ドメインのDMARCレコードを即時に確認しましょう。メール認証ポリシーの詳細な分析を取得し、ブランドがなりすまし攻撃にさらされる可能性のあるセキュリティ上の弱点を発見できます。
DMARCの実装は、誤った方法で行うと複雑かつリスクが伴います。Skysnagは、初期設定から継続的な監視、ポリシーの適用まで、すべてのプロセスを自動化します。
自動設定
手動設定なしでDMARCレコードを生成・展開します。
リアルタイム監視
認証結果やポリシー違反をリアルタイムで追跡します。
段階的な適用
メール配信を妨げることなく、モニタリングから完全保護へ安全に移行します。
詳細なレポート
複雑なXMLレポートを実用的なインサイトに変換します。
ソースの発見
あなたのドメインのすべての正当なメール送信元を自動的に特定します。
脅威検出
あなたのドメインを標的とするスプーフィング攻撃を特定し、ブロックします。
DMARC（ドメインベースのメッセージ認証、報告および適合）は、メールのなりすまし攻撃からドメインを保護するためのメール認証プロトコルです。SPFおよびDKIMを基盤として、包括的なメールセキュリティを提供します。
攻撃者によるドメインなりすましを防ぎ、フィッシング攻撃からブランドの評判を守ります。
正当な送信者と悪意のある送信者を含め、あなたのドメインを使って送信されているすべてのメールソースを確認できます。
メール認証結果やポリシー違反に関する包括的なレポートを受け取ることができます。
Microsoft、Google、Yahooのメール認証要件を満たし、配信の確実性を確保します。
DMARCポリシーは、認証に失敗したメールに対してどのような処理を行うかを決定します。セキュリティニーズと実装の準備状況に応じて、適切なポリシーレベルを選択しましょう。
モニターモード – 認証結果のデータを収集しながら、メールは通常通り配信されます。
認証に失敗したメッセージはスパム／迷惑メールフォルダに送られ、悪意のあるメールの可視性が低下します。
認証に失敗したメッセージは完全にブロックされ、スプーフィングに対する最も強力な保護が提供されます。
Skysnagによる適切なDMARC実装の効果を確認できます。
100%
ドメインスプーフィング攻撃をブロック
30
完全なDMARC適用までの日数
99.9%
正当なメール配信率
24/7
継続的な監視とアラート
当社の専門家の一人とミーティングを行い、レポートを見直しましょう。問題を詳しく説明し、セキュリティのギャップを解説し、Skysnagがどのようにそれらを自動的に解決するかをご紹介します。
私の結果について話すSkysnagは、DMARCの強制、SPFとDKIMの自動化、MTA-STSとTLS-RPTの展開、BIMIの有効化に必要なすべてを提供し、メールのセキュリティ、準拠、信頼性を確保します。
Monitor
メールの妥協試行を特定し、メール配信の問題をトラブルシューティングする
Comply
Microsoft、Google、Yahooの要件に準拠し、送信データをリアルタイムで視覚化する
Protect
比類のないメールセキュリティのためにDMARC強制を自動化する
Certify
世界最高のアイデンティティ基準でブランドを認証する
DMARC レコードは、_dmarc.yourdomain.com で公開される DNS TXT レコードで、受信メール サーバーに、SPF および DKIM 認証に失敗した電子メールの処理方法とレポートの送信先を指示します。これは、ドメイン所有者が攻撃者による正確なドメインのなりすましを阻止する方法です。 DMARC レコードは、v=DMARC1 で始まり、p タグ (none、quarantine、または reject) でポリシーを定義する必要があります。
DMARC (ドメインベースのメッセージ認証、レポートおよび適合性) は、RFC 7489 で定義され、SPF および DKIM を基盤とする電子メール認証標準です。 SPF と DKIM はそれぞれメッセージの一部を検証します。 DMARC は、それらを表示可能な From: ドメインに関連付け、ドメイン所有者がメッセージが失敗した場合に何が起こるべきかについての単一のポリシーを公開できるようにします。
DMARC がなければ、誰でもあなたのドメインから送信されたように見える電子メールを送信できます。これは、フィッシング、ビジネス電子メール侵害 (BEC)、請求書詐欺の背後にある中核的な手法です。 DMARC ポリシー (p=quarantine または p=reject) を適用すると、メールボックス プロバイダーはこれらの偽造メッセージを隔離またはブロックし、顧客、パートナー、ブランドを保護します。
DMARC はレポートもロック解除します。集計 (RUA) レポートにより、正当かどうかにかかわらず、ドメインとして送信されているすべてのサービスを毎日可視化できるため、監視から強制への移行が安全になります。
上記のツールを使用するか、自分の端末から手動で、ドメインの DMARC レコードを数秒で確認できます。 DMARC レコードは、_dmarc サブドメインの TXT レコード内に存在します。
確認したいドメインの _dmarc サブドメインをクエリします。 macOS または Linux の場合:
$ dig TXT _dmarc.example.com +shortnslookup または PowerShell の Resolve-DnsName を使用します。
$ nslookup -type=TXT _dmarc.example.com$ Resolve-DnsName -Name _dmarc.example.com -Type TXT有効な応答は v=DMARC1 で始まります。何も返されない場合、 ドメインにはDMARC レコードがなく、保護されていません。 2 つのレコードが返された場合、構成は無効です。ドメインは DMARC レコードを 1 つだけ公開できます。
_dmarc.example.comv=DMARC1; p=reject; rua=mailto:dmarc@example.com; adkim=s; aspf=s強力で強制的な DMARC レコード: スプーフィングされたメールを拒否し、監視対象のメールボックスに集計レポートを送信し、DKIM と SPF の両方の厳密な調整を必要とします。
DMARC レコードは、セミコロンで区切られた tag=value ペアのセットです。 v と p のみが必要です。残りはオプションですが、推奨されます。
| タグ | タイプ | 意味 |
|---|---|---|
v |
必須 | プロトコルのバージョン。最初のタグである必要があり、DMARC1 と等しくなければなりません。 |
p |
必須 | ドメインのポリシー: none (監視のみ)、quarantine (スパムに送信)、または reject (ブロック)。 |
rua |
おすすめ | 集約（日次 XML）レポートを受信するアドレス。 mailto:[email protected]。これがあなたの可視性です。 |
sp |
オプション | サブドメインのポリシー。省略した場合、サブドメインは p ポリシーを継承します。 |
adkim |
オプション | DKIM アライメント モード: r (緩和、デフォルト) または s (厳密)。 |
aspf |
オプション | SPF アライメント モード: r (緩和、デフォルト) または s (厳密)。 |
pct |
オプション | ポリシーが適用されるメールの割合 (1 ～ 100)。更新された DMARC 仕様では非推奨になりました。 |
ruf |
オプション | フォレンジック/障害レポートのアドレス。現在、プロバイダーによってサポートされることはほとんどありません。 |
fo |
オプション | 障害レポート オプション (0、1、d、s)。 |
np |
オプション | 存在しないサブドメインのポリシー (新しいタグ、強力なスプーフィング防止制御)。 |
p タグは DMARC の心臓部です。レベルは 3 つありますが、実際に保護できるのはそのうちの 2 つだけです。
p=none
モニタリング
何もブロックされていません。レポートを収集するだけです。これは出発点として不可欠ですが、p=none のドメインはスプーフィングから保護されていませんです。
p=quarantine
強制
DMARC に失敗したメールはスパム/ジャンク フォルダーに配信されます。本当の保護はここから始まります。
p=reject
強制
DMARC に失敗したメールは完全にブロックされ、受信トレイに到達することはありません。最強の保護であり、あらゆるドメインの目標です。
チェックを実行した後、最も一般的な結果が何を意味するのか、そして次に何をすべきかがわかります。
| 結果 | 意味と対処法 |
|---|---|
| DMARC レコードが見つかりませんでした | 自分のドメインそのものを使ったなりすましに対して、ドメインが無防備な状態です。p=none と rua アドレスを含むレコードを公開し、データの収集を開始してください。 |
| p=none | 可視性はありますが、保護はありません。レポートを使用してすべての正当な送信者を認証し、quarantine および reject に移動します。 |
| p=quarantine または p=reject ですが、メールが失敗します | 正当な送信者が揃っていません。これらのサービスが隔離またはブロックされる前に、SPF/DKIM を修正してください。 |
| 複数の DMARC レコード | 無効 — 受信機は DMARC を完全に無視できます。 1 つのレコードを除いてすべてを削除します。 |
| ruaアドレスがありません | あなたは盲目で飛んでいます。 rua を追加すると、誰がドメインとして送信しているかを確認できます。 |
DMARC レコードは、_dmarc.yourdomain.com で公開される DNS TXT レコードで、受信メール サーバーに、SPF および DKIM チェックに失敗したドメインからの電子メールの処理方法と、認証レポートの送信先を指示します。常に v=DMARC1 で始まります。
dig TXT _dmarc.yourdomain.com +short (macOS/Linux) または nslookup -type=TXT _dmarc.yourdomain.com (Windows) を実行するか、上記の無料チェッカーを使用します。有効なレコードは v=DMARC1 で始まります。
いいえ。p=none は監視のみを行っており、何もブロックされません。ドメインは、p=quarantine または p=reject に達した場合にのみスプーフィングから保護されます。 p=none は、宛先ではなく、一時的なデータ収集ステップとして扱います。
技術的にはい — SPF または DKIM のいずれかが合格し、かつFrom ドメインと一致する場合、DMARC は合格します。ただし、DKIM は転送に耐えられますが、SPF は転送されないことが多いため、信頼性の高いパス レートを得るには両方を使用することを強くお勧めします。
いいえ。ドメインは DMARC レコードを 1 つだけ公開する必要があります。 2 つ見つかった場合、受信者はそのドメインの DMARC を完全に無視する可能性があります。
アライメントとは、SPF または DKIM によって検証されたドメインが、表示されている From ドメインと一致することを意味します。緩和された配置により、サブドメインを組織ドメインと一致させることができます。厳密な位置合わせには完全一致が必要です。アライメントを行わないと、SPF または DKIM は合格する可能性がありますが、DMARC は依然として失敗します。
一般的な組織では、reject に安全に移動する前に、すべての正当な送信者を検出して認証するまでに数週間の監視が必要です。 Skysnag はソースの検出とロールアウトを自動化するため、ほとんどのドメインは実際のメールをブロックすることなく、約 30 日以内に適用に達します。
レコードに有効な rua=mailto: アドレスが含まれていること、メールボックスが存在し大量のデータを受信できること、および (レポートが別のドメインに送信される場合は) クロスドメイン レポートを承認していることを確認してください。レポートは即時ではなく毎日届きます。
DMARC は、正確なドメインのスプーフィング (From アドレスで実際のドメインを偽装するメッセージ) を強制的に停止します。それ自体では、類似 (「いとこ」) ドメインを停止するわけではありません。 BIMI とのペア施行とそのためのブランド監視。
いいえ。DMARC レコードは、変更するまでアクティブのままです。ポリシーとレポートを正確に保つために、送信サービスを追加または削除するときにも定期的に確認する必要があります。
