このトピックでは、Domain-based Message Authentication, Reporting, and Conformance (DMARC) の概要と DMARC レコードの設定方法について説明します。
DMARC
DMARC は Domain-based Message Authentication, Reporting, and Conformance の略です。DMARC レコードを設定することで、他者によるドメイン名のなりすましを防ぎ、これらのなりすましに関するレポートを受信できます。
受信者がお客様のドメイン名からメールを受信すると、受信者のメール転送エージェント (MTA) は、DMARC プロトコルをサポートしている場合、DMARC チェックを実行します。チェックに失敗した場合、DMARC レコードで指定されたメールボックスにレポートが送信されます。
パラメーター
TXT="v=DMARC1; p=quarantine; pct=0; ri=3600; rua=mailto:abc@example.net; ruf=mailto:abc@example.net"p: なりすましメールが検出された場合に受信者が実行する操作を指定します。有効な値は none、quarantine、reject です。
p=none: DMARC 認証に失敗した場合でも、お客様のドメイン名からのすべてのメールを受け入れます。
p=quarantine: メールのうち、通常は迷惑メールフォルダに移動される一部を隔離します。このパラメーターを pct パラメーター (デフォルトは 100) と一緒に使用して、DMARC 認証に失敗した場合に隔離されるメールの割合を設定できます。
p=reject: 厳格なポリシーを適用します。認証に失敗したすべてのメールを拒否します。
rua: 受信者サービスプロバイダーからの集計レポートを受信するメールボックスを指定します。
ruf: 受信者サービスプロバイダーから拒否されたメールに関する詳細なレポートを受信するメールボックスを指定します。
sp: サブドメインのポリシーを指定します。このパラメーターは p パラメーターに似ています。sp パラメーターを使用してプライマリドメイン名に DMARC ポリシーを設定すると、そのポリシーはサブドメインにも適用されます。
ri: 集計レポート間の要求間隔を秒単位で指定します。このパラメーターはオプションの 32 ビット符号なし整数で、デフォルト値は 86400 です。この値は、受信者が集計レポートを生成する最大間隔を示します。
adkim: DKIM の配置モードを指定します。デフォルト値は r (relaxed) です。値を s (strict) に設定することもできます。Relaxed モードではサブドメインが許可されますが、strict モードでは完全に一致する必要があります。
aspf: SPF の配置モードを指定します。デフォルト値は r (relaxed) です。値を s (strict) に設定することもできます。Relaxed モードではサブドメインが許可されますが、strict モードでは完全に一致する必要があります。
v: バージョンを指定します。このパラメーターは必須です。値は DMARC1 である必要があり、このタグはレコードの最初に配置する必要があります。
fo: 失敗レポートのオプションを指定します。このパラメーターはオプションで、デフォルト値は 0 です。値はコロン区切りのリストです。ruf タグが指定されていない場合、このタグは無視されます。監視とテストのために、このタグを p=none と一緒に使用できます。このタグを 1 に設定すると、メールが SPF または DKIM チェックのいずれかに失敗した場合にレポートが生成されます。
3. 設定方法
1. DMARC レコードを設定する前に、"v=spf1 include the following:spf1.dm.aliyun.com -all" を含む Sender Policy Framework (SPF) レコードを設定しているか、コンソールで提供された値で DomainKeys Identified Mail (DKIM) プロトコルを設定していることを確認してください。
2. SPF レコードを設定した後、次のように DMARC レコードを設定できます。
ドメイン名の名前解決の管理 | レコードタイプ | レコード値 |
_dmarc | TXT | v=DMARC1; p=quarantine; rua=mailto:dmarc_report@service.aliyun.com |
重要
レコード値の "dmarc_report@service.aliyun.com" は、Direct Mail が DMARC レポートを収集するために使用するデフォルトのメールボックスです。DMARC レポートを表示するには、組織内でメールを送受信できるメールボックスを指定する必要があります。サブドメイン上のメールボックスを使用できます。
ドメイン名が Alibaba Cloud から購入したものでない場合は、ドメイン名プロバイダーに連絡して、レコードの追加方法を確認してください。
手順
次のステップでは、Alibaba Cloud DNS を例として使用します。
1. Alibaba Cloud DNS コンソールにログインします。ドメイン名のリストから、管理するドメイン名を見つけて、[解決設定] をクリックします。
2. [解決設定] ページで、[レコードの追加] をクリックします。レコード情報を入力し、[OK] をクリックします。
例:
レコードタイプ: TXT
ホスト: @
次の図は、DMARC レコードを追加する方法の例を示しています。
DMARC レコードのクエリ方法
dig または nslookup コマンドを使用して DMARC レコードをクエリできます。
Linux: % dig _dmarc.your_domain_name txt
Windows: nslookup -qt=TXT _dmarc.your_domain_name