インターネットで情報をやり取りする上で、電子メールは欠かせないツールです。しかし、その便利さの裏側で、「なりすましメール」や「フィッシング詐欺」といった悪意のあるメールによる被害が後を絶ちません。
このような脅威から私たちを守るための技術の一つがDMARC (Domain-based Message Authentication, Reporting and Conformance) です。この記事では、DMARCとは何か、なぜ重要なのか、そしてどのように機能するのかを、初心者の方にも分かりやすく解説します。
DMARCとは？
DMARCは、2012年に開発された電子メールの認証技術であり、標準規格です。メールの送信元ドメインが詐称されていないか（なりすましでないか）を確認し、もし不正なメールであった場合にどのように処理するか（受信拒否、隔離など）を、ドメインの所有者が受信側サーバーに対して指示できるようにします。
これにより、企業や組織は自身のドメインが悪用されるのを防ぎ、ブランドイメージを守ることができます。また、受信者はより安全にメールを利用できるようになります。
DMARCの仕組み：SPFとDKIMとの連携
DMARCは単独で機能するのではなく、SPF (Sender Policy Framework) と DKIM (DomainKeys Identified Mail) という、既存の2つの送信ドメイン認証技術と連携して動作します。DMARCを利用するには、事前にSPFまたはDKIM（あるいは両方）が設定されている必要があります。
- SPF: 送信元サーバーのIPアドレスが、そのドメインからメールを送ることを許可されている正規のサーバーかどうかを検証します。
- DKIM: メールに電子署名を付与し、受信側でその署名を検証することで、メールが途中で改ざんされていないこと、そして正当な送信元から送られたことを確認します。
DMARCは、これらのSPFとDKIMの認証結果を利用して、さらに「アライメント（Alignment）」と呼ばれるチェックを行います。これは、メールヘッダーに表示されている送信元ドメイン（例: `From: user@example.com` の `example.com` 部分）と、SPFやDKIMで認証されたドメインが一致しているかを確認するものです。このアライメントチェックに合格することも、DMARC認証をパスするための重要な要素です。
受信サーバーは、メールを受け取ると、まずSPFとDKIMの認証を実行します。その後、DMARCのポリシー（後述）を確認し、SPFかDKIMの少なくとも一方が認証に成功し、かつアライメントも一致しているかを判断します。この条件を満たさない場合、DMARC認証は失敗となります。
DMARCポリシー：認証失敗時の対応を決めるルール
DMARCの大きな特徴は、認証に失敗したメールをどのように扱うかを、送信ドメインの所有者が「ポリシー」として設定できる点です。ポリシーは以下の3種類があります。
| ポリシー | 指示内容 |
|---|---|
none (監視) | 認証に失敗しても、特別なアクションは起こさず通常通り配信します。ただし、認証結果はレポート（後述）で送信ドメイン所有者に報告されます。DMARC導入初期に、影響を確認するために設定されることが多いです。 |
quarantine (隔離) | 認証に失敗したメールを受信者の迷惑メールフォルダなどに隔離するよう指示します。受信者は後で確認できます。 |
reject (拒否) | 認証に失敗したメールを受信しないように指示します。受信サーバーはメールを完全に拒否または破棄します。最も厳格なポリシーです。 |
ドメイン所有者は、最初はnoneポリシーから始め、DMARCレポートを確認しながら徐々にquarantine、最終的にはrejectへとポリシーを強化していくことが推奨されています。
DMARCレポート：メール認証状況の可視化
DMARCのもう一つの重要な機能が「レポート」です。ドメイン所有者は、自身のドメインから送信された（あるいは送信されたように見える）メールの認証結果に関するレポートを受け取ることができます。これにより、自社のメール送信状況や、なりすましの試みを把握できます。レポートには主に2種類あります。
- 集約レポート (Aggregate Reports / RUA): 定期的（通常は毎日）に送信されるレポートで、指定された期間内に受信したメールの認証結果（SPF/DKIM/DMARCの成功・失敗数、送信元IPアドレスなど）を集計したものです。XML形式で提供され、メール送信の全体像を把握するのに役立ちます。
- フォレンジックレポート (Forensic Reports / RUF): DMARC認証に失敗した個々のメールに関する詳細な情報（ヘッダー情報など）を含むレポートです。トラブルシューティングや不正利用の調査に役立ちますが、プライバシーに関わる情報を含む可能性があるため、全てのメールサービスプロバイダーが対応しているわけではありません。
これらのレポートを分析することで、ドメイン所有者は正規のメール送信サービスが正しく設定されているかを確認したり、不正な送信元を特定したりして、DMARCポリシーを適切に調整・強化していくことができます。
DMARCのメリット
DMARCを導入することには、以下のようなメリットがあります。
- なりすまし・フィッシング詐欺の防止: ドメインの不正利用を防ぎ、顧客や取引先を詐欺メールから守ります。
- ブランド保護: 自社ブランドをかたる偽メールが出回るのを抑え、ブランドイメージの毀損を防ぎます。
- メール到達率の向上: 正当な送信元からのメールであることが証明されるため、迷惑メールと誤判定されるリスクが減り、受信トレイへの到達率が向上する可能性があります。
- メール送信状況の可視化: DMARCレポートにより、自社ドメインからどのようなメールが送信されているかを把握し、問題を早期に発見できます。
DMARCの設定
DMARCを利用するには、ドメインのDNS（Domain Name System）設定に「DMARCレコード」と呼ばれるTXTレコードを追加する必要があります。このレコードには、使用するDMARCのバージョン、適用するポリシー、レポートの送信先メールアドレスなどを記述します。
以下は、DMARCレコードの簡単な例です（`example.com` はご自身のドメインに置き換えてください）。
v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com;この例では、
v=DMARC1: DMARCのバージョン1を使用することを示します。p=none: ポリシーとして「none（監視）」を指定しています。rua=mailto:dmarc-reports@example.com: 集約レポートの送信先メールアドレスを指定しています。
実際のレコードには、ポリシーの適用率（pct）、サブドメインへのポリシー適用（sp）、アライメントの厳格さ（adkim, aspf）など、さらに詳細な設定を指定するタグもあります。
DMARCレコードの設定は、ドメインを管理しているDNSサービスの管理画面から行います。具体的な手順は利用しているサービスによって異なります。
DMARCの重要性と普及
近年、メールセキュリティの重要性が高まる中で、DMARCの導入が広く推奨されています。特に、2024年2月からは、GmailやYahoo! Mailなどの主要なメールサービスプロバイダーが、大量のメールを送信する送信者（バルクセンダー）に対してDMARCの設定を義務付けるなど、その導入は加速しています。これらの要件を満たさない場合、メールが正常に配信されなかったり、迷惑メールとして扱われたりする可能性が高くなります。
多くの企業や組織が、顧客保護とブランド維持のためにDMARC導入を進めています。例えば、金融機関（ソニー銀行、横浜銀行など）やクレジットカード会社（ポケットカード、UCSなど）、ITサービス企業（NEC、兼松エレクトロニクスなど）などが、なりすまし対策としてDMARCを導入し、その効果を報告しています。
まとめ
DMARCは、SPFやDKIMといった既存の技術と連携し、なりすましメールやフィッシング詐欺からドメインと受信者を守るための強力な仕組みです。ポリシー設定によって認証失敗時の対応を制御し、レポート機能によってメール送信状況を可視化することで、メールセキュリティを大幅に向上させることができます。
主要なメールプロバイダーが対応を必須化するなど、DMARCは現代のメールコミュニケーションにおいて不可欠な要素となりつつあります。自社のドメインと顧客を守るために、DMARCの導入を検討してみてはいかがでしょうか。