メール / メール認証
DMARCアライメントとは
DMARC alignment。Header FromのドメインとSPFまたはDKIMで認証されたドメインが揃っているかを見る条件です。
用語集内のカードを見る詳細な図解
Header From利用者に見える送信者
SPFドメインReturn-Path側を評価
DKIM d=署名ドメインを評価
DMARC判定どちらかが揃えばpass
- relaxedとstrictを区別する
- 外部配信サービス追加時に確認
- 転送ではDKIM側が重要になりやすい
この記事で学べること
DMARCアライメントを、定義だけで終わらせず、現場で出てくる場面、確認材料、見落としやすい点、関連語とのつながりまで順に確認できます。
- DMARCアライメントを読むときの前提
- SPF alignmentとDKIM alignmentを分ける
- strictとrelaxedを見る
- 転送とメーリングリストの影響を見る
- 変更証跡と引き継ぎ
実務メモ
SPF passとDMARC passを同じ意味で扱わない
どこで効くか
DMARCアライメントは外部送信サービス追加、転送、メーリングリスト、なりすまし対策の成熟度確認で効きます。Header Fromと認証されたドメインの関係を見ます。
残す証跡
証跡にはHeader From、Return-Path、DKIM d=、Authentication-Results、DMARC TXT、adkim/aspf、送信サービス設定、テストメールの受信時刻を残します。
避けたい誤解
SPFやDKIMが単独でpassしても、Header Fromと揃わなければDMARCは失敗します。strict/relaxedやサブドメイン利用を見落とすと正規送信元を止める恐れがあります。
まず確認すること
- SPF alignmentとDKIM alignmentを分ける
- adkim/aspfを確認する
- 転送前後の認証結果を比較する
DMARCアライメントを読むときの前提
DMARCアライメントは、利用者に見えるHeader Fromのドメインと、SPFまたはDKIMで認証されたドメインが同じ組織のものとして揃っているかを見る条件です。SPF/DKIMがpassでも、Fromと揃わなければDMARCでは失敗することがあります。
実務では、Header From、Return-Path、DKIM d=、SPF passドメイン、DKIM passドメイン、adkim、aspf、strict/relaxed、委託送信、転送を合わせて確認します。
証跡には、Authentication-Results、Header From、Return-Path、DKIM-Signature、DMARC TXT、送信サービス設定、確認時刻を残します。
SPF alignmentとDKIM alignmentを分ける
SPF alignmentは、SPFで評価されたエンベロープFrom側のドメインがHeader Fromと揃っているかを見ます。DKIM alignmentは、DKIM署名のd=ドメインがHeader Fromと揃っているかを見ます。
どちらか一方がDMARC条件を満たせばpassする構成があります。委託送信では、SPFはサービス側、DKIMは自社ドメインでalignmentさせることがよくあります。
- SPF passドメインとHeader Fromを比較する。
- DKIM d=とHeader Fromを比較する。
- どちらでDMARC passしているか記録する。
strictとrelaxedを見る
DMARCには、SPF alignmentを制御するaspf、DKIM alignmentを制御するadkimがあります。relaxedでは組織ドメイン単位で揃えばよく、strictでは完全なドメイン一致が求められます。
サブドメインを使う送信サービスや委託送信では、この違いが影響します。厳格化する前に、正規送信元がどのドメインで署名・送信しているかを棚卸しします。
- adkim/aspfの現在値を確認する。
- サブドメイン送信の利用有無を見る。
- strict化前に正規送信元をテストする。
転送とメーリングリストの影響を見る
転送では、送信元IPが変わるためSPFが失敗しやすくなります。DKIM署名が本文改変で壊れると、DMARC alignmentも失敗する場合があります。
ARCは、転送前の認証結果を引き継ぐ補助になりますが、受信側がどう扱うかに依存します。転送経路では、SPF、DKIM、DMARC、ARCを同じメールで見ます。
- 転送前後のAuthentication-Resultsを比較する。
- DKIM署名が本文改変で壊れていないか見る。
- ARC-SealやARC-Authentication-Resultsを確認する。
変更証跡と引き継ぎ
DMARCアライメント調整では、対象送信元、Header From、Return-Path、DKIM selector、adkim/aspf、DMARC結果、テストメール、戻し条件を残します。送信SaaS追加時は初回送信前に確認します。
引き継ぎでは、DNS管理者、メール基盤管理者、SaaS所有者、関連語としてDMARC、SPF、DKIM、Header From、エンベロープFrom、ARCを残すと確認しやすくなります。
- 送信元ごとのalignment結果を台帳化する。
- 設定変更前後のヘッダーを保存する。
- 外部送信サービス追加時の確認手順に入れる。
関連語
同じ主要カテゴリの用語
メールの学習順
同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。