DMARCとは？仕組みや導入のメリット・デメリット、設定・確認方法を解説

「DMARC（ディーマーク）」をご存じでしょうか？DMARCとは、送信元ドメインの認証を行うテクノロジーのことです。受信者はでなく、ドメインを所有する送信者が不審なメールの取り扱いを決められる点が特徴で、なりすまし・フィッシングメールの防止、メールの到達率向上に役立ちます。

本記事では、DMARCの概要や活用するメリット・デメリット、設定ステップと確認方法について詳しく解説します。DMARCについて知りたい方、導入を検討している方は、ぜひ参考にしてください。

DMARC（ディーマーク）とは

DMARC（Domain-based Message Authentication Reporting and Conformance）とは、2012年2月にリリースされたメール認証技術のことです。送信元ドメインの認証を行い、不正な送信元からのメールをブロックして、正当なものだけを受信者に届けます。

DMARCの仕組みと認証の流れ

DMARCでは、なりすましの可能性があるメールの配信がされた際に、送信ドメインの所有者が以下を選択できる仕組みになっています。

• none（なにもしない）：メールをそのまま配信する
• quarantine（隔離する）：メールを隔離フォルダに移動する
• reject（拒否する）：メールを配信しない

受信者ではなく、送信者側がメールの取り扱いを決められる点がDMARCのポイントです。実際にDMARCを導入した場合の認証ステップは、以下の通りです。

1. ドメインの所有者はあらかじめDNSサーバーに対して、なりすましメールの取り扱いを宣言する
2. メールを受信した場合、受信者がDMARCレコードに登録されているかをDNSサーバーに確認
3. SPFもしくはDKIMを用いて、なりすましか否かの認証を実施
4. 認証に失敗した場合は、事前に決めた処理の実施
5. 受信サーバーがレポートをドメイン所有者に送信

DMARCで用いられる認証の種類

DMARCで用いられる認証の種類は、以下の通りです。

• SPF
• DKIM
• DMARCポリシー
• DMARCレコード
• DMARCレポート

ここからは、上記それぞれの種類について詳しく解説します。

SPF

SPF（Sender Policy Framework） とは、IPアドレスの活用により送信ドメインの正当性を検証する技術のことです。メールを活用してサイバー攻撃を行う場合、攻撃者はアドレスを巧妙に詐称してメールを送信しますが、メールサーバーを乗っ取ることはできません。SPFでは、メール受信時に送信元のメールサーバーとドメイン所有者が事前に登録したIPアドレスを照合して、なりすましメールかを判断します。ただ、SPFを利用すると、転送メールなどを正しく判断できないケースがあります。

DKIM

DKIM（DomainKeys Identified Mail）とは、電子署名を活用して認証を行う技術のことです。送信者は送信メールに対して電子署名を付与します。受信者は、受信時に電子署名を確認して内容が改ざんされていないかなどを判断します。ただ、DKIMは普及率が低く署名がないからといって、必ずしもメールが不正なものとは限りません。

DMARCポリシー

DMARCポリシーとは、DMARC認証に失敗した場合のメールをどのように処理するか、ドメイン所有者が宣言するもののことです。ドメイン所有者が事前に宣言したポリシーに従い、受信者は失敗したメールを処理します。

DMARCレコード

DMARCレコードとは、DMARCポリシーをテキストファイルで記載したもののことです。DMARC認証には、ドメインとIPアドレスを紐づける仕組みであるDNSサーバー（Domain Name System）に、DMARCポリシーを登録しなければなりません。

DMARCレポート

DMARCレポートとは、認証の結果が記載されドメイン所有者に送られるレポートのことです。DMARCレポートの結果を確認すれば、認証が成功したか失敗したかわかります。また、DMARCポリシーが正常に稼働しているかの判断もDMARCレポートから可能です。

DMARC導入のメリット

DMARCの主な導入メリットは以下の通りです。

• なりすましやフィッシングメールを防止できる
• メールの到達率が向上する
• メールに関する手間を削減できる
• 企業の信頼性が向上する

ここからは、上記それぞれのメリットについて詳しく解説します。

なりすましやフィッシングメールを防止できる

DMARCは、特定ドメインからの送信だと主張するメールの認証により偽装メールを検出するため、なりすましやフィッシングメールの防止に役立ちます。フィッシングメールとは、個人情報の窃盗と不正利用を目的に、Amazonや宅配サービス、金融機関など正規のサービス事業者を装い、偽サイトに誘導するメールのことです。

フィッシングの詳細は以下をご覧ください。
⇒フィッシング詐欺とは？5つの対策や被害にあった場合の対処法を解説

メールの到達率が向上する

メールの到達率向上も、DMARCの活用メリットです。DMARCを導入すれば、正規ドメインからのメールのみを受信者に届けられます。フィッシングメールなどをなくすことができ、正規のメールをスパム扱いされたり、迷惑メールフォルダに振り分けられたりする可能性が減るでしょう。

メールに関する手間を削減できる

DMARCの導入には、受信者のメールに関する手間を削減する効果もあります。通常は、削除や迷惑メール登録など受信者がメールの取り扱いを決定します。ただ、DMARCでは送信ドメインの所有者が決定可能です。受信者の手元に届く前にメールの処理ができ、受信者の手を煩わせません。

企業の信頼性が向上する

企業の信頼性向上に寄与することも、DMARCの導入メリットです。実際には行っていなくても、自社のドメインが不正利用されれば、ブランドイメージが悪化したり、信頼性が低下したりする恐れがあります。DMARCの活用により、悪意ある第三者が自社のドメインを語り、詐欺などを働く行為を防止できます。ブランドイメージの悪化を防ぎ、顧客との信頼関係維持と向上に役立つでしょう。

DMARC導入のデメリット

メリットがある一方で、DMARCの活用には以下のデメリットが存在します。

• 設定が複雑でミスをする恐れがある
• 管理者に負担がかかる
• 対応しているシステムが限られている
• レコードの解読には知識が求められる

ここからは、上記それぞれのデメリットについて詳しく解説します。

設定が複雑でミスをする恐れがある

DMARCの導入には、DNSレコードの編集やメールサーバーの設定変更などが必要で複雑です。実際に設定を行うとなれば、なにをどのようにすれば良いかわからない方も多いでしょう。初心者では難しく、知識やスキルが求められる作業です。

また、DMARCの設定でミスをすれば、正規メールが受信者に届かなくなる恐れがあります。設定を厳しくし過ぎれば、正規のメールがスパムと判断され、ブロックされるケースも存在します。

管理者に負担がかかる

DMARCは、一度設定して導入すれば永続的に使えるわけではありません。1日1回レポートが送られてくるため、内容を確認して定期的にメンテナンスする必要があります。設定の調整にも専門の知識やスキルが求められます。

レポートの解読には知識が求められる

日々送られてくるレポートは、専用のソースコードで構成されています。ソースコードはHTMLやCSSではなく独自のものであるため、解読には専門知識が必要です。近年は、DX需要の高まりなどによりエンジニアの供給が足りておらず、DMARCのレポート解読やメンテナンスができる人材の確保は簡単ではありません。

対応しているシステムが限られている

DMARCは、全てのメールシステムで設定できるわけではありません。DMARC自体が比較的新しい認証テクノロジーで、対応しているシステムが限られています。もちろん、GmailやOutlookなどメジャーな企業が提供しているシステムでは対応しており、今後対応するシステムも増加すると考えられますが、現時点では活用できないものも存在します。

DMARCの設定ステップ

DMARCの設定ステップは以下の通りです。

1. SPFの設定
2. DKIMの設定
3. DMARCの設定

ここからは、上記それぞれのステップについて詳しく解説します。

1.SPFの設定

SPFの利用には、メール送信時に利用するサーバーのIPアドレスをDNSサーバーに「SPFレコード」として登録する必要があります。具体的な手順は以下の通りです。

1. DNS設定にアクセスし、TXTレコード追加画面を開く
2. レコードにSPFポリシーを入力する
3. 設定を保存後、DNS側の反映を待つ

DNS設定やTXTレコード追加画面への作成方法は、利用しているサーバーのFAQなどをご確認ください。レコードの記載例は以下の通りです。

2.DKIMの設定

DKIMの活用には、秘密鍵と公開鍵の準備が必要です。具体的な手順は以下の通りです。

1. OpenDKIMなどを活用して、鍵ペアの作成とレコード生成を行う
2. 生成したレコードをDNSサーバーに公開して、受信サーバー側が参照できる状態にする

3.DMARCの設定

SPFとDKIMの設定後に、DMARCレコードを準備して、ドメインプロバイダーに追加します。
DMARCレコードの記載例は以下の通りです。

pの後には、認証に失敗した場合の対応を以下から選択して記載します。

• none（なにもしない）
• quarantine（隔離する）
• reject（拒否する）

ruaの後には、DMARCレポートを送信するメールアドレスに「mailto:」を付けて記載します。

その他、タグの詳細は以下をご覧ください。
DMARC を設定する｜Google Workspace 管理者 ヘルプ

DMARCを確認する方法

DMARCを設定した後は、正しく設定できているかを確認する必要があります。ここからは、DMARCを確認する以下の方法について詳しく解説します。

• DMARC対応のプロバイダーにメールを送る
• ツールを活用する

DMARC対応のプロバイダーにメールを送る

DMARC対応のプロバイダーにメールを送ることで、設定状況の確認ができます。例えば、Gmailにおける確認方法は以下の通りです。

1. 個別メール画面の右上にある「︙」をクリック
2. 表示されたメニューの中にある「メッセージのソースを表示」をクリック

上記のステップで、メールごとのセキュリティ対策を確認できます。SPF・DKIM・DMARCの3項目があり「PASS」と表示されていれば認証成功です。「FAIL、SOFTFAIL」と記載されていた場合は、認証失敗のため再設定が必要です。

ツールを活用する

オンラインツールを活用して、DMARCの設定状況を確認する方法もあります。例えば、以下2つのツールを利用すればDMARCの状況を簡単に確認できます。

• DMARC Record Checker
• MxToolbox

DMARC Record Checkerの場合、画面中央の「Enter domain」にドメイン名を入力して「INSPECT THE DOMAIN」ボタンをクリックすれば確認可能です。
MxToolboxも「Domain Name」にドメイン名を入力後「DMARC Lookup」をクリックするだけです。どちらのツールも簡単に利用できるため、設定確認で使うと良いでしょう。

まとめ

DMARCとは、2012年2月にリリースされた送信元ドメインの認証を行う技術のことです。設定や管理が複雑ですが、活用すればドメイン所有者が自社の名前やドメインを語る不正なメールをブロックできます。なりすまし・フィッシングメールの防止やメールの到達率向上に役立ち、自社の信用を守れるでしょう。

近年は、さまざまなサイバー攻撃が存在します。自社がサイバー攻撃を受けないだけでなく、サイバー攻撃の原因とならない取り組みも重要です。