DMARCポリシーとレポート

DMARC (Domain-based Message Authentication, Reporting and Conformance)は、SPFとDKIMを結び付け、両者の最大の死角を解消します。

SPFとDKIMはそれぞれドメインを認証しますが、必ずしもユーザーに表示されるFromヘッダーを認証するわけではありません。DMARCは、その認証結果がFromドメインとアライメントすることを要求し、メッセージが失敗した場合の処理を受信側に指示するとともに、レポートを送信します。

アライメントはDMARCの中心となる概念です。メッセージがDMARCに合格するのは、SPFまたはDKIMに合格し、かつ認証されたドメインが表示されるFromドメインと一致する場合だけです。

• SPFアライメント — エンベロープのMAIL FROMドメインがFromドメインと一致します
• DKIMアライメント — DKIMのd=ドメインがFromドメインと一致します

これにより、攻撃者が自分のドメインでSPFに合格しながら、Fromにはあなたのドメインを表示することを防ぎます。

アライメントは、認証方式ごとに設定できる2つのモードでチェックされます。

• Relaxed（デフォルト） — 組織ドメインが一致していればよく、サブドメインも許可されます（mail.company.comはcompany.comとアライメントします）
• Strict — ドメインが完全に一致する必要があります

組織が正当にサブドメインやベンダー経由でメールを送信することが多いため、実用上はRelaxedがデフォルトとして適しています。正確なドメインでの署名を保証できる場合は、Strictによってより厳格に制御できます。

DMARCは、特別な_dmarcサブドメインにTXTレコードとして公開します。

DMARCの主要なタグで、動作とレポートを制御します。

p=タグは、DMARCに失敗したメッセージを受信側がどのように処理するかを指定します。

• p=none — 何もせず、レポートだけを送信します（監視モード）
• p=quarantine — 失敗したメールを不審なものとして扱います（迷惑メールに振り分けます）
• p=reject — 失敗したメールを完全に拒否します（最も強力な保護）

導入の最終目標はp=rejectに到達することです。これにより、なりすましメールを実際にブロックできます。ただし、最初から無条件に設定すると、正当なメールまで破棄する危険があります。

集約レポート（ruaアドレスに送信されます）は、受信側プロバイダーから毎日送られるXML形式の概要です。ドメイン名を使ってメールを送信しているすべての送信元と、それぞれがSPF、DKIM、アライメントに合格したかどうかを確認できます。

これらのレポートから、次のことを発見できます。

• 認証を許可し忘れていた正当なサービス
• ドメインに対するなりすましの試み
• 適用を始める前の、設定に問題がある送信元

集約レポートは、安全にDMARCを導入するために最も役立つツールです。

集約XMLレポートには、送信元IPとその認証結果が一覧表示されます。

フォレンジックレポート（失敗レポート）（rufアドレスに送信されます）には、個々の失敗について、マスクされたヘッダーを含むメッセージ単位の詳細が記載されます。

これらは、進行中のなりすましキャンペーンを調査する際に役立ちます。ただし、次の点に注意が必要です。

• プライバシー上の懸念から、フォレンジックレポートを送信しないプロバイダーが多数あります
• 受信者の機密データが含まれる可能性があるため、慎重に扱う必要があります

実際には、集約（rua）レポートが大部分の作業を担い、フォレンジックレポートは追加的な情報として役立ちます。

いきなり reject に移行しないでください。レポートに基づいて、段階的に導入してください：

• p=none を rua とともに公開し、数週間監視します
• レポートで判明した正規の送信元すべてについて、SPFとDKIMを修正します
• p=quarantine に移行し、必要に応じて pct を使って適用率を段階的に引き上げます
• 正規メールが失敗しないと確信できたら、p=reject に設定します

各段階で集計レポートを確認してから、さらに厳格化します。

全体を仕上げるうえで、実務上のポイントが2つあります：

• サブドメインポリシー（sp） — サブドメインにもポリシーを設定し、攻撃者が random.company.com をなりすませないようにします。サブドメインがメールを送信しない場合でも、sp=reject を使用してください。
• BIMI — p=quarantine または p=reject に到達すると、BIMIレコードを公開して、対応している受信トレイに検証済みロゴを表示できます。これはDMARC適用を促すビジネス上の動機になります。

DMARCによる適用とレポートの仕組みについて学びました：

• DMARC では、SPFまたはDKIMが表示上のFromドメインと整合している必要があります
• 整合には、サブドメインを許可するrelaxedと、完全一致を要求するstrictがあります
• p= ポリシーはnoneからquarantine、さらにrejectへと段階的に厳しくなります
• 集計（rua）レポートによって安全な段階的導入を進め、フォレンジック（ruf）レポートでメッセージ単位の詳細を確認できます
• サブドメインポリシーを設定し、適用を開始したらBIMIも検討します

これでメールセキュリティコースは完了です。SPFはサーバーを認証し、DKIMはメッセージに署名し、DMARCはそれらをFromドメインに結び付けてポリシーを適用します。