技術資料

DMARC とは

DMARC（Domain-based Message Authentication, Reporting & Conformance）は、メールの送信ドメインが正当なものであるかを検証するための仕組みです。SPF（Sender Policy Framework）やDKIM（DomainKeys Identified Mail）と連携して、メールの認証とレポートを行います。

DMARC の設定方法

DMARC を設定するには、DNS に以下のような TXT レコードを追加します。

v=DMARC1; p=reject; rua=mailto:postmaster@example.com, mailto:dmarc@example.com; pct=100; adkim=s; aspf=s

※参考: DMARC を設定する - Google Workspace 管理者 ヘルプ

この例では、ポリシー（p）が reject に設定されており、レポートの送信先（rua）が指定されています。pct は適用率、adkim と aspf はそれぞれ DKIM と SPF の整合性を厳格にチェックする設定です。

v

DMARC のバージョンを指定します。現在は「DMARC1」が一般的です。

p

ポリシーを指定します。none（レポートのみ）、quarantine（隔離）、reject（拒否）のいずれかを設定します。

rua

集計レポートの送信先メールアドレスを指定します。複数指定する場合はカンマで区切ります。
※ここで指定するメールアドレスは、DNSを参照すれば誰でも確認できるため、公開しても問題ないメールアドレスを指定しましょう。

pct

ポリシーを適用するメールの割合を指定します。0〜100の整数で、デフォルトは100です。

adkim

DKIM の整合性チェックの厳格さを指定します。s（strict）または r（relaxed）を設定します。

aspf

SPF の整合性チェックの厳格さを指定します。s（strict）または r（relaxed）を設定します。

Google のドキュメントによると、

DMARC の使用を開始するときは、ポリシー オプション（p）を none に設定することをおすすめします。ドメインからのメールが受信サーバーによってどのように認証されるのかがわかってきた段階で、ポリシーを更新します。ある程度の期間を設けて、受信側のポリシーを quarantine (or reject) に変更します。

とのことなので、最初は p=none で運用を開始し、様子を見て問題がなければ徐々にポリシーを厳格にしていくのが良いでしょう。

rua にメールアドレスを指定すると、DMARC レポートが指定したメールアドレスに送信されます。これにより、メールの認証状況を確認できます。

Gmail では、rua に指定したメールアドレスに DMARC レポートが送信されます。レポートは XML 形式で、メールの認証結果やポリシーの適用状況が含まれています。

DMARC の確認方法

DMARC が設定されているか確認するには、 nslookup コマンドを使用して、以下のように DNS レコードを確認します。

nslookup -type=TXT _dmarc.example.com

DMARC レポートの読み方

以下は、Gmail から送られてくる DMARC レポートの例です。三つのパートに分けて説明します。

<version>1.0</version>
<report_metadata>
<org_name>google.com</org_name>
<email>noreply-dmarc-support@google.com</email>
<extra_contact_info>https://support.google.com/a/answer/2466580</extra_contact_info>
<report_id>1234567890</report_id>
<date_range>
    <begin>1749686400</begin>
    <end>1749772799</end>
</date_range>
</report_metadata>

最初の部分は、レポートのメタデータを含んでいます。以下の情報が含まれています。

version

DMARC レポートのバージョンを示します。

org_name

レポートを生成した組織の名前です。

email

レポートに関する問い合わせ先のメールアドレスです。

extra_contact_info

追加の連絡先情報やサポートページへのリンクです。

report_id

レポートの一意な識別子です。

date_range

レポートがカバーする期間の開始と終了日時（UNIXタイムスタンプ）です。

続いてのパート。

<policy_published>
    <domain>abe-tatsuya.com</domain>
    <adkim>r</adkim>
    <aspf>r</aspf>
    <p>none</p>
    <sp>none</sp>
    <pct>100</pct>
    <np>none</np>
</policy_published>

次の部分は、DMARC ポリシーの公開情報を含んでいます。以下の情報が含まれています。

domain

DMARC ポリシーが適用されるドメイン名です。

adkim

DKIM の整合性チェックの厳格さ（s または r）です。

aspf

SPF の整合性チェックの厳格さ（s または r）です。

p

ポリシー（none, quarantine, reject）です。

sp

サブドメインに対するポリシー（none, quarantine, reject）です。

pct

ポリシーを適用するメールの割合（0〜100）です。

np

DNSで存在しないサブドメインに対するポリシー(らしい)。

そして最後のパート。

<record>
    <row>
        <source_ip>192.168.0.1</source_ip>
        <count>1</count>
        <policy_evaluated>
            <disposition>none</disposition>
            <dkim>pass</dkim>
            <spf>pass</spf>
        </policy_evaluated>
    </row>
    <identifiers>
        <header_from>abe-tatsuya.com</header_from>
    </identifiers>
    <auth_results>
        <dkim>
            <domain>abe-tatsuya.com</domain>
            <result>pass</result>
            <selector>default</selector>
        </dkim>
        <spf>
            <domain>abe-tatsuya.com</domain>
            <result>pass</result>
        </spf>
    </auth_results>
</record>

最後の部分は、各メールの認証結果を含むレコードです。<record> タグで囲まれた部分が一つの認証結果を表しています。以下の情報が含まれています。

source_ip

メールの送信元IPアドレスです。

count

この認証結果に該当するメールの数です。

policy_evaluated

適用されたポリシーの評価結果です。

disposition

ポリシーの適用結果（none, quarantine, reject）です。

dkim

DKIM の認証結果（pass, fail, など）です。

spf

SPF の認証結果（pass, fail, など）です。

identifiers

メールの識別子情報を含みます。ここでは、<header_from> タグでメールヘッダーの From ドメインが示されています。

auth_results

認証結果の詳細を含みます。DKIM と SPF の認証結果がそれぞれのドメインと結果とともに示されています。

このように、DMARC レポートはメールの認証状況を詳細に記録しています。

DMARC レポートの活用方法

DMARC レポートを活用することで、以下のようなことが可能になります。

• メールの認証状況を把握し、問題のあるメールを特定する。
• 不正なメール送信を防止するためのポリシーを調整する。
• メールの配信率を向上させるための改善点を見つける。

ここ数年よく言われる「Gmailに届かない問題」の多くは、DMARC ポリシーの設定ミスや認証の不備が原因であることが多いです。DMARC レポートを定期的に確認し、適切なポリシーを設定することで、メールの配信率を向上させることができます。

DMARC レポートは、メールの認証状況を把握するための重要なツールです。メール送信を行なう Webアプリケーションやサービスを運用している場合は、DMARC を設定し、レポートを定期的に確認することをおすすめします。