この記事では、PowerDMARCの「Hosted DMARC」機能の使用方法について、手順を追って解説します。

DMARC（Domain-based Message Authentication, Reporting, and Conformance）は、既存のSPFおよびDKIMの仕組みを基盤とした電子メール認証プロトコルです。簡単に言えば、DMARCはSPFまたはDKIMのいずれかの認証が通過するかどうかを確認します。これらのチェックのうち少なくとも1つが成功し、かつ適切に整合していれば、その電子メールはDMARCに準拠しているとみなされます。 しかし、SPFとDKIMの両方が失敗した場合、そのメッセージはDMARC失敗となり、設定されたポリシー（隔離や拒否など）が適用される可能性があります。

従来、DMARCを設定するには、DNSのTXTレコードを作成して公開する必要がありました。DMARCのポリシーや設定を変更する際は、DNSにアクセスし、手動でレコードを編集し、変更を保存する必要があります。このプロセスは、特に複数のDNSプロバイダーにまたがって複数のドメインを管理している組織にとっては、時間がかかり、複雑になりがちです。

そこで「Hosted DMARC」の出番となります。これは、手動によるDNSの更新を頻繁に行う必要をなくすことで、DMARCレコードの管理とポリシーの適用を簡素化するサービスです。これにより、組織は一元化されたプラットフォームから、DMARCの設定をより効率的に管理できるようになります。

ホスト型DMARCの設定手順

ホスト型 DMARC では、PowerDMARC ポータルから DMARC レコードのホスト、管理、編集、および変更の適用を直接行うことができます。

• まず、既存のDMARC DNS TXTレコードがある場合は、それを削除してください。

• PowerDMARCポータルで、 「Hosted Services」 > 「Hosted DMARC」に移動します。

• 以下をクリックしてください 「+ ドメインを追加」 をクリックして、まだ追加されていない場合はドメインを登録し、ドロップダウンメニューから対象のドメインを選択してください。

注： ドメインが追加されると、Hosted DMARCは自動的に、お客様のDNSに公開されている既存のDMARC設定を確認します。レコードが見つかった場合、プラットフォームは現在の設定を取得し、Hosted DMARCのインターフェースに反映します。続行する前に、既存の設定を確認することをお勧めします。

• 設定内容を確認したら、 「DNS設定」 オプションをクリックしてください。これにより、DNS設定セクションに移動します。

• [ 「値」 フィールドに表示されているCNAMEレコードをコピーし、ホスト名を使用してDNSに設定してください： _dmarc

• DNSレコードを手動で公開するか、当社の 「自動DNS公開」 機能を利用することで、このプロセスを簡略化できます。

• DNSの変更が反映されたら、「Hosted DMARC」ウィンドウに戻ってください。ステータスは次のように表示されるはずです。 「Active」と表示されるはずです。

ホスト型DMARCを使用したDMARCレコードとポリシーの更新

「Hosted DMARC」が有効になると、DNSレコードを手動で変更することなく、PowerDMARCポータルから直接DMARCの設定を編集できるようになります。

1. DMARCポリシーを選択してください

組織の要件に最も適したDMARCポリシーを選択してください：

• なし（監視のみ）

• 検疫

• 却下

2. テストモードを有効にする（任意）

ホスト型DMARCはDMARCbisに対応しています テストモード タグ（t=y）をサポートしています。

テストモードを利用することで、組織は、DMARCポリシーを本格的に適用する前に、より厳格なポリシーを検証することができます。受信メールサーバーがテストモードに対応している場合、公開されたポリシーはより低い適用レベルで適用されます：

• p=隔離；t=y → p=なしとして扱う

• p=排除; t=y → p=隔離として扱う

これにより、組織はDMARCレポートデータを継続して受け取りながら、ポリシー変更による影響を評価することができます。

注：  t=y タグのサポートは、受信側がDMARCbis標準を採用しているかどうかに依存します。一部のメールプロバイダは、公表されたポリシーを通常通り適用し続ける場合があります。

3. DMARCの追加設定を行う

ホスト型DMARCでは、次のようなDMARCレコードのパラメータをさらにカスタマイズすることができます。

• サブドメインポリシー (sp=) 既存のサブドメインについて。

• 存在しないサブドメインに関するポリシー (np=) DNS上に存在しないドメインまたはサブドメインに対して。

• 追加 集計レポート（RUA） 受信者。

• 鑑識報告書（RUF） 受信者。

• SPF アライメントモード。

• DKIM 整合モード。

存在しないサブドメインに関するポリシー (np=) について

DMARCbis 規格では、 np= タグを導入しており、これにより組織は、実在しないサブドメインからの送信を装う電子メールに対して専用のポリシーを定義できるようになります。

これにより、有効なDNS設定が存在しない偽造サブドメインを利用したスプーフィング攻撃からドメインを保護することができます。

4. 変更を保存する

設定が完了したら、 [レコードを保存]をクリックしてください。

すべての変更は、Hosted DMARC を通じて自動的に公開・適用されるため、手動での DNS 設定の変更は必要ありません。

DMARCbisに関する重要な変更点

DMARCポリシーの割合（pct=）の非推奨化

DMARCbis 規格では、 pct= (ポリシー割合) タグの使用を非推奨としています。

以前は、組織はDMARCポリシーを、検証に失敗したメッセージの一部にのみ適用することで、段階的に実施することができました。受信メールプロバイダー間で実装に一貫性がないため、 pct= タグは、更新されたDMARC仕様から削除されました。

その結果：

• The DMARC ポリシー適用率 オプションは、Hosted DMARC内では利用できなくなりました。

• 組織は、もはやパーセンテージに基づくポリシーの展開に頼るべきではない。

• DMARCポリシーの進捗管理には、認証モニタリング、DMARCレポート、および必要に応じてDMARCbisのテストモード機能を活用すべきです。

受信機に関する考慮事項

DMARCbis では、次のような新しいタグが導入されています：

• t=（テストモード）

• np=（存在しないサブドメインポリシー）

これらのタグのサポート状況は、受信側のメールプロバイダーによって異なる場合があります。組織は、より厳格な適用ポリシーに移行する前に、引き続きDMARCの集計レポートを監視し、認証の一致状況を確認することを推奨します。

Hosted DMARCの利用を開始するには、無料トライアルにお申し込みいただくか、PowerDMARCチームまでお問い合わせください。