DMARCレポートの読み方

レポートの発行元情報が記載されています。例では「Google」が、自社で受信した @support.neoworks.jp からのメールについて報告しています。

「Google宛に届いたメールのうち、あなたのドメインを名乗ったもの」を分析した結果です。

DNSに設定されているDMARCポリシーの内容が記載されています。例では次の様な設定です。

adkim、aspf共に「r」

DKIM、SPFのアライメントチェック(ドメイン一致の確認をどの程度厳格にするか?)をリラックスモード(サブドメインの一致でも可)にしています。

p、sp共に「none」

ドメイン(p)、サブドメイン(sp) 共に、none(監視を行うだけで、認証失敗時もそのまま配信する)を設定しています。

pct = 100

DMARCポリシーを適用するメールの割合を指定します。100はデフォルト値

pct = 100

DMARCポリシーを適用するメールの割合を指定します。100はデフォルト値

np = 「none」

存在しないサブドメインから送信されたメールに対して、どんな扱いをするかを指定するための設定で、none(監視を行うだけで、認証失敗時もそのまま配信する)を設定しています。

正常な送信の場合は、source_ipが実際の送信メールサーバー、dkim、spfが「PASS」となっている事です。

< row > ～ < /row >内の情報

source_ip

そのメールを送信したメールアドレスです。これが、実際にお客様のメールサーバーのIPアドレスなら問題ないです。

dkim spf

両方共にPASSとなっているので、問題なく認証されている事を示します。

< auth_results > ～ < /auth_results >内の情報

以下の情報は、認証結果が記録されます。

dkim内のdomain

署名に使われたドメインです。

dkim内のresult

DKIM署名が正しく認証された事を示します。

spf内のdomain

エンベロープFromドメインが記載されます。メールを送信する際、プロバイダや送信サービスの SMTP サーバーを使うことがあります。その場合、送信元のIPアドレスはプロバイダのもので、SPFはそのプロバイダのドメインでチェックされることになります。従って、ここにプロバイダドメインが表示されていてもPASSしていれば問題ありません。

spf内のresult

送信元IPは SPF 許可リストに含まれており、正規と認証された事を示します。

このケースは、source_ipは対象ドメインのメールサーバーのIPアドレスでは無く、DKIMはPASSしていますが、SPFはfailしています。

一見、成りすましメールと勘違いしそうなレポートですが、これはメール転送された場合のレポートです。

受信者が、自分宛に来たメールを自分のGmailに転送する事は良くあります。その場合に、記録される集計レポートです。

このケースの場合は、DKIM署名は本文やヘッダーが改ざんされなければ有効のままなのでPASSとなります。しかし転送時に、送信元IPが転送サーバーのものになるので、SPFの整合性が失われてSPFはfailとなります。

この様に、@お客様のドメインのメールサーバーから送信されたメールを別のメールアドレスに転送すると、DKIM PASS、SPF failとなります。

他にも、@お客様のドメインのメールをGoogle Work SpaceやGmailかせ送信している場合や、GmailのSMTPを使って送っている場合も同様でDKIMはPASS、SPFはfailとなります。

このケースは、先ずsource_ipは対象ドメインのメールサーバーのIPアドレスではありません。そして、DKIM、SPF共に「fail」が記録しています。

そして、 < disposition > ～ < /disposition > で、quarantine(ドメインのDMARCポリシーp=quarantineに基づき、quarantine＝迷惑メールフォルダに隔離) と記録しているので、DMARCは「成りすましと判断」した事を示しています。

< auth_results > ～ < /auth_results >の情報を見ると、SPFはpermerror(設定エラー、もしくは そのドメインのSPFレコードを正しく取得・検証できなかった 状態)で、DKIMは正式署名が無いので表示されていません。

このケースの場合は、DKIM署名は本文やヘッダーが改ざんされなければ有効のままなのでPASSとなります。しかし転送時に、送信元IPが転送サーバーのものになるので、SPFの整合性が失われてSPFはfailとなります。

この様な記録は、「なりすましメール」の典型的なパターンとなります。