DMARCの始め方
DMARC
ドメインベースのメッセージ認証、報告、および適合性
メールの管理状況を把握し、適切に管理しましょう。
オープンソース規格であるDMARCは、「アラインメント」と呼ばれる概念を用いて、他の2つのオープンソース規格であるSPF（ドメインに代わってメールを送信する権限を持つサーバーの公開リスト）とDKIM（個々のメールに紐付けられた改ざん防止用のドメイン認証印）の結果を、メールの内容と関連付けます。
まだ導入していない場合は、ドメインにDMARCレコードを設定することで、必要に応じてSPFやDKIMの設定に関するトラブルシューティングに役立つフィードバックが得られます。SPFやDKIMをまだ導入していない場合は、当社が提供するツールをご利用いただけます。
DMARCを導入するには、DMARCレコードを作成して公開し、そこで生成される情報を活用して、自社のドメインにおけるメールの取り扱い状況を把握し、管理する必要があります。
DMARCは、次の2つの機能を通じて、メールの正当性を証明するのに役立ちます：
- メール自体に関するフィードバックを提供し、SPFおよび/またはDKIMの整合性に関する情報も含まれます。
- GmailやYahoo!メールなどのメール受信サービスに対し、これらのプロトコルに準拠していないメッセージをどのように処理すべきかを指示します。
DMARCの仕組みや、組織にもたらす保護効果についてより深く理解していただくため、DMARCの理解と導入を支援する無料の学習プログラム「DMARC Academy」を開設しました。
まず、自組織のメールインフラの規模と複雑さを把握することが重要です。多くの組織において、メールドメインは共有リソースであり、その利用範囲は複数の部門、外部ベンダー、さらには組織自身のインターネット向けアプリケーションにまで及びます。ドメインは共有されているため、DMARCプロジェクトを成功させるには、部門間の緊密な連携と、明確なドメイン管理プロセスが不可欠です。
DMARCを導入する際は、個々のドメインに限定するのではなく、組織内のすべてのドメインに展開するのが最善です。ドメインポートフォリオ全体にDMARCを導入することで、組織全体の可視性が向上し、管理者はすべてのメールが組織の基準に従って送信されるよう確保するための新たなツールを手に入れることができます。
まず、組織内のすべてのドメインのリストを作成し、DMARCを体系的に導入できるように準備しましょう。また、メール配信が中断されないよう、各ドメインの担当者や、そのドメインに関連する外部ベンダーの責任者を把握しておくことも重要です。これらの関係者の協力が必要となるためです。
DMARCポリシーにより、ドメイン所有者は自身のメッセージがSPFおよび／またはDKIMによって保護されていることを示すことができ、特定のメールについてこれらのいずれの検証も通らなかった場合に、受信者がどう対応すべきか（スパムとしてマークする、または配信を拒否するなど）を指定できます。ドメイン所有者は、DMARCポリシー（「p=」と呼ばれる）を設定することで、ポリシーに準拠していないメールに対してどのような処理を行うかを決定できます：
- 監視（p=none）：メールの送信状況には影響しません（DMARCのフィードバックのみが収集されます）。
- DMARCのp=quarantineに失敗したメッセージを隔離する（例：スパムフォルダに移動する）
- DMARCに失敗したメッセージを拒否する（p=reject）。（そのメールを一切受け付けない）。
DMARCポリシーは通常、p=noneから開始されます。これは監視フェーズであり、ドメインの使用状況やSPFおよび/またはDKIMの動作状況を把握できるものです。その後、p=rejectポリシーへと移行していきます。
DMARCポリシーを適用する前に、すべての送信元が整合していることを確認してください。具体的には、「From:」ヘッダーに記載されているドメインが、SPFによって検証されたドメイン、および／または有効なDKIM署名に含まれる送信元ドメインと一致している必要があります。
DMARCデータの生成を開始するには、まず監視対象とする各ドメインに対してDMARCレコードを公開する必要があります。dmarcianの「DMARCレコードウィザード」を使えば、DMARCレコードを簡単に作成できます。
DMARCレコードは、インターネット上のトラフィックをルーティングするドメインネームシステム（DNS）レコードの一部として存在します。ドメインのDMARCレコードは、DNSレコード内のテキストエントリであり、設定されたSPFおよびDKIMプロトコルに基づいて、そのメールドメインのポリシーを外部に通知するものです。また、DMARCレコードには、DMARCレポートの送信先アドレスも指定されており、これはDMARCが提供する貴重なフィードバックの一部となります。
以下は、DNSホスティングサービスでDMARCレコードを公開する方法の手順です。
DMARCレコードを公開すると、通常1～2日以内にDMARCデータがレポートとして生成され始め、ドメインでのメール処理状況に関する洞察が得られます。
これらのレポートはXML形式で作成されているため、人間が読み解くのは困難であり、特にその数が数千件にも及ぶ場合はなおさらです。
dmarcianのDMARC管理プラットフォームは、こうしたレポートの処理と改善点の特定に特化しており、組織全体でのDMARC導入をより容易にします。dmarcianのプラットフォームは、14日間の無料トライアルで試すことができます。当社はメールの送信元を分類し、DMARCのコンプライアンス状況（メールの送信元、DKIM、SPFに基づく）を表示するとともに、お客様のドメインに対する潜在的な脅威や不正利用が確認された場合にはアラートを送信します。
p=reject ポリシーは、DMARC検証に失敗したメールを拒否するよう受信側に指示します。デフォルトでは、rejectポリシーの下で検証に失敗したメールは受信されません。p=reject は、認証されていないメッセージがドメインから配信されるのを防ぐための最も強力な手段です。DMARCポリシーの強化に関する詳細はこちらをご覧ください。
トラブルシューティング
DMARCの価値は、ドメインカタログの状態を可視化できる点にあります。アクティブな送信ドメインの場合、DNSの伝播状況にもよりますが、DMARCレコードを公開してから24～48時間以内にデータが表示されるはずです。
DMARCデータの受信に問題がある場合は、よくある問題とその解決策について、こちらの記事をご確認ください。
私たちは、人々が互いに助け合うための組織です
お困りですか？
DMARCの導入プロセスを開始した組織のうち、実際に導入を完了するのはわずか30%にとどまると推定されています。
課題は仕様そのものではなく、メールのエコシステムや、DMARCが提供するフィードバックの解釈にあります。DMARCの導入は、自社のメールドメインに対する可視性と制御を確保するという目標を達成するために、組織全体での計画、連携、実行を必要とするプロジェクトです。組織がDMARCを導入するプロセスは困難に思えるかもしれませんが、適切なパートナーがいれば、容易に管理することができます。
DMARCの導入に関してサポートが必要な場合は、いくつかのオプションをご用意しています。
