今回はタイトル通り、Amazon SES(以下SES)利用時に採用する送信ドメイン認証の選び方についてです。
SESっていくつか送信ドメイン認証に対応してるけど、結局どこまで対応していればいいの？と思う人も多いと思います。
なので、とりあえずここまではやっておいた方が良いと思われる送信ドメイン認証とその理由について書いていきます。
各送信ドメイン認証の仕組みやSESへの設定方法についてはネットにたくさん転がっているので、本文ではあまり詳しく書きません。書いてあるサイトのリンクを載せていきます。

送信ドメイン認証¹とは

メール送信元のなりすましを防ぐ仕組みです。
受信側のメールサーバは送信側DNSサーバから認証情報を取得し、メールがなりすまされていないかをチェックします。
また、認証方法にはSPF等いくつか種類があります。

SESが対応している送信ドメイン認証

SESが対応している送信ドメイン認証は以下があります。
1. SPF
2. DKIM

また送信ドメイン認証失敗時の動作規格としてDMARCに対応しています。

各送信ドメイン認証の仕組み

https://sendgrid.kke.co.jp/blog/?p=10121
https://sendgrid.kke.co.jp/blog/?p=1781

SES利用時の設定方法

https://dev.classmethod.jp/cloud/amazon-ses-production/
https://docs.aws.amazon.com/ja_jp/ses/latest/DeveloperGuide/dmarc.html

SESでとりあえず対応させておくべき送信ドメイン認証

結論から言うと、

カスタムMAIL FROMドメインを使用したSPF認証

Easy DKIMを使用したカスタムドメインによるDKIM認証

DMARCは対応しない

です。この選択肢が一番導入コストや手間が少なく、配信性能を確保することができます。
それぞれの理由について説明していきます。

1. SPF認証

SESでSPFチェックに合格するための設定方法は2つあります。
1つはデフォルトのMAIL FROM(envelop from)ドメインを使用することです。
デフォルトのMAIL FROMドメインはamazonses.comかそのサブドメインになります。
こちらの場合は利用者側で設定等は必要ありません。デフォルトで有効になっています。
もう1つはカスタムMAIL FROMドメインを使用することです。
カスタムMAIL FROMドメインはFromアドレスドメインのサブドメインである必要があります。
こちらの場合はカスタムMAIL FROMドメインを管理するDNSサーバに指定されてMXレコードとTXTレコードを登録する必要があります。

公式ドキュメントにはDMARC認証を行う場合はカスタムMAIL FROMドメインでのSPF認証を使いなさいとだけ書いてありますが、そうとは限りません。
受信側のメールサーバの設定次第ではFromアドレスドメインにSPF認証用レコードが登録されていないと、SPFチェックが合格しない場合があります。
特に携帯キャリアの受信サーバはその傾向があります。

試しにgmail.comのメールアドレス宛にSPF認証方法でメール送信して、認証結果を確認してみます。

gmail.com

・デフォルトMAIL FROMドメイン

記述例

Received-SPF: pass (google.com: domain of 01000169fb770b0f-e4ef3cce-0d67-4f5f-b199-b954927b1395-000000@amazonses.com designates 54.240.8.25 as permitted sender) client-ip=54.240.8.25;

Received-SPF: pass (google.com: domain of 01000169fb7a0646-dbd56c3f-3751-4155-a0c4-c30a0cb3fbc8-000000@mail2.testdomain.com designates 54.240.8.27 as permitted sender) client-ip=54.240.8.27;

Authentication-Results: mx.google.com; dkim=pass [email protected] header.s=6gbrjpgwjskckoa6a5zn6fwqkn67xbtw header.b=TgurOS1F;

Authentication-Results: mx.google.com; dkim=pass header.i=testdomain.com header.s=sceak63pov65lrpygtei3u4f4b7qf7gm header.b=MhhgNK4u; dkim=pass [email protected] header.s=6gbrjpgwjskckoa6a5zn6fwqkn67xbtw header.b=HL5XKTSY;