DMARCとは

詳細な図解

DMARCを読むときの前提

DMARC（Domain-based Message Authentication, Reporting and Conformance）は、SPFとDKIMの認証結果を、利用者が見ているHeader Fromドメインと結び付けて評価する仕組みです。単にSPFやDKIMがpassしたかではなく、Fromと同じ組織のドメインとして整合しているかを見ます。

実務では、_dmarc配下のTXT、p、sp、pct、adkim、aspf、rua、ruf、fo、SPF/DKIMのalignment、転送経路、メーリングリスト、委託送信SaaSを分けて確認します。

証跡には、DMARC TXT、対象ドメイン、Header From、Return-Path、DKIM d=、Authentication-Results、集計レポート、変更時刻、確認時刻を残します。

ポリシーと段階移行を見る

DMARCのp=noneは監視、quarantineは隔離、rejectは拒否を受信側へ伝える方針です。pctを使うと、一部割合から段階的に適用できます。いきなりrejectへ進めると、正規の送信経路まで止めることがあります。

移行では、まずp=noneで集計レポートを受け、正規送信元、失敗している正規送信元、不要または不審な送信元を分けます。SPFやDKIMの修正が終わってからquarantineやrejectへ進めます。

• p、sp、pctの現在値と変更予定を確認する。
• ruaレポートで正規送信元を棚卸しする。
• reject化前に委託送信SaaSと転送経路を確認する。

alignmentをSPF/DKIMと分ける

SPFがpassしても、評価対象のEnvelope FromがHeader Fromと揃わなければDMARCでは失敗することがあります。DKIMも、署名のd=ドメインがHeader Fromと整合しているかを見ます。

委託送信では、SaaSの独自ドメイン、Return-Path、DKIM selector、From表示がずれやすいです。メールヘッダーを1通単位で保存し、SPF、DKIM、DMARCを同じメールで突合します。

• Header From、Return-Path、DKIM d=を同じヘッダーで見る。
• adkim/aspfのstrict/relaxedを確認する。
• SPF passとDMARC passを混同しない。

レポート運用と失敗分類

DMARC集計レポートは、送信元IP、評価件数、SPF/DKIM/DMARCの結果を継続的に見るための材料です。レポートを受けるだけでは改善にならないため、正規、要修正、不審、廃止候補に分類します。

失敗原因は、SPF未登録、DKIM未署名、DKIM selector違い、転送によるSPF失敗、フッター追加によるDKIM失敗、SaaS側From設定不備などに分けます。受信側の迷惑メール判定だけで結論を出しません。

• ruaの受信先と集計保管場所を確認する。
• 失敗送信元を所有者ごとに分類する。
• 件数が少ない送信元も業務影響を確認する。

変更証跡と引き継ぎ

DMARC変更では、旧TXT、新TXT、p/sp/pct、rua/ruf、alignment設定、対象送信元、テストメールヘッダー、戻し条件を残します。reject化後は配送不能の問い合わせが増える可能性があるため、一次切り分け手順も残します。

引き継ぎでは、DNS管理者、メール基盤管理者、SaaS所有者、レポート確認場所、関連語としてSPF、DKIM、TXTレコード、SMTPを残すと追いやすくなります。

• 変更前後のDMARC TXTと確認時刻を保存する。
• reject化の判断根拠と戻し条件を記録する。
• レポートの確認担当と頻度を明記する。

関連語

同じ主要カテゴリの用語

メールの学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能