じてDKIMを通過または失敗させます。セレクターは各署名に組み込まれているため、同じドメインが衝突なく複数の鍵を並行して運用できます。
DKIMセレクターの見つけ方
セレクターを見つける最も確実な方法は、対象のサービスによって実際に署名されたメッセージから直接それを読み取ることです。その送信者から受信した任意のメールを開き、生のソースまたは元のヘッダーを表示して、DKIM-Signatureヘッダーを見つけてください。s=タグがセレクターです。
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
d=example.com; s=google;
h=from:to:subject:date; bh=...; b=...ここでd=example.comは署名ドメイン、s=googleはセレクターなので、鍵はgoogle._domainkey.example.comに存在します。1つのメッセージが複数のDKIM-Signatureヘッダーを持つこともあり、それぞれに独自のs=タグがあります。これはメールが複数の署名サービスを経由する場合によく見られます。
署名されたメッセージが手元になかったり、DNSに実際に公開されているものを確認したい場合は、無料のDKIMルックアップツールの自動検出機能を使ってください。あなたのドメインに対して一般的なプロバイダーのセレクターを探索し、見つかった公開鍵を返すため、生のヘッダーを探し回ることなくDKIM設定を検証できます。
プロバイダー別の一般的なセレクター
ほとんどのメールプラットフォームは、予測可能で文書化されたセレクターを使用します。セレクター名を決めるのはあなたではなく署名サービスなので、その値はあなたのメールを誰が送るかによって変わります。
| プロバイダー | 典型的なセレクター |
|---|---|
| Google Workspace | google |
| Microsoft 365 | selector1、selector2 |
| SendGrid | s1、s2 |
| Mailchimp | k1 |
| Amazon SES | 汎用トークン（アイデンティティごとに長い一意の文字列） |
これらは慣例であって保証ではありません。プロバイダーは方式を変更することがあり、セットアップ時にセレクターをカスタマイズできるものもあります。疑わしい場合は、思い込みで判断せず、実際に署名されたメッセージからs=タグを読み取ってください。
ドメインが複数のセレクターを持つ理由
1つのドメインが複数のセレクターを同時に公開することは正常であり、通常は健全なことです。主な理由は2つあります。
第一に、各送信サービスが独自のセレクターを取得するからです。トランザクションメールをAmazon SES経由で、マーケティングキャンペーンをMailchimp経由で、社内メールをGoogle Workspace経由で送信する場合、各サービスは独自のセレクターの下で独自の鍵で署名します。これらは互いに干渉することなくDNS上で共存します。
第二に、鍵のローテーションが複数のセレクターに依存するからです。DKIM鍵は、秘密鍵が万が一漏洩した場合の被害を抑えるために、定期的にローテーションすべきです。切り替えの間、古い鍵は既存のセレクターの下で有効なまま保たれ、新しい鍵は新しいセレクターの下で公開されます。どちらの鍵で署名されたメールも依然として検証され、処理中のメールがすべてクリアされたら、古いセレクターを廃止できます。これがまさに、Microsoft 365がselector1とselector2を備えている理由です。これらの間をきれいに切り替えられるのです。
DKIMを設定するときのセレクターの選び方
自分で新しい鍵を生成するとき、セレクター名はあなたが選びます。短くDNSに適したラベルなら何でも使えます。チームはしばしば、後で目的と世代が明らかになるよう、mail2026やsmtp1のように説明的な語と日付やバージョンを組み合わせたものを使います。この名前はセキュリティには影響しません。単なる検索用のキーです。重要なのは、DNSレコードのセレクターが、署名システムが送信メールに刻印するs=タグと一致することです。詳しい手順については、DKIMレコードの生成方法を参照してください。
よくある質問
DKIMセレクターとは何ですか？
DKIMセレクターとは、署名されたメッセージを検証するために受信サーバーがどの公開鍵を取得すべきかを識別するテキストラベルです。あなたのドメインとselector._domainkey.yourdomain.comとして組み合わされ、DNSルックアップを形成します。セレクターにより、1つのドメインが複数のDKIM鍵（サービスごと、または鍵のバージョンごとに1つ）を同時に公開できます。
自分のDKIMセレクターはどうやって見つけますか？
サービスが実際に署名したメッセージを開き、その生のソースを表示して、DKIM-Signatureヘッダー内のs=タグを読み取ってください。その値がセレクターです。署名されたメッセージが手元にない場合は、無料のDKIMルックアップツールの自動検出機能があなたのドメインに対して一般的なプロバイダーのセレクターを探索し、どの鍵が公開されているかを報告します。
1つのドメインは複数のDKIMセレクターを持てますか？
はい、そしてそれはよくあることです。各送信サービスは通常、独自のセレクターで署名するため、複数のメールプラットフォームを使うドメインは複数のセレクターを同時に公開します。複数のセレクターは安全な鍵のローテーションも可能にします。切り替えの間、古い鍵と新しい鍵が異なるセレクターの下に存在するため、どちらで署名されたメールも依然として検証されます。
DKIMセレクターの名前は重要ですか？
正確な名前はセキュリティや配信性には影響しません。セレクターは単なる検索用のラベルです。重要なのは、DNSレコードに公開されたセレクターが、署名サービスが送信メールに刻印するs=タグと一致することです。チームはしばしば、目的と経過年数を追跡しやすくするために、名前に日付やバージョンを追加します。