none のまま止まってしまう理由
DMARC を p=none で公開して、そのまま一年以上経っているドメインは少なくありません。設定した担当者に聞くと、答えはたいてい同じです。引き上げて正規のメールが止まったら、誰が責任を取るのか。
この心配は正当です。p=quarantine にした瞬間、自社ドメインを名乗るメールのうち DMARC に不合格のものは、なりすましも正規のメールも区別なく迷惑メール扱いになります。設定漏れの送信元が一つでもあれば、そこから送る請求書や申込確認が取引先の迷惑メールフォルダに入ります。none から動けないのは、そのためです。
ただ、none で待っていても心配は減りません。減らすのは、none の期間に受け取っている集計レポートです。レポートを読めば、「引き上げたら止まるメール」が引き上げる前にわかります。none は待つための設定ではなく、調べるための設定です。
手順 1: レポートを受け取れる状態にする
DMARC レコードに
rua=mailto:アドレス
が無ければ、レポートは届きません。まずこれを追加します。送り先を自社ドメイン以外(可視化サービスのアドレスなど)にする場合は、送り先のドメイン側に「このドメインのレポートを受け取ってよい」という承認レコード(自社ドメイン._report._dmarc.送り先ドメイン)が必要です(RFC 9989 §7.1)。無いと受信側はレポートを送りません。
レポートは受信側ごとに日に一度、XML ファイルを ZIP や gzip で圧縮した添付として届きます。Gmail、Outlook、Yahoo などの大手はほぼ確実に送ってきます。手で読むのは現実的でないので、無料か安価の可視化サービスに転送するのが一般的です。
手順 2: 2〜4 週間分のレポートで送信元を洗い出す
レポートには、自社ドメインを名乗ったメールが、送信元 IP ごとに、通数と SPF・DKIM の結果、アライメントの合否とともに載っています。見るべきは「不合格の行」です。不合格には二種類あり、扱いがまったく違います。
- 正規の送信元が不合格になっている: 配信サービス、Web フォーム、クラウドサービス、複合機など、自社の業務で使っているのに SPF にも DKIM にも載っていない送信元です。IP の逆引きや、通数の周期(月初に集中するなら請求システム、など)から特定します。
- なりすまし: 心当たりのない IP からの送信です。こちらは引き上げで止めたい対象なので、対処は不要です。
月に一度しか送らないシステムがあるため、観察期間は最低 2 週間、できれば 1 か月を取ります。月末の請求メールや、四半期に一度の案内を見落とすと、引き上げた直後にそれが止まります。
手順 3: 正規の送信元を SPF と DKIM に加える
洗い出した正規の送信元を、SPF の include か IP、DKIM の署名設定に加えます。加えたら、その送信元から自分宛に送り、Authentication-Results ヘッダで dmarc=pass を確認します。翌日以降のレポートで、その IP の行が合格に変わっていれば完了です。
ここで一つ、対処できない不合格が残ることがあります。メーリングリストや転送です。受信者が自社のメールを別のアドレスに転送すると、転送先では送信元 IP が転送サーバーになるため SPF は不合格になります。DKIM の署名が保たれていれば DMARC は合格するので、DKIM を設定してあることが転送への備えになります。それでも件名を書き換えるメーリングリストなどでは DKIM も壊れ、不合格が残ります。これは自社では直せない不合格で、引き上げの妨げにはしません。
手順 4: 引き上げの判断基準
次の状態が 2 週間続いたら、quarantine に引き上げます。
- 洗い出した正規の送信元がすべて、レポート上で合格している
- 残っている不合格が、なりすましか、転送・メーリングリスト由来と説明できる
- 新しい送信元が追加されるときに DNS も更新する、という社内の取り決めがある
三つめは技術ではなく運用の条件ですが、これが無いと半年後に新しい配信サービスが不合格のまま使われ、そのメールだけが届かなくなります。設定を変える窓口を一つに決めておくだけで足ります。
DNS の変更は p=none を p=quarantine
に書き換えるだけです。以前の仕様にあった pct タグ(適用する割合)は RFC 9989
で廃止されたので、段階的な適用には使えません。代わりに、サブドメインごとに sp
タグで先行して引き上げる、という段階の踏み方はできます。
手順 5: quarantine で観察し、reject へ
quarantine にしたあとも、レポートの観察は続けます。見るのは、合格していた正規の送信元が不合格に転じていないかです。設定は変えていないのに不合格になるのは、送信サービス側が IP や署名鍵を変えた場合で、実際に起きます。
quarantine で 1〜2 か月問題が無ければ、reject に引き上げます。quarantine と reject の違いは、不合格のメールが迷惑メールフォルダに残るか、届かずに送信側へエラーが返るかです。受信者を守る効果は reject のほうが確実で、誤って止めた正規メールに気づく機会は quarantine のほうが多い、という関係です。多くのドメインでは、quarantine での観察期間を経てから reject に進めば、この差は問題になりません。
いま自分のドメインがどの段階にあるか
DMARC チェッカーにドメインを入れると、現在のポリシーと、rua の有無、送り先が外部の場合の承認レコードの状態がわかります。「なりすまし保護」が注意になっていれば p=none で、この記事の手順 1 から始める段階です。rua が無ければ、引き上げの判断材料がまだ手元に無い状態です。まずレポートを受け取れるようにしてください。
冒頭の「誰が責任を取るのか」という問いには、レポートが答えます。正規の送信元がすべて合格していると数字で示せれば、引き上げは判断ではなく確認になります。