【2024年2月対応必須】DMARCとは？メール送信者向けガイドラインで定められた内容をもとに解説

2023年10月、Googleと米Yahooがメール送信者向けのガイドラインを発表しました。 Googleは2024年2月から、アカウントに対してメールを送信する際の条件（認証）を強化するとし、米Yahooも同様にメール送信者向けに2024年第一四半期から条件の変更を実施すると発表しています。

本記事では、DMARCの設定の流れと具体的な確認ポイントについて詳しく解説します。読者の皆様が抱える課題や疑問を解決し、メールセキュリティを強化するための一助となれば幸いです。

【2024年2月更新】Gmail送信者ガイドライン変更！メルマガ送信者は要注意

DMARCとは

DMARCは、電子メールの送信ドメインの認証を強化し、スパムメールやフィッシング詐欺のリスクを減らすための技術です。 DMARCの目的は、送信元ドメインの偽装を防ぎ、メールの送信元を正確に識別することで、受信者に安全で信頼性の高いメールを提供することです。

具体的には、SPF、およびDKIMと組み合わせて使用され、メール受信サーバーが送信元ドメインを認証し、受信者に送信される前に詐称された不正なメールを把握し隔離・拒否を選択することができますので、フィッシングメールを防ぐため非常に有効な手段となります。

DMARCによるメール認証・レポート送信のイメージ

また、DMARCは正しい送信元（ドメイン保有者）に対してレポート送信することもできるため、SPFやDKIMでは把握できなかった詐称メールまで検知する事ができる点も、これまでの迷惑メール対策の技術より優れてるということができます。

今後はSPF・DKIM・DMARCへの対応が必須に

Googleと米Yahooより2023年10月に発表されたメール送信者向けのガイドラインによると、メール送信を行う事業者は、2024年2月から以下の対応が必須になります。

電子メールになりすまし対応が求められる背景

メール流通量の増加

インターネットの普及から今日に至るまで、電子メールは企業から一般ユーザーに対して行われるメールマーケティング活動やお知らせなど、多岐に渡る用途で活用され続け、その効果も高い事から国内のメール流通量は年々増加しています。

オンライン決済の増加とフィッシング詐欺対策強化の高まり

しかしながらメールのその仕組み上、送信側が送信元ドメインを容易に詐称できてしまう事から、犯罪者が送信元を詐称しショッピングサイト事業者やクレジットカード会社などのサービス事業者になりすましたメールに悪用できてしまい、そうした不正メール経由で送信偽サイトへ誘導し、ID・パスワード等の情報が盗み取られ不正な決済や送金が行われる犯罪（フィッシング）の報告件数が大幅に増加しています。

フィッシング報告件数（2023年10月末時点）

2023 年 10 月にフィッシング対策協議会に寄せられたフィッシング報告件数 (海外含む) は、前月より 39,771 件増加し、156,804 件となりました。

引用元：フィッシング対策協議会＜月次報告書＜2023/10 フィッシング報告状況

このような背景や、近年のキャッシュレス化によるオンライン決済の増加などもあり、サービス事業者には不正メールによる被害防止のための対策強化が求められています。

DMARC設定までの流れ、確認ポイントや注意点など

次に、DMARC対応時の流れや設定方法、設定前に気を付けておくべき点について解説します。 まずは簡単に、DMARC対応は以下の流れで進めます。

DMARCの設定手順

上記の流れに沿って、詳細の設定手順を解説します。

1.対象ドメインの利用範囲を確認する

DMARCはドメインに対して設定されるものとなり、官庁の要請では不正なメールアドレスは破棄する事が求められていますので、十分に利用範囲を確認しておく必要があります。対象ドメインを送信元としてメール配信されている業務やシステムなどの洗い出しを行い影響範囲を把握します。

2.送信元ドメインに対し、SPFとDKIMを設定する

DMARCはメール認証技術のSPFとDKIMを利用して送信元を判定しますので、これらを正しく設定します。

3.DMARCレポート受信用のグループ又はメールボックスを作成する

DMARCは、判定結果をドメイン保有者の指定するメールアドレス宛にレポート送信出来ますので、その受信用メールボックスなどを用意しておきます。

4.DMARCポリシーを調整・決定する

DMARCポリシーとは、対象ドメインを送信元としたメールが、DMARC認証（SPF又はDKIM）NGとなった場合の処理を受信メールサーバに指示するものです。

　・none：特別な処理を行わない
　・quarantine：受信者の迷惑メールフォルダに分類する等、隔離する
　・reject：拒否する

5.DMARC本番ポリシー設定前のテスト運用

DMARCはSPF認証又はDKIM認証で不正と判断された送信元からのメールを排除又は隔離（迷惑メールボックスで受信）するため、誤った設定で認証が行われると、本来届けなければならないメールが届かないといった影響が生じます。

そのため、テスト運用としてDMARC認証がNGとなった場合も、受信拒否が行われない仮設定でDMARC認証テストを行い、認証OK・NGそれぞれでレポート受信までの一連動作を確認します。

以下の設定例は、ymirlink.co.jpドメインでメール送信を行い、認証NGの場合に処理を行わない設定（p=none）とし、DMARC集計レポート送信先を「report@ymirlink.co.jp」、フィッシングレポート送信先を「report@ymirlink.co.jp」としています。

【DMARCレコード：テスト設定例】
　_dmarc.ymirlink.co.jp. IN TXT "v=DMARC1; p=none; rua=mailto:report@ymirlink.co.jp; ruf=mailto:report2@ymirlink.co.jp; sp=none"

DMARC本番適用と最終設定

確認事項

テスト設定内容

・DMARC設定対象ドメイン：ymirlink.co.jp

・DMARCポリシー：p=none（隔離・拒否の処理を行わない）

・DMARC認証失敗時の動作： sp=none （隔離・拒否の処理を行わない）

・DMARCレポート送信先： report@ymirlink.co.jp

・DMARCフィッシングレポート送信先： report2@ymirlink.co.jp

各パラメータの意味

v: DMARCバージョン（管理用）

p: DMARCポリシー（none、quarantine、rejectから選択）

rua: DMARCレポート（集計用）の受信先のメールアドレス

ruf: DMARCレポートの失敗したメール（DMARCフィッシングレポート）解析先メールアドレス

※DMARCフィッシングレポートは、ドメインにより対応していない場合があります。

　　sp: ドメインの送信元認証が失敗した場合の動作（none、quarantine、rejectから選択）

DMARCポリシーを本番用に調整し、設定する

テストで問題ないことを十分に確認した後、本番ポリシーに設定変更します。ここでは送信元が不正と判定した場合に受信拒否（p=reject）する設定とします。
【DMARCレコード：本番設定例】
　_dmarc.ymirlink.co.jp. IN TXT "v=DMARC1; p=reject; rua=mailto:report@ymirlink.co.jp; ruf=mailto:report2@ ymir.co.jp; sp=reject"

まとめ

繰り返しになりますが、DMARC対応はSPFとDKIMを用いた認証技術となり、認証結果によりメールを拒否しますので、誤った設定が行われていた場合は対象ドメインを利用する全てのメール送信に影響が生じてしまいますので、影響範囲を正しく把握し慎重にテスト運用を行った上で設定を進めていただくのが望ましいものとなります。

専門技術が求められるにもかかわらず設定誤りによる影響が対象ドメインを利用するメール全般と大きいものとなりますので、専門業者から技術支援が受けられると非常に心強いものとなります。メール配信システム提供を受けている、又はメールサーバをはじめとした管理を外部委託されている場合は、その様な技術支援が受けられるかを確認しておくことを推奨します。

【2024年2月更新】Gmail送信者ガイドライン変更！メルマガ送信者は要注意