SPF/DKIMは通過するのに、なぜDMARCは失敗するのでしょうか？
DMARCは、電子メールの世界に「識別子の整合性（Identifier Alignment）」という概念を導入しました。SPFやDKIMは、ドメインと個々の電子メールを関連付けることができる独立した技術であるため、この概念が必要とされています。
受信側がSPFを使用する場合、RFC5321.MailFromに記載されているドメインを参照し、SPFレコードの検索先を特定します。RFC5321.MailFromアドレスとは、SMTP通信中に「MAIL FROM」コマンドの一部として渡されるエンティティのことです。 さらに厄介なことに、このアドレスは「バウンスアドレス」、「エンベロープアドレス」、「SPFアドレス」、あるいは「ReturnPath」アドレスとも呼ばれます（メール受信者によって、ReturnPath: ヘッダーとしてメール本文にコピーされるためです！）。 SPFチェックが正常に完了すると、受信者はRFC5321.MailFromのドメインである「認証済み識別子」を取得することになります。
DKIMも同様に「認証済み識別子」を生成します。ただし、DKIMの識別子は、すべてのDKIM署名に含まれる「d=」タグから生成されます。
DMARCの世界では、認証済み識別子はすべて、DMARCが対象とするドメインに関連している必要があり、それは常にメールの「From:」ヘッダーに記載されているドメインとなります。
したがって、識別子の整合性確認とは、SPFおよびDKIMによって認証されたドメインが、メールの「From:」ヘッダーに記載されているドメインと一致しているかどうかを確認するプロセスです。
DMARCを初めて扱う人は、この概念を分かりにくいと感じることがよくあります。
今日では誰でも任意のメールに対してSPFやDKIMを設定できるため、識別子の整合性が求められます。もし犯罪者がbank.comをなりすまそうとしてcriminal.netというドメインを設定し、そこにSPFやDKIMを導入した場合、SPFとDKIMの両方が検証を通過したとしても、その認証がbank.comと何らかの関係があるとは限りません。
同様に、メールの受信側も、メールドメイン間の関連付けを網羅した膨大なリストを維持することはできません。ドメイン間の微妙な違いをいちいち見極めようとはせず、できるだけ迅速にメールを処理しなければならないのです。 例えば、メールサービスプロバイダーがbank.com の代わりにメールを送信する際、SPF と DKIM の両方で「banknewsletter.com」を使用している場合、インターネットのメール受信インフラは、banknewsletter.com が正当なドメインなのか、巧妙に作成されたフィッシングサイトなのか、あるいは bank.com と同じ組織が所有・運営しているものなのかを判断できません。
識別子の照合とは、既存の電子メール認証技術を電子メールの内容に関連付ける手法のことです。
私たちがサポートします
メールセキュリティのエキスパート集団であるdmarcianは、「ドメインセキュリティを通じて、メールとインターネットをより信頼できるものにする」というミッションを掲げ、お客様の組織のドメイン状況を評価し、長期にわたってDMARCの実装と管理をサポートいたします。
さらに詳しく議論を続けたい方は、ぜひ dmarcian Forum へお越しください。
