[ 簡単な回答 ]
電子メール認証は 3 つのDNSレコードに基づいて行われます。SPF SPFドメインに送信できるユーザーをリストし、 DKIM各メッセージに署名し、 DMARCそのうちの 1 つが表示されている From ドメインに合格したかどうかを確認し、失敗したメールを配信、隔離、または拒否するよう受信者に指示します。
重要な事実
- ›DMARC 、From ドメインに調整して渡すためにSPFまたはDKIM必要です。
- ›p=reject is full protection; p=none only monitors.
- ›SPF最大 10 個のDNSルックアップが許可されます。
- ›BIMI 、 DMARCが適用された場合にのみロゴが表示されます。
EmailAuth研究チームによるレビュー
この用語集では、 DMARC構築する標準から、それを取り巻くレポートおよび関連プロトコルに至るまで、電子メール認証の中核となる用語を定義します。 DMARCレコードや集計レポートを読む際のクイック リファレンスとして使用してください。
125用語
A
- ADKIM DMARC
- DMARCタグ設定のDKIMアラインメント: r (緩和、デフォルト) はサブドメインを許可します。s (厳密) はドメインの正確な一致を必要とします。
adkim=s- 位置合わせASPF
- 位置合わせ DMARC
- DMARC要件では、 SPFまたはDKIMによって認証されたドメインが、表示される From ドメインと一致する必要があります。
- SPFまたはDKIMを渡すだけでは、 DMARCには十分ではありません。渡されたドメインは、読者に表示される From アドレスと同じであるか、(リラックス モードでは) 組織ドメインを共有している必要があります。
- ADKIMASPFヘッダー元組織ドメインDMARCとは何ですか? 電子メールヘッダーアナライザー
- ARC DKIM
- 認証済み受信チェーン: フォワーダーとメーリング リストが元の認証結果を保存できるようにします。
- 各仲介者は、メッセージを受信したときに認証がどのようなものかについて署名された記録を追加するため、最終受信者は転送が失敗したという結果を信頼できます。
- ARCシール転送
- 受信者がメッセージのSPF 、 DKIM 、およびDMARC結果を記録するヘッダーを追加します。
- SPFDKIMDMARC電子メールヘッダーアナライザー
B
- BEC 脅威
- ビジネス電子メール侵害: 攻撃者が電子メールで経営者やサプライヤーになりすます詐欺。
- 一般的な BEC は、金融機関に銀行情報の変更や緊急の請求書の支払いを求めます。損失は毎年数十億ドルに達します。 DMARC 、最も簡単なルートである正確なドメインのスプーフィングを排除します。
- 捕鯨ベンダーの電子メール侵害スプーフィング
- BIMI BIMI
- メッセージ識別用のブランド インジケーター: DMARCを通過したメールの受信トレイにロゴを表示します。
- BIMIには、検疫または拒否時のDMARC 、SVG Tiny PS 形式のロゴ、およびGmailと Apple の場合はVMCまたはCMC証明書が必要です。
default._bimi.example.com TXT "v=BIMI1; l=https://example.com/logo.svg; a=https://example.com/vmc.pem"- VMCCMCSVG 小さな PSBIMIとは何ですか？ BIMIチェッカー
C
D
- DANE 輸送のセキュリティ
- 名前付きエンティティの DNS ベースの認証: TLS証明書を DNSSEC 署名付き TLSA レコードに固定します。
- TLSAレコードDNSSECDANE /TLSA チェッカー
- DKIM DKIM
- DomainKeys Identified Mail: メッセージがドメインから送信され、変更されていないことを証明する暗号署名 ( RFC 6376 )。
- 送信サーバーは、秘密キーを使用してヘッダーと本文に署名します。受信者はDNSから公開キーを取得して検証します。 SPFとは異なり、 DKIM通常、転送後も存続します。
- DKIMセレクターDKIM署名位置合わせDKIMとは何ですか？ DKIMルックアップ
- DKIMキーのローテーション DKIM
- 新しいセレクターを公開し、古いセレクターを廃止することで、 DKIMキーを定期的に置き換えます。
- DKIMセレクターDKIM鍵の長さDKIMセットアップガイド DKIMジェネレーター
- DKIMセレクター DKIM
- s= ラベルは、セレクターでどのDKIM公開キーをフェッチするかを受信者に指示します。 _domainkey.domain.
s1._domainkey.example.com- DKIMDKIMキーのローテーションDKIMルックアップ
- DKIM署名 DKIM
- 署名ドメイン ( d=),セレクター ( s=) 、および署名自体を含むDKIM-Signatureヘッダー。
DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=s1; ...- DKIMd= tagDKIM署名の説明 電子メールヘッダーアナライザー
- DMARC DMARC
- ドメインベースのメッセージ認証、レポート、および準拠: SPFおよびDKIMに基づいて構築されたポリシーとレポート。現在はRFC 9989 (レポートについてはRFC 9990および 9991) によって定義されており、2026 年 5 月にRFC 7489に置き換わりました。
- DMARC 、ドメインから送信されたと主張するメッセージがSPFとDKIM調整に失敗した場合に、受信メール サーバーにどうするかを指示します。つまり、メッセージを配信するか、スパムに送信するか、拒否するかです。また、レポートを送信するように要求されるため、ドメインとして送信しているすべてのサービスを確認できます。
v=DMARC1; p=reject; rua=mailto:dmarc@example.com- DMARCレコード位置合わせp=rejectDMARCbisDMARCとは何ですか? DMARCチェッカー
- DMARC施行 DMARC
- p=quarantineまたはp=rejectでDMARC実行すると、失敗したメールが実際に停止されます。
- p=rejectp=quarantineDMARCセットアップ ガイド
- DMARCレコード DMARC
- DMARCポリシーとレポート アドレスを公開する_dmarc.yourdomainのTXTレコード。
- レコードはtag=valueペアのリストです。 v と p のみが必要です。残りはサブドメイン、レポート、調整を制御します。
_dmarc.example.com TXT "v=DMARC1; p=quarantine; rua=mailto:reports@example.com"- DMARCTXTレコードRUADMARCレコードとは何ですか? DMARCジェネレーター
- DMARCbis DMARC
- RFC 9989の以前の作業名。RFC RFC 7489に代わる現在のDMARC標準 (2026 年 5 月)。パブリック サフィックス リストの代わりに、np タグと t タグ、およびDNSツリー ウォークが追加されます。
- DMARCbis元の仕様を整理します。pct は削除され、t= は部分的なロールアウトを置き換え、np= は存在しないサブドメインをカバーし、組織ドメインはDNSツリーをたどることによって見つかります。 2026 年 5 月にRFC 9989 、 9990 および 9991 として公開されましたが、現在は単にDMARC呼ばれています。現在有効な記録は引き続き機能します。
- DMARCRFC 9989NPTタグpsdDNSツリーウォークDMARCとは何ですか?
- DNSルックアップの制限 SPF
- SPF最大 10 個の DNS クエリ メカニズムをトリガーできます。それ以上の場合は PermError が発生します。
- include、a、mx、ptr が存在し、他のプロバイダーのレコード内のネストされたルックアップを含め、各カウントを制限に向けてリダイレクトします。この問題を解決するには、いくつかの SaaS ツールを追加するだけで十分です。
- パーマエラーSPF平坦化SPFルックアップの問題 SPFチェッカー
E
F
G
- Google とYahoo送信者の要件 コンプライアンス
- 2024 年以降、 GmailとYahooへの一括送信者にはSPF 、 DKIM 、 DMARC 、調整、ワンクリックでの購読解除、および低いスパム率が必要です。
- 一括送信者ワンクリックで購読解除スパム苦情率Google とYahoo送信者ルール Google とYahoo送信者チェック
H
I
L
M
- MTA-STS 輸送のセキュリティ
- Mail Transfer Agent Strict Transport Security: 受信メールには暗号化され検証されたTLSが必要です ( RFC 8461 )。
- HTTPS およびTXTレコードを介してポリシー ファイルを公開します。その後、送信サーバーは、暗号化されていない接続またはなりすましの接続を介した配信を拒否します。
_mta-sts.example.com TXT "v=STSv1; id=20260101"- TLS-RPTSTARTTLSDANEMTA-STSチェッカー
N
O
- ワンクリックで購読解除 コンプライアンス
- GmailおよびYahooで一括メールに必要なList-Unsubscribe-Postヘッダー ( RFC 8058 )。
- Google とYahoo送信者の要件
P
- p=none DMARC
- DMARC監視ポリシー: レポートは送信されますが、メールはブロックされません。
- ここから始めましょう。レポートを収集し、すべての正当な送信者を見つけて認証を修正してから、隔離と拒否に進みます。永久にp=noneままでは保護は得られません。
- p=quarantinep=rejectRUADMARCセットアップ ガイド
- p=reject DMARC
- 受信者に失敗したメールをブロックするよう求めるDMARCポリシー: 完全な保護。
- p=reject, DMARCに失敗したメッセージは受信トレイに到達する前に拒否されるため、攻撃者は正確なドメインとして送信できません。それはすべてのDMARCプロジェクトの目標です。
- p=nonep=quarantineDMARCDMARCとは何ですか? DMARCチェッカー
- パブリックサフィックスリスト DMARC
- のようなドメイン末尾のリスト。 co.ukでは人々が名前を登録します。元のDMARC 、組織ドメインを見つけるためにこれを使用しました。
- 組織ドメインDNSツリーウォーク
R
- リダイレクト修飾子 SPF
- SPF redirect= は、レコード全体を別のドメインのレコードに置き換えます。これは、ドメイン間で 1 つのポリシーを共有するためによく使用されます。
v=spf1 redirect=_spf.example.com- 含む
- RFC 7489 DMARC
- オリジナルの 2015 DMARC仕様は現在廃止されており、2026 年 5 月のRFC 9989によって廃止されます。
- RFC 7489は情報文書であり、 IETF標準ではありませんでした。これに対して書かれたガイダンスは依然としてほとんど適用されますが、その pct、rf、および ri タグはRFC 9989の下では存在しません。
- RFC 9989DMARCbis
- RFC 9989 DMARC
- 現在のDMARC標準。標準トラックで 2026 年 5 月にIETFによって発行されました。これはRFC 7489とRFC 9091を廃止します。
- RFC 9989 DMARCポリシー、調整、およびポリシー検出を定義します。自らの言葉で言えば、「この文書は RFC 7489 および 9091 を廃止するものです。」レポートはRFC 9990 (集約) およびRFC 9991 (失敗) に移行されました。 v=DMARC1は変更されないため、既存のレコードは引き続き機能します。 pct、rf、ri が削除され、np、psd、t が追加されます。
- DMARCDMARCbisRFC 9990RFC 9991RFC 7489DMARCとは何ですか?
- RFC 9990 DMARC
- 現在のDMARC集計レポート標準 (2026 年 5 月) は、XML RUA レポートを定義しています。
- RFC 9990古いRFC 7489の集計レポートを独自の Standards Track 文書に分割しました。
- RFC 9989RUA
- RFC 9991 DMARC
- 現在のDMARC障害レポート標準 (2026 年 5 月) は、ruf レポートを定義します。
- RFC 9991 、以前はRFC 7489の一部であった、メッセージごとの障害 (フォレンジック) レポートをカバーしています。
- RFC 9989RUF
- RUA DMARC
- 集約レポートアドレスのDMARCタグ。レポートは日次の XML 概要です。
- 集計レポートには、ドメインとしてメールを送信したすべての IP、メッセージの数、およびメッセージがSPF 、 DKIM 、およびDMARCを通過したかどうかがリストされます。メッセージ内容は含まれません。
- RUFDMARCレコード集計レポートの読み取り DMARCレポートアナライザー
- RUF DMARC
- フォレンジック (障害) レポート アドレスのDMARCタグ。レポートには、失敗した個々のメッセージが説明されます。
- フォレンジック レポートには、失敗したメッセージのヘッダーと、場合によってはコンテンツが含まれる場合があります。多くの大手プロバイダーはプライバシー上の理由からそれらを送信しません。
- RUAフォ法医学レポートの説明
S
- リストにない送信者を疑わしいものとしてマークするSPF修飾子は、完全に失敗したわけではありません。
- DMARC導入されている場合、通常は~allで十分です。DMARC DMARC最終決定を行い、 softfail転送の問題の一部が回避されます。
- ハードフェイル ( -all )中立 ( ?all )
- スパム苦情率 到達性
- メールをスパムとしてマークする受信者の割合。 Gmailそれを 0.1% 未満にすることを望んでおり、0.3% を超えることは決してありません。
- Google とYahoo送信者の要件フィードバックループ
- SPF SPF
- 送信者ポリシー フレームワーク: ドメインへの送信を許可されたサーバーをリストするTXTレコード ( RFC 7208 )。
- SPF使用すると、受信者はメッセージを引き渡すサーバーがエンベロープ送信者ドメインへの送信を許可されているかどうかを確認できます。表示される From アドレスではなくReturn-Pathをチェックするため、 DMARCアラインメントも必要です。
v=spf1 include:_spf.google.com -all- SPFレコード封筒の差出人DNSルックアップの制限SPFとは何ですか？ SPFチェッカー
- SPF平坦化 SPF
- SPF IP 範囲に置き換えて、10 ルックアップ制限内に収まるようにします。
- フラット化により検索制限は修正されますが、プロバイダーが IP を変更すると失効します。管理された平坦化または動的な平坦化では、範囲が自動的に更新されます。
- DNSルックアップの制限ip4とip6SPFルックアップの問題 SPFフラットナー
- SPFマクロ SPF
- Placeholders like %{i} that expand per message, used for advanced or per-sender SPF policies.
- SPFレコード
- スプーフィング 脅威
- 送信者アドレスを偽造して、メールが信頼できるドメインから送信されているかのように見せます。
- 完全ドメイン スプーフィングは、 p=rejectのDMARC阻止するものです。類似ドメインと表示名のトリックには他のコントロールが必要です。
- 表示名のスプーフィング類似ドメインp=reject
T
- TLS-RPT 輸送のセキュリティ
- SMTP TLSレポート: ドメインへのTLS配信失敗の日次レポート ( RFC 8460 )。
_smtp._tls.example.com TXT "v=TLSRPTv1; rua=mailto:tls@example.com"- MTA-STSMTA-STSチェッカー
V
よくある質問
From ヘッダーとReturn-Pathの違いは何ですか?
From ヘッダーは受信者に表示される送信者アドレスであり、 DMARCそれに合わせて調整します。 Return-Path 、エンベロープ送信者または MAIL FROM とも呼ばれ、ドメインSPFがチェックするバウンス アドレスです。それらは異なる可能性があるため、 DMARC調整が必要です。
DMARCにおけるアライメントとは何ですか?
アライメントとは、 SPFまたはDKIMによって認証されたドメインが、表示される From ヘッダー内のドメインと一致するという要件です。緩和された調整では組織ドメインを一致させることができますが、厳密な調整ではドメインの正確な一致が必要です。アライメントにより、 DMARCスプーフィングに耐性を持ちます。
ARCとは何ですか?なぜ重要ですか?
ARC (Authenticated Received Chain) は、メッセージがメーリング リストやフォワーダーなどの仲介者を通過するときに認証結果を記録します。転送ではSPFやDKIM破られることが多いため、 ARC使用すると、最終受信者はメッセージが以前に認証に合格したことを確認でき、正当な転送メールがDMARCに耐えられるようになります。
MTA-STSはDMARCの一部ですか?
いいえ、 MTA-STSメール サーバー間の暗号化されたTLS接続を強制する別の標準であり、 TLS-RPT ( RFC 8460 ) はTLS障害を報告します。これらは、転送中のメールを保護することでDMARC補完しますが、 DMARCカバーする送信者の ID ではなく、接続を認証します。
SPF 、 DKIM 、 DMARCの違いは何ですか?
SPF送信サーバーを承認し、 DKIMメッセージがドメインによって署名され、変更されていないことを証明し、 DMARC両方の可視 From アドレスに関連付けて、失敗に対するポリシーを設定します。
DMARCbisでは何が変わりますか?
DMARCbis 、2026 年 5 月にRFC 9989 、 9990 および 9991 として公開され、廃止されたRFC 7489に代わるものです。 pct を削除し、存在しないサブドメインに対して t testing フラグと np ポリシーを追加し、 DNSツリーをたどって組織ドメインを見つけます。既存の有効なレコードは引き続き機能します。
[ DMARC ご案内】
企業の来歴
一流の金融機関と政府が選ばれる理由 電子メール セキュリティ ダッシュボードを廃止しました。
従来の電子メール認証プラットフォームはダッシュボードを販売し、エンジニアに作業を依頼します。一か八かの環境では、手動による監視は適用の遅れ、構成のドリフト、および監視されていないシャドウ ドメインを意味します。
EmailAuthは、エージェントの電子メール来歴プラットフォームです。 当社のエージェントが執行します p=reject、サードパーティの送信者を調整し、ドメインを完全に移動します。 RFC 9989 新しいDMARC標準に準拠し、人間による監査機能を備えています。
政府 大企業 ティア１金融機関
SaaS · 専用テナント · エアギャップオンプレミス · BYOK 暗号化