DMARCフォレンジックレポート（RUF）：概要、仕組み、および有効化方法

DMARCレコードを設定することは、メールセキュリティの面で大きな成果をもたらしますが、真の効果を発揮するのは、実際にフィードバックループを確立したときです。こう考えてみてください。そのレコードを公開するとき、あなたは単にインターネット上の他のサーバーに対してメールの取り扱い方法を指示しているだけではありません。世界中のすべてのサーバーに対して、あなたに報告するよう求めているのです。

多くの人は日次集計サマリーを見るだけで終わってしまいますが、これらは「全体像」を把握するには最適です。しかし、どこを見ればよいかを知っていれば、さらに詳細な情報を得ることができます。そこで活躍するのが、DMARCフォレンジックレポート（RUF）です。 このガイドでは、RUFレポートとは具体的に何か、通常のデータとどう異なるのか、そしてメールが消失した際に「決定的な証拠」を見つけるためにどのように活用できるのかを詳しく解説します。

DMARCフォレンジックレポートとは何ですか？

DMARCフォレンジックレポート（失敗レポートとも呼ばれる）は、メッセージがDMARC認証に失敗した際に、受信メールサーバーから送信される詳細なリアルタイムのアラートです。このレポートには、認証結果、送信元、メッセージヘッダーなど、失敗した個々のメッセージに関する詳細な診断情報が含まれており、ドメイン所有者がなりすまし攻撃の可能性を調査したり、メール認証の問題をトラブルシューティングしたりするのに役立ちます。

集計レポートが建物への侵入を試みた全員の概要であるとするなら、フォレンジックレポートは、鍵をこじ開けようとしたたった一人の人物を捉えた高解像度の防犯カメラ映像のようなものです。これにより、なぜその特定のメッセージがフラグ付けされたのかという「詳細な」情報が得られます。

• 誰が送信しているのでしょうか？通常、不審なメールを検知するのは、受信側のメールサーバー（企業のゲートウェイなど）です。
• どこに届くのでしょうか？DMARCレコードのruf=タグに指定したメールアドレスに直接送信されます。
• どんな感じでしょうか？扱いにくいXML集計ファイルとは異なり、これらはAFRF（認証失敗報告フォーマット）を採用しています。はるかに「人間が読みやすい」形式であり、実際に問題を解決するのに役立つ十分な詳細情報が盛り込まれています。

DMARCフォレンジックレポートには何が含まれているのか？

RUFDMARCレポートは詳細なトラブルシューティングを目的として設計されているため、集計レポートには記載されていない、配信に失敗したメッセージに関する具体的なメタデータが含まれています。

RUFの典型的な報告書には、以下の内容が含まれます：

• 送信元IPアドレス：メールの送信を試みた正確なIPアドレス。
• 送信元アドレスおよび返信先アドレス：「ヘッダーのFrom」およびエンベロープ送信者。
• 件名：送信に失敗したメールの実際の件名。
• 認証結果： SPFまたはDKIMが失敗した具体的な理由、およびDMARCのアライメントが達成されたかどうかに関する詳細。
• メールヘッダー：メッセージの完全なフィードバックヘッダー。

DMARCレコードを設定することは、メールセキュリティの面で大きな成果をもたらしますが、真の効果を発揮するのは、実際にフィードバックループを確立したときです。こう考えてみてください。そのレコードを公開するとき、あなたは単にインターネット上の他のサーバーに対してメールの取り扱い方法を指示しているだけではありません。世界中のすべてのサーバーに対して、あなたに報告するよう求めているのです。

多くの人は日次集計サマリーを見るだけで終わってしまいますが、これは「全体像」を把握するには最適です。しかし、どこを見ればよいかを知っていれば、さらに詳細な情報を得ることができます。そこで役立つのが DMARCフォレンジックレポート（RUF） が活躍します。このガイドでは、RUFレポートとは具体的に何か、標準的なデータとどう異なるのか、そしてメールが行方不明になった際に「決定的な証拠」を見つけるためにどのように活用できるのかを詳しく解説します。

DMARCフォレンジックレポートとは何ですか？

A DMARCフォレンジックレポート （失敗レポートとも呼ばれる）は、メッセージがDMARC認証に失敗した際に、受信メールサーバーから送信される詳細なリアルタイムのアラートです。認証結果、送信元、メッセージヘッダーなど、失敗した個々のメッセージに関する詳細な診断情報を提供するため、ドメイン所有者は潜在的ななりすまし攻撃の調査や、メール認証の問題のトラブルシューティングを行うことができます。 

集計レポートが建物への侵入を試みた全員の概要であるとするなら、フォレンジックレポートは、鍵をこじ開けようとしたたった一人の人物を捉えた高解像度の防犯カメラ映像のようなものです。これにより、なぜその特定のメッセージがフラグ付けされたのかという「詳細な」情報が得られます。

• 誰から送られてきたのでしょうか？ 通常、不審なメールを検知するのは、受信側のメールサーバー（企業のゲートウェイなど）です。
• どこに届くのですか？ それは、 ruf= タグに指定されたメールアドレスに直接送信されます。
• どんな感じ？ あの扱いにくいXMLアグリゲートファイルとは異なり、これらは AFRF （Authentication Failure Reporting Format）を採用しています。これははるかに「人間が読みやすい」形式であり、実際に問題を解決するのに役立つ十分な詳細情報が詰まっています。

DMARCフォレンジックレポートには何が含まれているのか？

RUF DMARCレポートは詳細なトラブルシューティングを目的として設計されているため、集計レポートには記載されていない、配信に失敗したメッセージに関する具体的なメタデータが含まれています。

RUFの典型的な報告書には、以下の内容が含まれます：

• 送信元のIPアドレス： メールの送信を試みた正確なIPアドレス。
• 「From」および「Return-Path」アドレス： 「Header From」およびエンベロープ送信者。
• 件名： 送信に失敗したメールの実際の件名。
• 認証結果： その理由に関する具体的な詳細 SPF または DKIM が失敗した具体的な理由、およびDMARCの整合性が達成されたかどうか。
• メールヘッダー： メッセージのフィードバックヘッダーの全文。
• 個人を特定できる情報（PII）： これらのレポートには件名や受信者アドレスが含まれる可能性があるため、多くの場合、PIIが含まれています。

プライバシーに関する注意事項： 個人を特定できる情報（PII）が含まれているため、多くの主要なメールボックスプロバイダーは、ユーザーのプライバシーを保護するためにRUFレポートの送信を停止しています。PowerDMARCでは、この問題に対処するため、 RUFレポートへのPGP暗号化 に対応することで、機密データが暗号化された状態を維持し、お客様のみがアクセスできるようにしています。

一部の受信機では RUFレポートを送信する RUFレポートを送信する受信者の中には プライバシー法に準拠するため、 プライバシー関連法規に準拠するため、メール本文や件名の機密部分を伏せてから送信します。これが、一部のフォレンジックレポートが「空っぽ」に見えたり、 [REDACTED] といった文字列が含まれていることがあります。

DMARCフォレンジックレポートの例

内部で何が起きているかを本当に理解するには、生のデータを確認する必要があります。メールの配信に失敗すると、受信側はAFRF形式のレポートを生成します。一見すると技術的な内容に見えますが、何に注目すべきかさえ分かれば、実はかなり読みやすいものです。

フィードバックの種類: 認証失敗

User-Agent: PowerDMARC-Reporter/1.0

バージョン：1.0

Original-Mail-From: [email protected]

到着日：2026年3月31日（火）10:00:00 +0000

Message-ID: <[email protected]>

認証結果: dkim=失敗; spf=失敗

送信元IP: 192.0.2.1

報告されたドメイン：yourdomain.com

ここから読み取れることは：

• フィードバックの種類：これは認証に失敗したことを示しています。
• Original-Mail-From:メールの送信を試みた具体的なアドレス。
• 認証結果：「決定的な証拠」。このケースでは、SPFとDKIMの両方が失敗したため、レポートが生成されました。
• 送信元IP：これはメールを送信したサーバーの正確なアドレスです。このIPアドレスが分からない場合は、誰かがあなたになりすましている可能性があります。

DNSにおけるレコードの表示例

これらのレポートを取得するには、DMARCレコードが次のような形式になっている必要があります：

v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1;

注：自身のドメインとは異なるドメインにレポートを送信する場合、送信先のドメインには、レポートを受信できるようにするDNSレコードが設定されている必要があります。

タグの解説：

• v=DMARC1:インターネット上で使用しているプロトコルを識別するための標準的なバージョンタグです。
• p=none:これは「監視モード」です。サーバーに対して、「当面はメールを通過させておいて、何か問題があれば通知するように」と指示していることになります。
• rua=:こちらは、全体像を把握するための日々の集計サマリーを受け取るメールボックスです。
• ruf=:これは、詳細なリアルタイムの障害アラートをどのサーバーに送信すべきかを指定する、特定の「フォレンジック」タグです。
• fo=1:これは重要な設定です。SPFまたはDKIMのいずれかが失敗した場合に、サーバーにレポートを送信するよう指示します。（これを指定しない場合、一部のサーバーでは両方が失敗した場合にのみレポートが返されることがあります）。

DMARCフォレンジックレポートと集計レポート（RUFとRUA）

同じレコード内で両方が有効になっているものの、それぞれが異なる目的を果たしています。RUAは全体像を把握するためのものであり、RUFは詳細を精査するためのものです。

DMARCフォレンジックレポートを有効にする方法

RUFを有効にするには、DNS設定を簡単に更新するだけで済みます。

1. DNSにアクセスする：DNS管理コンソールにログインします。
2.DMARCレコードを探す：_dmarc.yourdomain.com の TXT レコードを探します。
3.RUFタグを追加する：ruf=mailto:[email protected] タグを挿入します。
4.FOタグの設定：レポートのトリガーを定義します（次のセクションを参照）。
5.保存と反映：変更を保存します。DNSの変更が全世界に反映されるまで最大48時間かかる場合があります。

プロのヒント：RUFレポートを通常の受信トレイに送信すると、処理が煩雑になるだけでなく、セキュリティ上のリスクも生じます。PowerDMARCのようなプラットフォームを利用すれば、メールボックスを散らかすことなく、整理されたダッシュボード上でこのデータを可視化できます。

DMARCの「fo」タグ（フォレンジック・オプション）について

foタグはDMARCレコードのサブコンポーネントであり、フォレンジックレポートの生成を希望するタイミングを受信側に通知するものです。

多くのセキュリティ担当者は、認証に関するあらゆる不具合を最も詳細に把握できるため、fo=1を使用しています。ただし、fo=1は可視性の面では最適ですが、ほとんどの場合、人間の受信箱ではなく、PowerDMARCのような専用の処理ツールに転送する必要があります。そうしないと、「ノイズ」が手に負えなくなるからです。

DMARCフォレンジックレポートが届かない理由

RUFを有効にしたにもかかわらず受信トレイが空の場合でも、慌てないでください。必ずしも記録が破られたことを意味するわけではありません。

1.プライバシーに関する制限：Gmail や Microsoft 365 などの主要プロバイダーは、ユーザーのプライバシーを保護するため、通常 RUF レポートを送信しません。
2.成功は静か：すべてのメールが DMARC 認証を通過している場合、報告すべき失敗は発生しません！
3.受信側の対応：すべての受信メールサーバーがフォレンジックレポートを生成するように設定されているわけではありません。

そのため、AggregateRUAレポートはドメイン全体の健全性を判断する「信頼できる情報源」と見なされているのに対し、RUFは特定の調査を行うための補助的なツールとなっています。

プライバシーとセキュリティに関する懸念

RUFレポートにはメールの件名や本文が含まれる可能性があるため、GDPRやCCPAなどの厳格なデータ保護規制の対象となります。攻撃者があなたのドメインを偽装して個人にフィッシングメールを送信した場合、受け取るフォレンジックレポートにはその個人の個人情報が含まれている可能性があります。

ベストプラクティス：

• 専用の安全な報告プラットフォームをご利用ください。
• PGP暗号化を有効にする：PowerDMARCではPGP暗号化機能を提供しており、秘密鍵の所有者であるあなただけがRUFレポートの内容を確認できるようになっています。
• データへのアクセス権限を中核となるセキュリティチームに限定してください。

RUFレポートを使用してなりすましを検知し、障害を修正する方法

フォレンジックデータの受信を開始したら、以下の手順に従ってください：

1. ドメインなりすましの検出

見覚えのないIPアドレスからフォレンジックレポートが届き、かつ「送信元」アドレスが自社のドメインである場合、進行中のなりすまし攻撃を検知した可能性があります。このIPアドレスを利用して、ブロックリストを更新したり、セキュリティオペレーションセンターに報告したりすることができます。

2. 正当な失敗への対処

正当なメールの送信に失敗することがあります。SalesforceやMailchimpなどのツールから送信失敗の報告があった場合は、レポートを確認し、DKIMの検証に失敗したのか、あるいは単にIPアドレスがSPFレコードに追加されていなかったのかを確認してください。

3. 調査のワークフロー

1. RUFレポートで送信元IPを特定します。
2.確認：これは御社で使用しているツールですか？
3.対応：許可されているが検証に失敗している場合は、SPF/DKIMの整合性を修正してください。許可されていない場合は、DMARCポリシー（p=quarantineまたはp=reject）が適切に機能するようにしてください。

結論

こう考えてみてください。DMARCの集計RUAレポートが毎月の銀行取引明細書だとすれば、フォレンジックRUFレポートは不審な取引ごとの個別の領収書のようなものです。これらは完璧というわけではありません。Gmailのような大手プロバイダーは、これらのレポートを送信することよりもユーザーのプライバシーを優先しているためです。しかし、入手できた場合、トラブルシューティングには非常に貴重な情報となります。

特定のマーケティングツールが正常に動作しない原因を突き止めようとしている場合や、標的型スプーフィング攻撃を受けている場合、これらのレポートは「誰が、何を、どこで」行ったかをリアルタイムで把握させてくれます。ただし、そのデータを責任を持って扱うよう注意してください。理想的には、機密性の高い個人識別情報（PII）を大量に保有することにならないよう、データを暗号化して管理するプラットフォームを利用するのが望ましいでしょう。

手間をかけずにフォレンジックデータを確認したいですか？PowerDMARCなら、生のRUFデータを分かりやすいダッシュボードに変換し、PGP暗号化によってデータの安全性とコンプライアンスを確保しながら、簡単に確認できます。今すぐ15日間の無料トライアルを開始して、メール環境の全体像を把握しましょう。

よくあるご質問

DMARCフォレンジックレポートとは、具体的にはどのようなものなのでしょうか？

これは基本的にリアルタイムのアラート機能です。毎日のサマリーを待つのではなく、個々のメールがDMARCチェックに失敗した瞬間にフォレンジックレポートが生成されます。内容は非常に詳細で、詳細な調査を行うことを目的としています。

RUFとRUAの違いは何ですか？

RUAは「全体像」を把握するための日次ダイジェストであり、トレンドや処理量をXML形式で提供します。一方、RUFは詳細な「マイクロ」ビューであり、ARF形式で即座に送信され、1件の失敗したメッセージに関する具体的な詳細が含まれています。

これらのレポートを実際に有効にするにはどうすればいいですか？

DNS設定でDMARCレコードを編集する必要があります。ruf=mailto:[email protected]タグを追加するだけで済みます。より万全を期したい場合は、fo=1タグも追加してください。そうすれば、SPFとDKIMの両方が失敗するのを待つのではなく、どちらか一方が失敗した時点でレポートを受け取ることができます。

RUFを設定したのですが、何も表示されません。壊れているのでしょうか？

おそらくそうではないでしょう。おそらく、あなたのメールは問題なく認証を通過しているはずです（それは良いことです！）。また、多くの大手プロバイダーは、ユーザーのプライバシー保護のため、RUFレポートを一切送信していない点にも留意してください。もしRUAレポートが届いているのであれば、あなたのレコードは正常に機能していると考えられます。

これらのレポートには個人情報が含まれていますか？

そうですね、そこが厄介なところです。フォレンジック報告書には、メールの件名や受信者のアドレス、場合によっては本文の一部まで含まれることがあります。そのため、GDPRのようなプライバシー関連法規を遵守するためにも、安全なプラットフォームを使って管理するのが賢明です。

「fo」タグにはどのような役割がありますか？

これは「Forensic Options」の略です。基本的には、受信側にレポートをいつ送信すべきかを正確に指示する一連の設定であり、すべての処理が失敗した場合のみレポートを送信するか（fo=0）、認証プロセスのいずれかの段階で問題が発生した瞬間にレポートを送信するか（fo=1）を指定します。

• について
• 最新記事

ミレーナ・バグダサリャン

コンテンツスペシャリストPowerDMARC

ミレーナは、IT、サイバーセキュリティ、バーチャルイベントなどに関する魅力的なコンテンツ制作に7年以上の経験を持つ、熟練したライター兼コンテンツ制作者です。ニューヨーク大学アブダビ校、UWCチャイナ校、カレッジ・オブ・ヨーロッパなどの名門校を卒業。

最新記事 by Milena Baghdasaryan(全て見る)

• Sendmarc レビュー：機能、ユーザー体験、メリット・デメリット（2026年） - 2026年4月22日
• FIPS準拠：2026年の期限までにインフラを強化する方法 - 2026年4月20日
• 営業アプローチのセキュリティ：営業チームがフィッシング詐欺師のように見られないようにする5つの方法 - 2026年4月14日