社外や社内のコミュニケーションに電子メールを多用する組織では、メッセージのDMARCエラーは懸念材料です。DMARCの失敗を防ぐために、オンラインで利用できる方法とツールがあります（無料）。

この記事では、DMARCが失敗する理由のトップ6と、それを緩和して配信性を向上させる方法について、丁寧に説明します。

DMARCはなぜ失敗するのかに向かう前に、DMARCとは何か、どのように役立つかを見てみましょう。

DMARCは、偽造された「なりすまし」メールが取引用のスパムフィルターを通過するのを防ぐための、メール認証ポリシーの重要な活動です。しかし、DMARCはスパム対策プログラム全体の柱の1つに過ぎず、すべてのDMARCレポートが同じように作成されるわけではありません。DMARCレポートには、メール受信者が各メッセージに対して行ったアクションを正確に伝えるものもあれば、メッセージが成功したか否かのみを伝えるものもあります。メッセージが失敗した理由を知ることは、失敗したかどうかを知ることと同じくらい重要です。

DMARCの失敗の原因となる一般的な理由

DMARCが失敗する理由を特定するのは、複雑な場合があります。しかし、ここでは典型的な理由とその要因について説明し、ドメイン所有者として問題をより迅速に修正できるようにします。

DMARC アライメントの失敗

DMARCは、メールの認証にドメインアライメントを利用します。つまり、DMARCは、Fromアドレス（可視ヘッダー）に記載されているドメインが本物かどうかを、非表示のReturn-pathヘッダー（SPFの場合）およびDKIM署名ヘッダー（DKIMの場合）に記載されているドメインと照合して確認するのである。どちらかが一致すればDMARCを通過し、一致しなければDMARCは不合格となります。

そのため、メールがDMARCに失敗する場合は、ドメインの不整合の可能性があります。つまり、SPFやDKIMの識別子が一致せず、メールが不正な送信元から送られているように見えるのです。しかし、これはDMARCが失敗する理由の一つに過ぎません。

DMARC アライメントモード 

プロトコルのアライメントモードも、メッセージがDMARCを通過するかしないかに大きく影響します。SPF認証では、以下のアライメントモードを選択することができます。

• Relaxed：これは、Return-pathヘッダーのドメインとFromヘッダーのドメインが単に組織的に一致する場合であっても、SPFが通過することを意味します。
• 厳密です。Return-pathヘッダーのドメインとFromヘッダーのドメインが完全に一致する場合のみ、SPFが通過することを意味する。

DKIM認証のアライメントモードは、以下の中から選択できます。

• Relaxed: これは、DKIM署名のドメインとFromヘッダーのドメインが単に組織的に一致する場合であっても、DKIMが通過することを意味します。
• 厳密。これは、DKIM署名のドメインとFromヘッダーのドメインが完全に一致する場合のみ、DKIMが通過することを意味します。

なお、メールがDMARC認証を通過するためには、SPFまたはDKIMのどちらかを揃える必要があります。  

DKIM署名を設定していない 

DMARCが失敗するケースとして非常に多いのが、ドメインにDKIM署名を指定していない場合です。このような場合、メール交換サービスプロバイダーは、Fromヘッダーのドメインと一致しないアウトバウンドメールにデフォルトのDKIM署名を割り当てます。受信側のMTAは2つのドメインを整合させることができず、その結果、メッセージに対してDKIMとDMARCが失敗します（メッセージがSPFとDKIMの両方に対して整合されている場合）。

DNSに送信元を追加していない 

ドメインにDMARCを設定すると、受信側のMTAは送信元を認証するためにDNSクエリを実行することに注意することが重要である。つまり、ドメインのDNSにすべての許可された送信ソースがリストアップされていなければ、リストアップされていないソースのメールはDMARCに失敗するということです。したがって、正当な電子メールが常に配信されるようにするためには、ドメインに代わって電子メールを送信することを許可されたサードパーティの電子メールベンダーをすべてDNSに登録するようにしてください。

メール転送の場合

メール転送では、メールは仲介サーバを経由して、最終的に受信サーバに配信されます。メール転送時には、仲介サーバのIPアドレスが送信サーバのIPアドレスと一致せず、この新しいIPアドレスが元のサーバのSPFレコードに含まれていないことが多いため、SPFチェックが失敗します。一方で、メールの転送は、仲介サーバや転送先のエンティティがメッセージの内容を一定に変更しない限り、通常はDKIMメール認証に影響を与えません。

メール転送時にSPFが失敗することは周知の通りですが、万が一、送信元がDKIMニュートラルで、SPFにのみ検証を依存している場合、DMARC認証時に転送されたメールが不正なものとなってしまいます。この問題を解決するためには、直ちに組織で完全なDMARCコンプライアンスを選択し、SPFとDKIMの両方に対してすべての送信メッセージを整合させ、認証する必要があります。

お客様のドメインが偽装されている

DMARC、SPF、DKIMの各プロトコルがドメインに対して適切に設定されており、ポリシーが施行されていて、有効なエラーフリーレコードがあり、問題が上記のいずれのケースでもない場合、メールがDMARCに失敗する最も可能性の高い理由は、あなたのドメインが偽装されていることです。これは、なりすましや脅威の行為者が、悪意のあるIPアドレスを使って、あなたのドメインから来ているように見せかけてメールを送ろうとする場合です。

最近の電子メール詐欺の統計では、電子メールのなりすまし事件が最近増加しており、組織の評判を落とす非常に大きな脅威であると結論づけられています。このようなケースでは、DMARCを拒否ポリシーで実装していても、失敗してしまい、なりすましメールは受信者の受信箱に届けられません。したがって、ドメイン・スプーフィングは、なぜDMARCがほとんどの場合で失敗するのかという答えになる。

サードパーティのメールボックスプロバイダーでDMARCが失敗するのはなぜですか？(Gmail, Mailchimp, Sendgrid, etc)

メール送信を外部のメールボックスプロバイダーに代行してもらう場合、DMARC、SPF、DKIMのいずれかを有効にする必要があります。DMARCを有効にするには、プロバイダーに連絡して実装を依頼するか、またはお客様自身で手動でプロトコルを有効にする必要があります。これを行うには、これらのプラットフォームでホストされているアカウントポータルにアクセスする必要があります（管理者として）。

GmailのメッセージがDMARCに失敗する場合、ドメインのSPFレコードに_spf.google.comが含まれているかどうかを確認してください。含まれていない場合、受信サーバーがGmailを送信元として認識できない原因になっている可能性があります。MailchimpやSendgridなどから送信されたメールも同様です。

DMARCの失敗を修正するにはどうすればいいですか？

DMARC障害を解決するためには、無料のDMARC Analyzerに登録して、DMARCレポートとモニタリングの旅を始めることをお勧めします。

#Step 1: ポリシーがない場合は、まずDMARC (RUA) Aggregate Reportsでドメインを監視し、受信メールと送信メールに目を配ることで、不要な配信問題への対応が可能になります。

#ステップ2： 続いて、ドメイン偽装やフィッシング攻撃に対する耐性を獲得するために、強制的なポリシーへの移行を支援します。

#Step3: 悪意のあるIPアドレスをテイクダウンし、PowerDMARCプラットフォームから直接報告することで、今後のなりすまし攻撃を回避するために、スレット・インテリジェンス・エンジンを活用します。

#Step4:DMARC (RUF) フォレンジックレポートを有効にすることで、メールがDMARCに失敗したケースについての詳細な情報を得ることができ、問題の根源を究明してより早く解決することができます。

DMARCに失敗するメッセージにどう対処するか？

なお、なりすましの脅威など通常の状況下では、DMARCに失敗し、a) DKIMのみ b) SPFのみ c) 両方でアライメントに失敗する場合があります。両方失敗した場合、あなたのメッセージは不正とみなされます。 これらのメールにどのように対応するかを受信者に指示するために、適切なDMARCポリシーを設定することができます。

お客様のドメインでなぜDMARCが失敗するのかという問題を解決し、問題を簡単に解決する方法を提供できることを願っています。今すぐPowerDMARCを使って、ドメイン偽装を防ぎ、メールフローを監視しましょう。