Spelldataは、PowerDMARCの日本代理店です。この記事は、PowerDMARCの許可を得て、翻訳しています。答えは「はい」、DKIMなしでDMARCを設定できます。することが良いことなのでしょうか?当記事では、この疑問について探ります。DKIMなしでDMARCを設定した場合の影響について説明します。DMARC認証規格を理解することDMARCは、ドメインからのメールメッセージを認証するためのプロトコルです。これは、メールメッセージが正当なものであるかどうかを判断するために、一連のルールを使用します。SPFとDKIMは、DMARCの文脈で認証目的で使用される他の2つのプロトコルです。Frameworkの頭文字をとったもので、メールプロバイダが送信者の身元を確認し、スパムメッセージをブロックする方法を規定したものです。Mailの略称で、送信時にメッセージを暗号化し、目的地のサーバに届いたときに公開鍵暗号を使って再度署名することで機能します。DMARC、SPF、DKIMは、組み合わせることでメール認証の3本柱になります。これにより、メールが第三者によって偽造、改竄、ハッキングされることを防ぎます。DMARC評価アルゴリズムDMARCの評価アルゴリズムは、SPFとDKIMによる認証結果を考慮したブール値※です。その後、メールメッセージを正当なものとして受け入れるかどうかを決定します。その値は、以下の2つの結果に分かれます。※訳注:ブール値とは、ブーリアン値ともいい、真または偽の値を持つデータのことです。上記では、SPFとDKIMが認証に成功したか失敗したかで評価する、という意味です。合格メールがSPFとDKIMの両方の認証に合格するか、またはそのうちの1つに合格しています。そのため、問題ないとみなされ、受信サーバによって受け入れられます。「合格」認証アルゴリズムを簡単な方程式にすると以下になります。不合格メッセージがSPFとDKIMの両方の認証チェックに失敗し、形式が不正であるか、悪意のあるコンテンツが含まれている(可能性が高い)ことを示しています。DKIMを使用せずにDMARCを設定できるか?DMARCは以下の3つの状況で通過します。有効なDKIMがあり、SPFがない場合つまり、DKIMがなくてもDMARCを設定することは可能です。DMARCは、認証のためにSPFとDKIMの上に構築されていますが、両者は独立した技術です。一般的な意味で、SPFは「経路認証」メカニズムであり、IPが特定のドメインを代表してメッセージを送信することを許可するものです。DKIMは「コンテンツ完全性」メカニズムであり、送信したものがサーバに届いたときに変化していないことを保証するものです。したがって、それらは相互に効果を発揮するために、互いに依存していないといえます。両者は並行して、または互いに独立して使用することができます。SPFとDKIMの両方をDMARCと一緒に使用することが推奨されます。これらの機能は、より堅牢なDMARC認証機能を提供するために連携しているからです。DKIMを使用しないDMARCは、可能ではありますが、推奨される方法ではありません。DKIMがないメールをメールクライアントはどのように扱うか?ほとんどのメールクライアントは、DKIMがないメールをスパムとして扱います。場合によっては、受信者のメールサーバでメッセージがフラグ付けされ、スパムとしてマークされることもあります。一部のメールサービスプロバイダは、意図したものとは異なるドメインから発信されたメッセージとして、受信者に表示することがあります。by)」または「経由(via)」は他の誰かになります。※これは受信者にとって混乱を招き、あなたではなく他の誰かがメッセージを送信したと信じることさえあります。※訳注:DKIMを設定していないと本来表示されないはずの送信者アドレスや経由アドレスが表示されるために、不審なメールと判断される可能性がある、ということです。詳しくは以下をご覧ください。OutlookDKIMなしOutlookは受信者の受信トレイに「送信者」アドレスを表示します。DKIMありOutlookはFromアドレスのみを表示します。GmailDKIMなしGmailは受信者の受信トレイに「経由」アドレスを表示します。DKIMありGmailはFromアドレスのみを表示します。メールにDKIMが存在する場合、上記の問題は発生しにくくなります。送信サーバはクライアントの画面に表示されなくなるため、スパム扱いされたり迷惑メールフォルダに入る可能性が低くなります。表示されるのがFromアドレスのみになると、メールマーケティング戦略を通じて顧客を探している送信企業にとって高い信頼性が得られます。DKIM付きDMARCとDKIMなしDMARCの設定による結果DKIM付きDMARCを設定することで、メールがスパムフィルタにフラグ付けされてブロックされるのを防ぐことができます。DKIMなしでDMARCを設定すると、誤検出が増えるだけでなく、受信者が送信者のメールアドレスを確認しようとしたときに遅延が発生する可能性があります。このセクションでは、DKIMを使用したDMARCとDKIMを使用しないDMARCを設定した場合に起こりうるいくつかの結果について見ていきます。FromまたはReturn-path)に限定されます。これらは、送信者からのバウンス(配信不達報告)を受信するために使用されます。DKIMとSPFが組み合わされると、DMARC保護は「ヘッダFrom:」アドレスや受信者に見えるアドレスにも適用されます。これにより、DMARCをSPFだけで使用するよりも、よりメールの信頼性を高めることができます。メールを転送する場合SPF認証は、SPFレコード(メールを送信するサーバのIPアドレス)を含むメールを別のサーバに送信することで機能します。一方のサーバは、このIPアドレスが登録されているかどうかを認証し、自分たちが持つSPFレコードで返答します。持っていなければ、リクエストを拒否します。メール転送の場合、中間サーバのIPアドレスが送信ドメインのSPFリストにあるとは限らないため、SPF認証が失敗することがあります。その結果、DKIM署名のない正当なメールがDMARC認証に失敗し、偽陰性(正しいのに、誤っているとされる状態)となります。DKIMがこのドメインに設定されていたら、偽陰性にはなりませんでした。それはなぜでしょうか?DKIM署名(d=)はメール本文そのものに付加されるのに対し、SPFは「Return-Path」ヘッダに付加されています。メール転送の場合、メール本文には手を加えず、変更されないため、メール本文に含まれるDKIM署名(d=)はそのまま保持されます。メール本文に含まれる公開鍵と秘密鍵のペアで送信者の身元が確認でき、DMARC認証を通過します。SPFは「Return-Path」ヘッダに付加されているため、メール転送の場合に変更されます。そのため、その有効性は検証されず、結果的に偽陰性となってしまうのです。結論として、メール転送によってSPF認証は失敗しますが、DKIMはメール本文に付加されているため、メール転送に耐えることができます。そのため、DKIMと共にDMARCを設定することが重要です。IPアドレスを更新する場合メールを送信すると、受信サーバはメールのヘッダが改竄されていないかどうかを確認します。改竄されていた場合、受信サーバはメッセージを拒否し、通知を送ります。そこで登場するのがSPFです。SPFは、送信サーバのSPFレコードにIPアドレスが有効なものとして登録されているかどうかを確認します(つまり、なりすましのIPアドレスでないかどうかということです)。IPアドレスが変更された場合、SPFレコードを新しいアドレスで更新する必要があります。これにかかる時間は、IPアドレスをどれくらい頻繁に変更するかによりますが、ほとんどの場合、新しいSPFレコードが有効になるまでに最大48時間かかります。メールプロバイダが新しいIPを追加した場合、どうなるでしょうか?この場合、SPFレコードの更新が伝播する時間がかかるため、メール配信が遅延することがあります。DKIMとSPFの両方を設定すれば、DKIMの暗号化署名を使用して、sender@yourdomain.comのメールサーバが送信を許可されていたことを証明することで、この問題を回避できます。IP範囲が変更されても、DKIMは特定のドメインからのメールが本物で正当であることを確認できるということです。DKIMなしでのDMARCの使用:考えられるOK/FAILシナリオDKIMとSPFの仕組みを利用すると、「なりすましを防ぐ」という同じ目標を達成するために、事実上2つの異なるツールを効果的に使用していることになります。両方とも独立して動作しますが、それぞれ独立して失敗することもあります。SPFはDKIMとは無関係に失敗し、DKIMはSPFとは無関係に失敗します。以下は、DMARCを設定する際にDKIMを使用する場合としない場合で考えられる4つの成功/失敗の状況です。メールが正当な送信元から送信されていることを保証します。サーバは有効なSPFレコードと有効なDKIM署名があるため、メール送信を許可されます。メールは認証済みのサーバによって配信されますが、DKIM署名の検証が失敗したことを意味します。メールのDKIM署名は有効ですが、送信サーバーにはメールを配信する権限がありません。SPFとDKIMの両方が失敗すると、メールはなりすましと見なされ、受信者のDMARC対応メールサーバーによって拒否されます。配信されない/拒否される※訳注:ジャンクフォルダに入ったメールは、通常の受信トレイには表示されません。完全なDMARCの実装が今こそ必要!SPFとDKIMは、なりすましを防ぐために適切なDMARCレコードを実装するために使用される最も一般的なメール保護メカニズムです。適切なDMARC実装が既存のメールインフラに適用されると、メールメッセージが意図した通りに配信されます。これにより、スパム苦情の減少、ブラックリストの誤検出の減少、およびすべての購読者の配信統計の改善が期待できます。PowerDMARCは、DKIM、SPF、およびDMARCポリシーを含む完全なDMARC実装サービスを提供し、ドメインに適用します。これにより、メールからより信頼性の高い結果を得ることができます。オンラインでDKIMレコードを生成するか、無料のDMARCトライアルを利用して、複雑で絶えず変化するメールセキュリティの世界への完全な解決策を手に入れましょう。PowerDMARCのトライアルをお試しになりたい方は、こちらからお問い合わせください。この記事をシェアするお問い合わせフォーム本サービスのご相談やお見積り、事例についてなど、お気軽にお問い合わせ下さい。Timingという標準計測指標での数値です。Reserved.株式会社SpelldataMailData、MailDataのロゴは、株式会社Spelldataの商標または商標登録です。