DMARCとは？
DMARC（Domain-based Message Authentication, Reporting, and Conformance）は、SPFとDKIMを結び付けるメール認証の標準規格です。ドメイン所有者は、認証に失敗したメールの扱い方を受信サーバーに指示でき、そのドメインを使ってメールを送信しているのは誰かを示すレポートを受け取れます。
定義
Domain-based Message Authentication, Reporting, and Conformanceは、メール認証におけるポリシーの層です。SPFとDKIMはそれぞれ単独でも有用なチェックを行いますが、どちらも受信者が実際に目にするFromアドレスを確認するわけではなく、チェックに失敗した際に受信サーバーがどうすべきかも指示しません。DMARCはこの2つの穴を埋めます。認証されていないメールの扱い方を受信側に指示し、ドメインの利用状況を可視化するレポートをドメイン所有者に提供します。
名前そのものが3つの役割を表しています。Authentication（認証）は、DMARCがSPFとDKIMの結果を直接利用することを意味します。Reporting（レポート）は、受信側がそのドメインを名乗るメッセージについて、合格数や失敗数などの集計データをドメイン所有者に送ることを意味します。Conformance（準拠）は、ドメイン所有者が受信側に従ってほしいポリシーを宣言できることを意味し、その内容は「何もしない」から「迷惑メールフォルダに配信する」「完全に拒否する」までさまざまです。これらを組み合わせることで、SPFとDKIMは個別のチェックから、ドメインのなりすましを実際に防ぎ、状況を把握できる防御策へと変わります。
仕組み
DMARCポリシーは、_dmarc.yourdomain.com というサブドメインに1つのDNS TXTレコードとして公開します。レコードはv=DMARC1で始まり、p=タグで要求するポリシーを指定し、通常は集計レポートの送付先アドレスを示すrua=タグを含みます。メッセージが届くと、受信サーバーは通常どおりSPFとDKIMを実行し、その結果をもとにDMARCの評価を行います。
DMARCの核心はアラインメントです。SPFやDKIMが単に合格するだけでは不十分で、それらのチェックで検証されたドメインが表示上のFromヘッダーのドメインと一致している必要があります。表示上のFromアドレスを守ることこそがDMARCの目的だからです。アラインメントには2つのモードがあります。デフォルトのrelaxed（緩和）アラインメントは組織ドメインのレベルでの一致を認めるため、サブドメインも親ドメインとアラインメントできます。strict（厳格）アラインメントはドメインの完全一致を求めます。DMARCは、SPFまたはDKIMの少なくとも一方が合格し、かつFromドメインとアラインメントしている場合に合格します。そのため、SPFやDKIM単体では合格していても、検証されたドメインがFromアドレスと一致しなければDMARCは失敗します。送信者が初めてポリシーを厳格化した際によく驚かされるポイントです。
メッセージがDMARCに失敗すると、受信側は公開されているポリシーを適用します。p=noneは、特別な措置を取らずにメッセージをレポートに含めるだけのよう求めるポリシーで、監視用の設定です。p=quarantineは、失敗したメールを疑わしいものとして扱うよう求め、通常は迷惑メールフォルダに振り分けられます。p=rejectは、失敗したメールを完全にブロックするよう求め、受信トレイにも迷惑メールフォルダにも届きません。推奨される導入方法は段階的に進めることです。まずnoneで始め、集計レポートを分析して正規の送信元がすべて認証・アラインメントできていることを確認し、データで安全が確認できたらquarantine、最終的にrejectへ移行します。設定が完了する前に厳格なポリシーを適用すると、ドメイン自身の正規メールまでブロックしてしまうおそれがあります。
メール
DMARCが重要な理由は、互いに関連する2つの点にあります。1つ目はセキュリティです。DMARCがなければ、攻撃者は信頼された企業のドメインそのものをFromアドレスに表示したフィッシングメールを送信できます。SPFとDKIMだけでは、その表示上のフィールドを取り締まれないためです。quarantineまたはrejectのDMARCポリシーを設定すれば、本来のドメイン所有者は世界中のメールボックスプロバイダーに対し、そうした偽装メールを誰かに届く前に止めるよう指示できます。2つ目は到達率です。DMARCレコードは、そのドメインが認証に真剣に取り組んでいることをプロバイダーに示し、ドメインの評価と受信トレイへの到達を後押しします。
DMARCは今や必須要件にもなっています。GoogleとYahooによる2024年の送信者要件では、一括送信者は少なくともp=noneのポリシーでDMARCレコードを公開し、DMARCでアラインメントする形でSPFとDKIMによる認証を行う必要があります。DMARCレコードのないドメインは、一括メールの送信を制限されたり拒否されたりする可能性があります。同時に、DMARCが返すレポートはそれ自体に価値があります。そのドメインでメールを送信しているすべてのサービスが明らかになるからです。この可視性により、より厳格なポリシーを適用する前に、マーケティングプラットフォームからサポートシステムまで、正規のツールがすべて正しく認証できているかを確認できます。
VeriMailsでの
DMARCとメール検証は、メッセージの両端から到達率を守ります。DMARCは送信するメールにおけるドメインの信頼性を守り、そのドメインを名乗るメッセージが本当にそのドメインから送られたものだと受信側が信頼できるようにします。メール検証は送信先リストの品質を守り、すべてのアドレスが実在し到達可能であることを確認します。DMARCポリシーが完璧でも、存在しないアドレスに送信すれば評価は下がります。つまり、この2つは重複するものではなく、互いに補完し合う取り組みです。
VeriMailsは受信者側を担います。送信したすべてのアドレスに対して、構文チェック、MXおよびDNSの照会、ライブSMTPハンドシェイク、キャッチオール検出、使い捨てアドレス検出、ロールベース検出を実行し、バウンスの原因となってDMARC・SPF・DKIMレコードが守る評価を損なう無効なアドレスを取り除きます。認証側のサポートとして、VeriMailsは正しい形式のレコードを作成できる無料のDMARCジェネレーターも提供しています。まずは監視モードで始め、レポートで安全が確認できたらポリシーを強化していけます。リストはREST APIまたはCSVの一括アップロードで検証でき、キャンペーンの判断に役立つ明確な到達性カテゴリで結果を確認できます。検証は1件あたり$0.0019から。10,000クレジットが$19、年払いプランなら月額$12.50からご利用いただけます。すべてのアカウントに100クレジットが無料で付与され、クレジットカードは不要、クレジットに有効期限はありません。