このチェックでは、現在DNSに公開されているレコードを確認します。特定のメッセージが合格したかどうかは検証しません。それを確認するには、メッセージのヘッダーを開き、Authentication-Results行を読んでください。DNSのキャッシュにより、最近の変更が反映されるまでに時間がかかることがあります。
SPFは、ドメインに代わって送信してよいサーバーを示します。DKIMは各メッセージに暗号署名を付け、受信者が改ざんされていないこと、署名キーの保有者から実際に送られたことを確認できるようにします。DMARCはその2つを結びつけ、表示されるFromアドレスのドメインが、SPFまたはDKIMで検証されたドメインと同じでなければならないこと、そうでない場合にどう扱うかを受信者に伝えます。
SPFまたはDKIMのどちらかが成功し、かつFromドメインとアライメントしていれば、メッセージはDMARCに合格します。両方を設定するのが最も確実です。転送するとSPFが壊れ、サービスによってはDKIMに影響する形でメッセージを再署名または変更するためです。
すべて公開DNSから取得するため、どのドメインでも実行できます。
DKIMキーは、セレクターと呼ばれる任意の名前で公開されます。DNSからは一覧を取得できないため、セレクターがわかっている場合にしかキーを見つけられません。確実な情報源は実際のメッセージです。ヘッダーを開いてDKIM-Signature行を探し、s=の値(署名ドメインはd=)を読み取ってください。ドメインを設定するときは、送信サービスもセレクターを表示します。
よく使われる名前がどれも見つからなくても、DKIMがないという意味ではなく、セレクターが別の名前だということです。セレクターを入力して、もう一度チェックしてください。
p=noneでruaアドレスのないDMARCレコードは、何も監視していません。1つだけ直すなら、レポート送信先アドレスを追加してください。
| ポリシー | 失敗したメールへの影響 | 一般的な段階 |
|---|---|---|
| p=none | 通常どおり配信されます。レポートはruaアドレスに送信されます。 | ここから始めて、レポートを確認します。 |
| p=quarantine | 受信者は不審なメールとして扱うべきで、通常は迷惑メールフォルダーに入ります。 | 送信元の修正を進めている間。pctを段階的に引き上げます。 |
| p=reject | 受信者は受け付けを拒否するべきです。 | 正規の送信元がすべて合格した後の最終形です。 |
このチェックでは、公開鍵からキーサイズを読み取ります。現在は2048ビットのRSAキーが一般的に推奨されています。1024ビットのキーはほとんどの受信者で引き続き動作しますが強度が劣り、それより短いキーは安全でないとされています。2048ビットのキーを公開すると、TXTレコードが255文字を超えるため複数の文字列に分けて保存する必要があります。ほとんどのDNS管理画面では自動で処理されます。
GoogleとYahooは2024年に、大量送信者に対する認証の要件化を開始しました。大量に送信する送信者は、SPFとDKIM、DMARCレコードを設定し、スパム苦情率を低く保ち、簡単な配信停止に対応することが求められます。Microsoftも、Outlook.com向けに同様の要件を発表しています。具体的なしきい値と運用は各プロバイダーが定めており、時間とともに変わってきたため、ここに記載した数値に頼らず、各社の最新の送信者ガイドラインをご確認ください。
まずSPFを修正し(レコードは1つ、照会は10回未満)、次に送信サービスから提供されたDKIMキーを公開し、続いてp=noneでDMARCを追加します。SPF、DKIM、DMARCの失敗を解消するガイドで、各エラーメッセージを順に解説しています。DNSの変更が行き渡るには時間がかかるため、古いレコードのTTLが経過してからもう一度テストしてください。
レコードを検出し、DNS照会数を上限の10と照らし合わせて数え、重複レコード、構文の誤り、リスクのある設定にフラグを付けます。
セレクターに対応する公開鍵を照会し、その長さを読み取って、失効、読み取り不能、短すぎるキー、テストモードにフラグを付けます。
ポリシー、レポート送信先アドレス、適用割合を読み取り、無効なタグ、複数のレコード、ポリシーの欠落にフラグを付けます。
問題ごとにわかりやすい対処法が付いています。完全な設定手順は、以下のガイドをご覧ください。
ドメインの公開DNSレコードを読み取ります。具体的には、SPFレコード、_dmarc.yourdomainにあるDMARCレコード、selector._domainkey.yourdomainにあるDKIM公開鍵です。それぞれが存在するか、有効か、よくある問題がないかを示します。
セレクターは、送信サービスがDKIMキーにつけた名前で、1つのドメインに複数のキーを持てるようにするものです。送信したメッセージのDKIM-Signatureヘッダーにあるs=の値、または送信サービスのドメイン設定で確認できます。入力すると、そのキーを正確に確認できます。
セレクターがない場合は、よく使われる名前の短いリストを試すことしかできず、名前はサービスごとに異なります。それらの名前で「見つからない」と出ても、DKIMがない証拠にはなりません。確実な答えを得るには、セレクターを入力してください。
p=noneは監視モードです。DMARCに失敗したメールに受信者は何も措置を取りませんが、ruaのアドレスへレポートを送ります。推奨される出発点で、レポートからすべての正規の送信元が合格していることが確認できたら、quarantine、さらにrejectへ進められます。
いいえ。これらのレコードが示すのは、ドメインが認証を行う設定になっていることです。受信箱への到達は、送信者の評判、リストの品質、苦情率、内容にも左右されます。1通のメッセージが合格したかどうかを確認するには、そのメッセージのAuthentication-Resultsヘッダーを読んでください。
照会は当社のサーバーで実行され、結果は約5分間保持されるため、同じチェックを繰り返してもDNS照会は繰り返されません。チェックはアカウントと紐づけられず、照会先のDNSサーバーを保護するため、ツールにはレート制限がかかっています。
手順ガイドに従って、送信ドメインのSPF、DKIM、DMARCを公開しましょう。