DMARC安全に設定するには、まず監視レコードを公開し、そのレポートを使用してすべての正当な送信元を認証し、次にポリシーをなしから隔離、拒否まで段階的に引き上げます。順序は重要です。ソースを渡す前に強制すると、実際のメールがブロックされます。順番に実行すると、配信を中断することなく完全な保護を実現できます。
始める前に
DMARC SPFとDKIMに依存するため、最初に両方が存在することを確認してください。 SPF ( RFC 7208 ) には、 TXTレコードでドメインに送信できる IP とサービスがリストされています。 DKIM 、 DNSで公開キーとして公開される暗号署名を追加します。 DMARC通過するには、少なくとも 1 つが通過し、調整されている必要があります。理想的には両方が通過する必要があります。 SPF 10 のDNSルックアップ制限にも注意してください。10 を超えるDNSルックアップをトリガーするSPFレコードは失敗し、 DMARCアラインメントが壊れます。
一歩ずつ
- 1
1. モニタリング記録を公開する
v=DMARC1;を指定して_dmarcにTXTレコードを追加します。 p=none; rua=mailto:rua@example.com.これにより、配信に影響を与えることなくデータが収集されます。
- 2
2. レポートを収集する
2 ～ 4 週間待って、集計 ( RUA ) レポートを読んで、ドメインとして送信しているすべてのソースを確認します。
- 3
3. 各ソースを認証する
すべての正当な送信者に対して、From ドメインを通過させて調整するようにSPFとDKIM設定します。
- 4
4. 隔離に移動する
正規のメールが一貫して通過する場合は、 p=quarantine,オプションで pct を使用して徐々に増加させます。
- 5
5. 拒否に移行する
検疫で正当なメールが失敗していないことが示されたら、完全に保護するためにp=reject設定します。
- 6
6. 監視を続ける
新しいサービスや不正行為を早期に発見できるよう、レポートを読み続けてください。
ロールアウトパス
v=DMARC1; p=none then p=quarantine; pct=50 then p=reject; pct=100
SPFルックアップ制限を処理する
多くの組織はクラウド サービスを追加する際にSPF 10 のDNSルックアップ制限を超えており、これによりSPF静かに破られ、 DMARCが損なわれます。 SPFをフラット化すると、含まれるメカニズムが直接 IP アドレスに解決されるため、制限内に収まります。 EmailAuthのSmartSPF 、 SPFレコードを自動的に平坦化し、ベンダーが IP を変更したときに SPF レコードを更新し続けます。
よくある落とし穴
- ソースが認証される前にp=rejectにジャンプすると、実際のメールがブロックされます。
- サブドメインを忘れる: sp ポリシーを設定しないと、保護されないままになる可能性があります。
- 2 つのDMARCレコードを公開すると、 DMARC完全に無効になります。
- SPF 10 のルックアップ制限を無視すると、 SPFとDMARC調整が壊れます。
- レポートを強制し、その後は再度チェックしないため、新しい送信者は気づかれません。
継続的な管理を容易にする
EmailAuth 、 CNAME委任によってDMARC 、 SPF 、 DKIM 、およびBIMIレコードをホストできるため、 DNS一度指定すれば、 DNSを繰り返し編集するのではなく、ダッシュボードでポリシーの変更を管理できます。 RUAとRUF解析し、まだ作業が必要なソースにフラグを立てます。開始点を確認するには、無料のドメイン スキャンを実行し、上記の段階的なパスに従ってp=reject.
よくある質問
電子メールを中断せずにDMARCを設定するにはどうすればよいですか?
p=none,配信に影響を与えずに監視します。集約レポートを使用して、すべての正当な送信者をSPFおよびDKIMで認証し、その後隔離に進み、最後に拒否します。段階的アプローチとは、実際のメールのパスが確認されるまでは決して強制しないことを意味します。
どのくらいの期間p=none?
送信元の全体像を確認するには十分な期間で、ほとんどの組織では通常 2 ～ 4 週間です。多くのサービスを通じて送信する場合、または季節的な送信者がいる場合は、さらに長くお待ちください。すべての正当なメールの通過と調整がレポートに表示される場合にのみ、次に進みます。
SPF 10 のDNSルックアップ制限はどれくらいですか?
SPF評価は 10 回のDNSルックアップに制限されています。レコードのインクルードおよびその他のメカニズムが 10 を超えるトリガーをトリガーすると、 SPF permerror返して失敗し、 DMARCアライメントが壊れます。 EmailAuth SmartSPFなどを使用してSPFレコードを直接 IP にフラット化すると、制限を下回るようになります。
サブドメイン用に別のDMARCレコードが必要ですか?
必ずしもそうとは限りません。 sp タグを設定するか、 _dmarc.subdomain. sp を使用してサブドメインに別のポリシーを適用し、未使用のサブドメインがスプーフィングされないように明示的に保護します。
[ DMARC ご案内】
企業の来歴
一流の金融機関と政府が選ばれる理由 電子メール セキュリティ ダッシュボードを廃止しました。
従来の電子メール認証プラットフォームはダッシュボードを販売し、エンジニアに作業を依頼します。一か八かの環境では、手動による監視は適用の遅れ、構成のドリフト、および監視されていないシャドウ ドメインを意味します。
EmailAuthは、エージェントの電子メール来歴プラットフォームです。 当社のエージェントが執行します p=reject、サードパーティの送信者を調整し、ドメインを完全に移動します。 RFC 9989 新しいDMARC標準に準拠し、人間による監査機能を備えています。
SaaS · 専用テナント · エアギャップオンプレミス · BYOK 暗号化