DMARCがSPFとDKIMに加えるもの
SPFとDKIMはそれぞれメッセージについて何かを証明しますが、どちらも受信者が実際に目にするFromヘッダーのドメインを確認しません。DMARCはこの隙間を埋めます。SPFまたはDKIMを通過したドメインがFromドメインとアラインしていることを要求し、それが失敗したときに受信側が何をすべきかを指示します。そのまま配送する（none）、迷惑メールに送る（quarantine）、拒否する（reject）のいずれかです。
さらに、あなたのドメインとして送信しているすべての送信元と、その認証結果を記した集約レポートを送るよう受信側に依頼します。コールドメール運用にとってDMARCは、類似ドメインによるなりすましを止める手段であり、設定を誤ったツールがドメインを焼き切る前に気づくための手段でもあります。
_dmarc.yourdomain.com TXT
v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100p=none から quarantine、そして reject へ
まずはrua宛先を添えた p=none から始めます。配信には何の変化もありませんが、数日以内に、あなたのドメインを使って送信したすべてのIPを列挙するXMLレポートが届きます。メールボックスプロバイダー、送信ツール、CRMのすべてがアラインメント込みで通過しているかを確認してください。想定どおりの送信元だけが現れ、すべて通過するようになったら、p=quarantine に変更します。
quarantine で数週間運用します。正当なメールが隔離されていなければ、p=reject に切り替えます。GmailとYahooは一括送信者に最低でも p=none を要求しますが、受信側は強制力のあるポリシーをより高く評価し、なりすましを完全に止められるのは reject だけです。
- 不安であれば、pct=25 や pct=50 を使って quarantine を段階的に展開しましょう。
- サブドメインに別のポリシーが必要なら sp= を設定します。設定しなければ p を継承します。
- すべての送信元がFromドメインを正確に使っているのでない限り、adkim と aspf は緩和のままにしましょう。
- 新しい送信ツールを追加するたびに、レポートを読み直しましょう。
重要なタグの読み方
レコードはセミコロンで区切られた tag=value のペアの並びです。v は DMARC1 でなければならず、先頭に来る必要があります。もうひとつの必須タグは p だけです。rua は集約レポート用に1つ以上の mailto: アドレスを取ります。pct はポリシーを適用する失敗メールの割合を制限します。adkim と aspf は、アラインメントを緩和（サブドメインも有効）と厳格（完全一致）で切り替えます。それ以外はすべて任意で、必要になることはめったにありません。
よくあるミスは、第三者のアドレスにレポートを送る際に、そのドメインが公開すべき承認レコードを用意していないことです。もうひとつは、DMARCレコードを2つ追加してポリシーを未定義にしてしまうことです。チェッカーはこの両方に加え、実在のタグを受信側が無視する未知のタグに変えてしまうタイプミスも検出します。
コールドメール用ドメインにおけるDMARC
アウトリーチ用ドメインは新しく、監視も手薄なため、なりすましの標的になりがちです。自社のメールがアラインしてしまえば reject ポリシーに費用はかからず、レピュテーション毀損のひとつのカテゴリーをまるごと取り除けます。ほとんどのコールドメール構成は Google Workspace か Microsoft 365 を経由し、DKIMを有効にしているため、アラインメントは通常すでに成立しています。
InboxOneは払い出すすべてのドメインでSPF、DKIM、DMARCレコードを公開するため、最初の送信からドメインが保護されます。DNSをご自身で管理している場合は、ジェネレーターでレコードを作成し、反映後にこのチェッカーで確認してください。
