DMARC とは?

どういうものか

DMARC は Domain-based Message Authentication, Reporting and Conformance の略です。SPF と DKIM を土台にして、両者に欠けている、読み手に見える From アドレスとの結び付きを加えます。

この結び付きをアライメントと呼びます。From ドメインと一致するドメインで SPF が合格するか、一致するドメインからの DKIM 署名が有効であれば、DMARC に合格します。アライメントの取れた合格が 1 つあれば十分です。

レコード

DMARC は、DNS に公開する、_dmarc に続けてドメイン名を付けた場所の TXT レコードです。最初のレコードは v=DMARC1; p=none; rua=mailto: に、レポートを受け取るアドレスを続けた形になります。p の値がポリシーです。

• none:何もせず、レポートのみ送る。
• quarantine:認証に失敗したメールを不審なものとして扱う。通常は迷惑メールフォルダーに入ります。
• reject:認証に失敗したメールを拒否する。

集計レポート

rua のアドレスには、大手メールプロバイダーから、通常 1 日 1 回、XML ファイルで集計レポートが届きます。各レポートには、ドメインとしてメールを送ったサーバー、通数、SPF と DKIM が合格してアライメントが取れたかどうかが載っています。ここから、忘れられていた送信サービスや、なりすまし送信者も見えてきます。

無理のない導入手順

1. none から始める。レポート用のアドレスを付けてレコードを公開し、数週間分のレポートを集めます。
2. 正規の送信元をすべて直す。それぞれに DKIM 鍵と SPF エントリを設定し、レポートで合格が確認できるまで続けます。
3. quarantine に移行する。認証に失敗したメールは迷惑メールに入るようになります。
4. reject に移行する。正規のメールが失敗しなくなったら、偽造メールは拒否されます。

企業にとって重要な理由

DMARC ポリシーを強制適用していないと、誰でも From 行にあなたのドメインそのままを表示してメールを送れ、受信側にはそれを止める指示がありません。Google と Yahoo は、2024 年から大量送信者にメール認証を義務付けています。3 つのレコードがどう組み合わさるかは、メール認証ガイドで説明しています。

KawaConnect における DMARC の扱い方

Microsoft 365 のセットアップと管理の一環として、ドメインの DMARC を公開し、none から始めて、正規の送信元が合格するようになってからポリシーを厳しくします。詳しくは Microsoft 365 のページに、背景はビジネスメールのガイドにあります。

詳しく見る

• Wikipedia の DMARCアライメント、ポリシー、レポートについての中立的な概要。
• dmarc.org の DMARC 概要標準の公式サイト。受信側が DMARC ポリシーをどう適用するかを説明しています。
• Google のメール送信者のガイドラインGmail 宛てのメールに対する、SPF、DKIM、DMARC の Google の要件。
• Microsoft 365 のメール認証Microsoft のガイダンス。DMARC を設定する手順へのリンク付き。