SPFとDMARC：あなたのドメインのなりすましメールを止める
SPFとDMARCは、あなたのドメインのメールをどのサーバーが送ってよいか、そして認証に失敗したメッセージをどう扱うかを、受信側のメールサーバーに伝えるDNSレコードです。これらがないと、誰でもフィッシングメールであなたのドメインを装えます。
これは何か
SPF（Sender Policy Framework）は、認可された送信サーバーを列挙するTXTレコードです。例：v=spf1 include:_spf.google.com -all。-all は「それ以外はすべて拒否」を意味します。
DMARCはSPFとDKIMの上に構築され、_dmarc.yourdomain.com で公開されます。そのポリシー（p=none、quarantine、reject）は、認証に失敗したメッセージの扱い方を受信側に伝えます。
なぜ重要か
SPF/DMARCがないと、攻撃者は [email protected] から来たように見えるメールを送れてしまい、あなたの顧客や社員へのフィッシングがはるかに巧妙になります。
緩いSPF（+all）や、p=none のままのDMARCポリシーは、ほとんど実効的な保護になりません——なりすましメールは依然として配信されます。
直し方
実際の送信元を列挙し、-all で終えてください。
yourdomain.com. TXT "v=spf1 include:_spf.google.com -all"まず p=none で監視を始め、正当なメールが通ることを確認したら quarantine または reject に移行してください。
_dmarc.yourdomain.com. TXT "v=DMARC1; p=reject; rua=mailto:[email protected]"SPFレコードを2つ公開するのは、SPFを無効化する恒久的なエラーです。すべての include を1つのレコードに統合してください。
FAQ
SPF、DKIM、DMARC の違いは何ですか？
SPFは送信サーバーを認可し、DKIMはメッセージに暗号署名し、DMARCはそれらを結びつけて、失敗時の対応方法を受信側に伝えます。
DMARCを適用すると、正当なメールがブロックされませんか？
実際の送信元がSPF/DKIMでカバーされていない場合、ブロックされることがあります。だからこそ、p=none で始めてレポートを読み、それから厳しくするのです。