SPF・DKIM・DMARC

SPF（Sender Policy Framework）は、あるドメインのメールを送ってよいサーバーを列挙した DNS レコードで、受信側サーバーは接続元アドレスをその一覧と照合します。DKIM（DomainKeys Identified Mail）はさらに踏み込み、送信ドメインが本文と選んだヘッダー群を秘密鍵で署名して DKIM-Signature ヘッダーを付けます。誰でも DNS で公開された公開鍵と照らして検証できます。DMARC はその上に立ち、これらの検査が失敗したときの扱いを受信側に指示し、認証されたドメインが表示上の From: と一致することを求めます。

アーカイブされたメールボックスで、この一切の実務的な痕跡になるのが Authentication-Results ヘッダーです。配送の瞬間に受信サーバーが書き込むもので、そのときに下された判定（pass／fail／none）を記録します。まさにそこが肝心で、メッセージが届いた時点で分かっていたことを保存しているのです。

DKIM 署名は原理的には何年か後でも再検証できますが、それはドメインが対応する公開鍵を公開し続けている間だけで、運用者はその鍵を日常的に更新します。したがって検証に通らなくなった署名は改ざんの証拠ではありません。多くの場合は単に鍵が入れ替わっただけです。アーカイブされたメールを何かの証拠として示すときには、この含みが効いてきます。