DMARCが判定する内容
SPFとDKIMは、それぞれドメインに関する情報を証明しますが、どちらも利用者が目にするFrom行のアドレスは確認しません。DMARCは、SPFとDKIMをそのアドレスに関連付けます。Fromドメインと一致するドメインでSPFまたはDKIMに合格すると、そのメールはDMARCに合格します。また、DMARCレコードは、不合格になったメールをどう処理するかを受信側に指示します。
DMARCレコードは、ドメイン名の前に_dmarcを付けた場所に、TXTレコードとしてDNSで公開します。その名前にレコードがない場合、受信側は代わりに組織ドメイン、つまり登録済みドメインを参照します。たとえばnews.example.comの場合はexample.comです。このため、サブドメイン専用のレコードがなくても、そのサブドメインを保護できます。
DMARCポリシーの確認方法
p=noneは、メールに対して何もせず、レポートだけを送信するよう受信側に求めます。すべてのドメインが最初に設定すべきポリシーですが、非常に多くのドメインが何年もこの状態のままです。p=noneの間は、誰でもFrom行にそのドメインを使用してメールを送信でき、受信側にはそのメールを通過させるよう指示されています。
p=quarantineは不合格メールをスパムとして扱い、p=rejectは受信時に拒否します。GmailとYahooは、2024年2月から大量送信者にDMARCレコードの公開を義務付けています。p=noneのレコードでも形式上はこの要件を満たしますが、このチェックツールでは警告として表示します。
届かないDMARCレポート
ruaのアドレスには、メールを確認した各受信側から、デフォルトで1日1回、集約レポートが送信されます。送信先アドレスがDMARCレコードを設定したドメインとは別のドメインにある場合、RFC 7489では、送信先ドメインがそのドメイン宛てのレポートを受け入れることを示す認可レコードを公開する必要があります。このチェックツールは、すべての外部アドレスについて、そのレコードを確認します。認可レコードがない場合、受信側はレポートを送信しません。
よくある質問
DMARCレコードを追加する方法は？
ドメイン名の前に_dmarcを付けた場所に、v=DMARC1とポリシーを含むTXTレコードを公開します。例: v=DMARC1; p=none; rua=mailto:dmarc@example.com。まずp=noneから開始し、数週間レポートを確認してからquarantineに移行し、その後rejectに移行します。DNSに反映されたら、ここでレコードを確認します。
p=noneは問題ですか？
最初の段階では役割を果たします。配信に影響を与えずにレポートを収集し、まだ認証されていない送信サービスを特定できます。ただし、そのまま使い続けると問題になります。レポートの目的は、ポリシーを隔離へ進め、最終的に拒否へ移行することです。
サブドメインごとに別のレコードが必要ですか？
独自のレコードがないサブドメインには、組織ドメインのレコードが適用されます。そのレコードのspタグでサブドメインのポリシーを設定できます。そのため、通常は1つのレコードですべてをカバーできます。
緩和アライメントと厳格アライメントのどちらを選ぶべきですか？
特別な理由がなければ、緩和アライメントを使用します。緩和アライメントでは、mail.example.comのDKIM署名がexample.comのFromアドレスに対して有効と見なされます。厳格アライメントではこれが認められず、プロバイダーがサブドメインで署名する多くの構成が機能しなくなります。
「DMARC policy not enabled」とは何ですか？
ドメインのDMARCレコードがp=noneに設定されているか、DMARCレコード自体が存在しないことを意味します。p=noneでは、受信側は認証に失敗したメールも通常どおり配信し、ruaアドレスにレポートを送信するだけです。そのため、誰でも引き続きあなたのドメインを名乗ってメールを送信できます。
詳細ガイド: DMARC policy not enabled
1つのドメインに複数のDMARCレコードを設定できますか？
いいえ。_dmarcにv=DMARC1で始まるTXTレコードが2つある場合、受信側は両方を破棄し、そのドメインにはDMARCレコードがないものとして扱います。1つだけ残し、もう一方から必要なタグを移してください。
quarantineとrejectのどちらを選ぶべきですか？
まず quarantine を使用します。受信側は認証に失敗したメールを不審なものとして扱い、通常は迷惑メールに振り分けます。そのため、見落としていた正規のサービスがあっても、メールが失われずフォルダーに振り分けられるだけで済みます。レポートで数週間にわたり正規メールの失敗がないことを確認してから reject に移行します。