要点。 レコードのホスト：_dmarc.yourdomain.com（TXT） · 開始時：p=noneとruaアドレス · 強化：quarantine、次にreject（段階的に） · レコードは1つ：2つあると両方が無効
要約
- DMARCの役割。 DMARCは、Domain-based Message Authentication, Reporting and Conformanceの略です。
- 始める前に。 DMARCは、SPFまたはDKIMがパスし、パスしたドメインがFromアドレスのドメインと一致（アライメント）している場合にパスします。
- ステップ1：モニタリングモードでレコードを公開する。 DMARCは、_dmarc.yourdomain.comに設定するTXTレコードです。
- ステップ2：集計レポートを読む。 受信側は、ruaアドレスに毎日XML形式のレポートを送信します。
- レポートの読み方の実例。 レポートに、ドメインの送信元が3つ表示されているとします。
- 主なメールボックスプロバイダーでのDMARC。 社内メールにGoogle WorkspaceやMicrosoft 365を使っている場合、各プロバイダーには、ドメインのDKIM署名を有効にする独自の手順と、独自のSPF includeの値があります。
DMARCの役割
DMARCは、Domain-based Message Authentication, Reporting and Conformanceの略です。2つの従来のチェックを土台にしています。SPFはどのサーバーがドメインの代わりに送信できるかを示し、DKIMはメッセージが改ざんされていないことを証明する署名を追加します。DMARCは、2つのことを加えます。1つは、両方のチェックが表示されるFromドメインと一致しなかった場合に受信側がどうすべきかというルール、もう1つは、受信側があなたにレポートを返す手段です。
DMARCがなければ、誰でもFrom行にあなたのドメインを入れることができ、受信側にはあなたからの指示がありません。DMARCがあれば、悪用状況を確認でき、準備が整ったときには受信側にその拒否を求めることができます。
始める前に
DMARCは、SPFまたはDKIMがパスし、パスしたドメインがFromアドレスのドメインと一致（アライメント）している場合にパスします。そのため、あなたのドメインを名乗って送信するすべてのサービス（送信サービス、社内のメールボックスプロバイダー、CRM、サポートデスク、請求ツールなど）で、SPFとDKIMがすでに機能している必要があります。
すべてのサービスを一覧にしてください。忘れられた送信元は、DMARC導入で正規のメールが止まる最も多い原因です。現在公開されている内容は、当社の無料チェッカーで確認できます。
ステップ1：モニタリングモードでレコードを公開する
DMARCは、_dmarc.yourdomain.comに設定するTXTレコードです。まずp=noneのポリシーから始めます。これは受信側に何もしないよう求めつつ、レポートは送ってもらう設定です。アドレスは、実際に読むメールボックスかレポートサービスのものに置き換えてください。
v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.comDNSの管理画面によっては、ドメイン名が自動的に付加されるため、ホストには_dmarcだけを入力します。完全な名前が必要な場合もあります。管理画面で引用符が取り除かれたり、長い値が分割されたりする場合は、画面の表示を信用せず、ルックアップツールで結果を確認してください。
ステップ2：集計レポートを読む
受信側は、ruaアドレスに毎日XML形式のレポートを送信します。各レポートには、あなたのドメインを名乗ってメールを送ったIPアドレス、メッセージ数、SPFとDKIMがパスしてアライメントしたかどうかが記載されています。生のXMLは読みにくいため、多くのチームは無料または有料のレポートビューアーを使っています。
2つの点に注目してください。1つは、アライメントに失敗している正規の送信元で、これは修正が必要です。もう1つは、見覚えのない送信元で、なりすましの可能性があります。請求処理のような月次の送信元も現れるよう、2〜4週間は様子を見てください。
レポートの読み方の実例
レポートに、ドメインの送信元が3つ表示されているとします。1つ目は送信サービスで、40,000通、SPFとDKIMの両方がパスしてアライメントしています。2つ目は社内のメールボックスプロバイダーで、600通、DKIMがパスしてアライメントしています。3つ目は海外にある見慣れないサーバーで、900通、両方とも失敗しています。
最初の2つは対応不要です。3つ目は、忘れていたツールか、あなたになりすましている誰かです。ポリシーを厳しくする前に、どちらかを突き止めてください。忘れていたツールであれば、その認証を修正します。自社のものでなければ、まさにp=rejectが止めるべきトラフィックです。
主なメールボックスプロバイダーでのDMARC
社内メールにGoogle WorkspaceやMicrosoft 365を使っている場合、各プロバイダーには、ドメインのDKIM署名を有効にする独自の手順と、独自のSPF includeの値があります。まずそれらを済ませてから、DMARCを公開してください。インドの多くの中小企業では、GoDaddy、BigRock、Hostingerなどのレジストラの管理画面、またはCloudflareでDNSを管理していますが、TXTレコードはどれでも同じように機能します。
どれを使う場合でも、DMARCレコードは1回だけ追加し、数分後にルックアップで確認してください。DNSの変更は伝播に時間がかかることがあり、管理画面によっては数時間キャッシュされます。
ステップ3：失敗する送信元を修正する
失敗する正規の送信元ごとに、SPFとDKIMのどちらを修正するか、または両方を修正するかを決めます。独自のドメインから送信するサードパーティのツールには、あなたのドメインのカスタムDKIM署名が必要です。忘れられていたサーバーは、10回のDNSルックアップ制限の範囲内でSPFに追加する必要があります。
転送されたメールは、転送元のサーバーがレコードに含まれていないため、SPFで失敗することがあります。DKIMは通常、転送後も有効なままです。すべての送信元が署名するようにしておくべき理由の1つです。
ステップ4：quarantineに移行し、その後rejectに移行する
レポートで正規のメールがパスしていることを確認できたら、ポリシーを段階的に厳しくします。p=quarantineは、受信側に失敗を疑わしいもの（通常は迷惑メール）として扱うよう求めます。p=rejectは、メッセージを拒否するよう求めます。pctタグを使えば、最初はメールの一部にだけポリシーを適用できます。
v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc-reports@yourdomain.com一度に1段階ずつ進め、各段階で2週間ほどレポートを見守ってください。rejectに早く到達しても得るものはなく、急いだ変更は請求書やパスワードリセットのメールをブロックしかねません。
サブドメインとその他のタグ
DMARCレコードは、spタグを追加しない限りサブドメインにも適用されます。マーケティングメールをサブドメインから送信する場合は、そこに別のレコードを公開できます。adkimとaspfのタグは、アライメントの厳格さを制御します。デフォルトのrelaxedでは、サブドメインが組織ドメインと一致するとみなされます。ほとんどの送信者は、どちらもそのままで構いません。
フォレンジックレポート用のrufタグを目にすることがあります。送信する受信側は少なく、メッセージの内容が含まれる場合もあるため、ほとんどの組織は使用していません。
避けるべき間違い
1つのドメインにDMARCレコードを2つ公開すると両方が無効になるため、必ず1つだけにしてください。初日からp=rejectにしてはいけません。誰も読まないメールボックスにレポートを送ってはいけません。そして、DMARCだけで配信品質の問題が解決すると考えてはいけません。DMARCが証明するのは送信者が誰かであって、そのメールが歓迎されているかどうかではありません。受信トレイに届くかどうかは、今もリストの品質と苦情率で決まります。
大手のメールボックスプロバイダーは現在、大量送信者にSPF、DKIM、DMARCの導入を求めているため、送信量が少なくても設定する価値があります。各プロバイダーが求める内容は、メールボックスプロバイダーの要件に関するガイドで解説しています。
参考資料と出典
- RFC 7489: DMARC
- RFC 7208: Sender Policy Framework (SPF)
- RFC 6376: DomainKeys Identified Mail (DKIM) Signatures
- Google: Email sender guidelines
- Yahoo: Sender best practices
MigoSMTPでの設定：ヘルプセンター記事
関連ガイドとツール
- DMARCレコードジェネレーター：DNSに貼り付けられるレコードを作成します。
- SPF・DKIM・DMARCをチェック：ドメインのレコードをテストします。
- メールボックスプロバイダーの要件：Gmail、Outlook、Yahooが求める内容。
レコードが正しいか不安ですか？無料のチェッカーをお試しいただくか、ヘッダーをお送りください。読み解きをお手伝いします。
よくある質問
DMARCは何をするものですか？
DMARCを使うと、ドメインの所有者が、SPFとDKIMのアライメントに失敗したメールを受信側サーバーがどう扱うかを指示でき、それに関するレポートの送信を依頼できます。偽造されたFromアドレスにドメインが悪用されることを防ぎます。
p=noneから始めるべきですか？
はい。p=noneのポリシーでは、失敗したメールに対して何も措置を取らず、レポートだけを収集します。そのため、quarantine、rejectへ移行する前に、正規の送信元をすべて見つけて修正できます。
DMARCレコードを2つ設定できますか？
いいえ。DMARCのTXTレコードは、_dmarc.yourdomainにちょうど1つだけ公開してください。2つあるとポリシーが無効になり、受信側が両方を無視することがあります。
rejectに移行できるまで、どのくらいかかりますか？
ドメインを名乗って送信するシステムの数によります。多くのチームは、移行までに数週間かけてレポートを読み、送信元を修正します。また、一度に移行せず、段階的に進めます。