DMARCの説明：メールを保護し、DNSにDMARCレコードを追加する方法

メールの信頼性は、顧客とのコミュニケーションから注文確認まで、あらゆるものに影響します。適切な認証がなければ、正当なメールであってもスパムメールとして分類されたり、ブロックされたりする可能性があります。DMARCは、ドメインをなりすましから保護し、配信率を向上させます。DMARCは、メールサーバーに失敗したメッセージの処理方法を明確に指示します。DMARCを正しく設定することは、もはやオプションではなく、必須です。.

重要なポイント

• DMARCは、メールのなりすましや偽装からドメインを保護します
• SPFとDKIMと連携して送信者の信頼性を検証します
• DMARCレコードはDNSに_dmarcホスト名のTXTレコードとして保存されます。
• 監視ポリシーから始めることで、配信の問題を回避できます
• メールを送信しないドメインでもDMARCレコードを公開する必要がある
• 適切なDMARC設定により、受信トレイへの配置とメールの信頼性が向上します。

DMARCとは何か、そしてなぜ存在するのか

DMARCは、Domain based Message Authentication Reporting and Conformance（ドメインベースのメッセージ認証レポートと適合性）の略です。簡単に言えば、受信側のメールサーバーに、自分のドメインから送信されたと主張するメールをどのように処理するかを指示する一連の指示です。.

DMARC以前のメール認証は、主にSPFとDKIMに依存していました。これらのシステムは、サーバーがドメインのメールを送信する権限を持っていることを確認し、メッセージの内容が変更されていないことを確認します。これらは便利ですが、何か問題が発生した場合に受信サーバーにどのようなアクションを取るべきかを指示するものではありません。.

このギャップにより、攻撃者は送信元アドレスを偽装することでドメインを悪用することができました。攻撃者は、許可されていないサーバーから偽のメールを送信することで、信頼できるブランドからのメールのように見せかけることができました。DMARCはこのギャップを埋めます。.

DMARCは、受信サーバーが認証に失敗したメールをどのように処理するかを定義することで、透明性を高めます。サーバーがメッセージを配信するか、スパムメールとして分類するか、あるいは完全にブロックするかを決定します。これにより、DMARCは単なる技術的な設定ではなく、メールの信頼性を確保する上で重要なレイヤーとなります。.

DMARCがメール認証にどのように適合するか

SPFとDKIMはIDチェックのようなものだと考えてください。DMARCは意思決定者として機能します。これらのチェック結果を確認し、お客様の指示に基づいてポリシーを適用します。DMARCがない場合、メールプロバイダーは疑わしいメッセージへの対応方法を推測する必要があります。DMARCを使用すると、プロバイダーはお客様のルールに従います。.

DMARCの舞台裏の仕組み

メールが送信されると、受信者に届くまでに複数のサーバーを通過します。その過程で、受信側サーバーはメールの真正性を確認するためにいくつかのチェックを行います。.

まず、SPFは送信サーバーがドメインのメールを送信する権限を持っていることを確認します。次に、DKIMはメッセージがそのままであること、そして承認された送信者によって署名されていることを確認します。.

次にDMARCが介入し、アライメント。アライメントとは、送信元アドレスに使用されているドメインが、SPFとDKIMによって検証されたドメインと一致することを意味します。アライメントが失敗した場合、DMARCの適用が開始されます。

受信サーバーは、DMARCポリシーに基づいて、メッセージを許可するか、スパムとして分類するか、完全にブロックするかを決定します。これは、ユーザーの介入なしにバックグラウンドで自動的に実行されます。.

DMARC の実際の動作例

誰かがあなたの会社の請求書を装って偽メールを送信しようとしたと想像してみてください。送信元アドレスは変更されていますが、メールは許可されていないサーバーから送信されています。SPFは失敗し、DKIMも失敗します。DMARCはこれを検知し、ポリシーを適用します。ポリシーが拒否された場合、メールは受信トレイに届きません。攻撃は開始される前に停止されます。.

DMARCレコードとは

DMARCレコードは、DMARCポリシーを保存する場所です。ドメインのDNS内にTXTレコードとして保存されます。DNSは、インターネットにドメインの動作を指示する指示書のようなものです。.

DMARCレコードは、 dmarc.yourdomain.com。これにより、受信サーバーは簡単にDMARCレコードを見つけて読み取ることができます。

DMARCは特別なDNSレコードタイプではないことを理解することが重要です。DMARCはTXTレコード内に保存された単なるテキストです。そのため、すべての主要なDNSプロバイダーと互換性があります。.

DMARCポリシーオプションについて

DMARCポリシーは、認証が失敗した場合の対応を定義します。適切なポリシーの選択は、メール設定にどれだけ自信があるかによって異なります。.

ポリシーなし

このポリシーは、受信サーバーに失敗したメールに対して何もアクションを取らないように指示します。メッセージは配信されますが、レポートは生成されます。これは監視に最適です。これにより、配信の問題を起こさずに、ドメインの代理で誰がメールを送信しているかを確認できます。.

ポリシー隔離

このポリシーは、サーバーに失敗したメールを疑わしいメールとして扱うよう指示します。ほとんどのプロバイダーは、これらのメールをスパムフォルダに振り分けます。検疫は、監視と完全な適用の間の移行ステップとしてよく使用されます。.

ポリシー拒否

これは最も厳格なオプションです。DMARCチェックに失敗したメールは完全に拒否され、受信者に届くことはありません。このポリシーは、設定が検証されると、なりすましや偽装に対する最も強力な保護を提供します。.

DMARCレコードの主要部分の説明

DMARCレコードは、セミコロンで区切られたタグと値で構成されます。それぞれの部分は特定の役割を果たします。.

バージョンタグ v

これは、レコードがどのバージョンのDMARCを使用しているかをサーバーに通知します。現時点では常にDMARC1です。.

ポリシータグ p

認証が失敗した場合に実行するアクションを定義します。有効な値は none、quarantine、reject です。.

報告タグ rua

集計されたDMARCレポートの送信先を指定します。レポートは通常、専用のメールボックスまたはサードパーティの監視サービスに送信されます。.

オプションの配置とレポートタグ

adkimやaspfなどのタグは、アライメントルールの厳密さを制御します。foやpctなどのタグは、レポートの動作や適用率を調整します。これらはオプションであり、設定が成熟するにつれて後から追加できます。.

DMARCレポートとは何か、そしてなぜそれが重要なのか

DMARCレポートは、ドメインがメールでどのように使用されているかを可視化します。どのサーバーがメールを送信しているか、認証チェックがどのように行われているか、そしてメッセージがDMARCの認証に合格したか不合格になったかが表示されます。.

これらのレポートは通常XMLファイルで送信されるため、一見すると圧倒されるかもしれません。そのため、多くの企業はレポートツールを使用して、読みやすいダッシュボードに変換しています。.

集計レポートとフォレンジックレポート

集計レポートは、時系列の概要データを提供します。フォレンジックレポートは、失敗した個々のメッセージに関する詳細情報を提供します。どちらも、設定ミスや不正使用の試みを特定するのに役立ちます。.

すべてのドメインにDMARCレコードは必要か

はい。メールを送信しないドメインであっても、DMARCレコードを公開する必要があります。DMARCレコードがないと、攻撃者は容易にドメイン名を

送信ドメイン以外では、拒否ポリシーにより、すべての未承認メールがブロックされます。これにより、メールを直接使用しない場合でも、ブランドアイデンティティ

DMARCレコードを段階的に作成する方法

DMARCの設定は、体系的に行うことで最大限の効果を発揮します。可視性がないまま、いきなり厳格なポリシーを導入すると、正当なメールの配信が阻害される可能性があります。以下の手順に従うことで、安全かつ確実にDMARCレコードを構築できます。.

ステップ1: DMARCレコードが既に存在するかどうかを確認する

新しいものを追加する前に、ドメインにDMARCレコードが既に存在するかどうかを確認してください。ドメインには1つのDMARCレコードしか設定できません。2つ目を追加すると検証エラーが発生します。.

これを確認するには、オンラインのDMARC検索ツールを使用できます。レコードが存在する場合は、盲目的に置き換えるのではなく、慎重に確認してください。.

ステップ2：政策戦略を決定する

DMARCを初めてご利用になる場合は、まずは監視から始めてください。ポリシーを「none」に設定すると、メール配信に影響を与えることなくレポートを収集できます。.

正当なメールが認証を通過したことを確認したら、隔離に移行し、最終的には拒否に移行できます。この段階的なアプローチにより、実際のメッセージをブロックしてしまうリスクを軽減できます。.

ステップ3: 報告先のメールアドレスを選択する

DMARCレポートは、レコードに定義されているメールアドレスに送信されます。このアドレスは、積極的に監視されているか、レポートサービスに接続されている必要があります。.

個人用の受信トレイの使用は避けてください。レポートは頻繁に届き、技術的な内容になる場合があります。多くの組織では専用のメールボックスを作成するか、サードパーティのDMARCレポートプロバイダーを利用しています。.

ステップ4: DMARCレコード値を準備する

基本的なDMARCレコードには、バージョン、ポリシー、レポートアドレスが含まれます。このシンプルな構造だけで、安全な監視と可視性の構築を開始できます。.

DNSにDMARCレコードを追加する方法

DMARCレコードの準備ができたら、次のステップはそれをドメインのDNSに追加することです。DNS設定は、ドメインレコードを管理する担当者によって管理されます。.

DNSが管理されている場所

DNSは、ドメインの設定方法に応じて異なる場所で管理される場合があります。一般的な管理場所としては、ドメインレジストラ、ウェブホスティングプロバイダー、 CloudflareなどのCDN。

DNSがどこで管理されているかわからない場合は、ドメインのネームサーバーを確認してください。通常、ネームサーバーにはDNSを担当するプロバイダーが記載されています。.

DMARC TXTレコードの追加

DNS マネージャー内で、新しい TXT レコードを作成します。.

• レコード名は、プロバイダーに応じてdmarc またはdmarc.yourdomain.com
• 値フィールドには、完全な DMARC ポリシー テキストが含まれている必要があります。.
• TTL は通常、自動のままにしておきます。.

入力したらレコードを保存します。DNS の変更はすぐには反映されないため、しばらくお待ちください。.

避けるべきよくある書式設定の間違い

DMARCの問題の多くは、小さなフォーマットエラーが原因です。_dmarcの代わりにルートシンボルを使用すると、レコードが失敗します。余分なスペースを追加したり、セミコロンを省略したりすると、検証が失敗する可能性があります。.

保存する前にスペルと構造を再確認してください。.

DMARCが機能し始めるまでにかかる時間

DMARCは即座に有効になるわけではありません。DNSの変更はインターネット全体に反映される必要があります。通常は数分で完了しますが、プロバイダーによっては最大48時間かかる場合があります。.

この間、一部のサーバーでは新しいレコードが認識される一方、他のサーバーでは認識されない場合があります。これは正常な動作であり、自然に解決されます。.

DMARCレコードが機能しているかどうかを確認する方法

伝播後、DMARCレコードが有効で読み取り可能であることを確認する必要があります。オンラインのDMARC検索ツールを使えば、これを即座に確認できます。.

有効なレコードには、ポリシー、報告先住所、およびアライメント設定が表示されます。エラーが発生した場合は、通常、修正が必要な内容を明確に説明するメッセージが表示されます。.

テストメールを送信し、DMARC レポートを確認して適切な動作を確認することもできます。.

よくあるDMARCエラーとその解決方法

小さなミスでもDMARCが失敗する可能性があります。よくある問題を理解することで、問題をより早く解決できます。.

DMARCレコードが見つかりません

これは通常、レコード名が間違っているか、レコードがまだ伝播されていないことを意味します。ホスト名を確認し、トラブルシューティングを進める前にしばらくお待ちください。.

DMARCアライメントの失敗

アライメントエラーは、送信元アドレスのドメインがSPFまたはDKIMドメインと一致しない場合に発生します。これは、サードパーティのメールサービスを適切に設定せずに使用している場合などによく発生します。

正当なメールがスパムメールになる

これは、厳格なポリシーを早期に有効化した場合によく発生します。レポートを確認しながら監視ポリシーに切り替えることで、メールの紛失を防ぐことができます。.

複数のDMARCレコードエラー

ドメインごとに1つのDMARCレコードのみが許可されます。重複を削除し、単一の統合ポリシーを維持してください。.

DMARCとWordPressのメール配信

WordPress ウェブサイトはメールに大きく依存しています。お問い合わせフォーム、パスワードリセット、注文確認、通知など、すべてが信頼性の高い配信に依存しています。

DMARC がない場合、 WordPress からのメールは疑わしいメールとしてフラグ付けされる可能性が高くなります。これは、メールがデフォルトのサーバー設定で送信されている場合に特に当てはまります。

DMARCは、適切なSMTP設定と認証済み送信サービスと組み合わせることで、最大限の効果を発揮します。これらを組み合わせることで、受信トレイへの配置と信頼性が大幅に向上します。.

まとめ: DMARCがもはやオプションではなくなった理由

DMARCはもはや単なるセキュリティ強化策ではありません。メールの信頼性を確保するための基本要件です。メールプロバイダはDMARCを期待し、顧客はDMARCに依存しており、攻撃者はDMARCが実装されていないドメインを積極的に悪用しています。.

監視から始めることで、リスクなく可視性を高めることができます。段階的に強化されたポリシーを適用することで、ブランドを保護し、配信性を向上させることができます。.

ドメインが電子メールを送信する場合でも、送信しない場合でも、DMARC レコードを公開することは、オンライン プレゼンスのセキュリティを確保するために実行できる最も簡単で効果的な手順の 1 つです。.

DMARCに関するよくある質問