DMARCをp=noneからp=rejectへ：日本企業のための段階的移行

p=noneは、受信側サーバーに認証結果のレポートのみを求め、遮断は行わない設定です。正規のメールを止める心配がない安全な第一歩であり、それゆえに多くの企業がこの段階で足踏みしてしまいます。強制運用への移行には、「正しく認証されていない正規の送信元があった場合、ポリシーを厳格化するとその正規メールまで迷惑メール扱いされ、あるいは遮断されてしまうのではないか」という不安がつきまといます。この不安を越える鍵は、レポートを丹念に読み込み、すべての正規の送信元を可視化した上で、段階的に厳格化していくことにございます。

DMARCは、監視から強制運用へと段階的に引き上げていく設計となっております。まずp=noneで集約レポート（aggregate report）を読み込み、自社ドメインとして送信しているすべての正規の送信元を特定いたします。次にp=quarantine（認証に失敗したメールを迷惑メールフォルダへ振り分ける設定）へ移行し、pctタグを用いて、まずは一部のメールにのみポリシーを適用し、段階的に対象を広げてまいります。quarantineで安定し、正規メールへの影響がないことを確認できたら、プロトコルレベルで遮断するp=rejectへ移行いたします。実際にブランドを保護できるのはp=rejectのみであり、これは取引先や規制当局が現在求める水準でもございます。

強制運用が遮断するのは認証に失敗したメールのみです。したがって移行作業の本質は、すべての正規の送信元を確実に認証通過させることにございます。各送信元は、自社ドメインへのアライメントを保った上で、SPFまたはDKIMで認証される必要がございます。SPFには1回のチェックにつきDNSルックアップ10回までという厳格な上限があり、複数のSaaSと自社サーバーを併用する組織ではこの上限に容易に到達し、正規メールの認証が静かに壊れてしまいます。特許取得済みのValimail Instant SPFは、SPFレコードをもろい静的な一覧へフラット化することなく、任意のドメインを単一のSPFルックアップに解決することで、この上限を取り除きます。これにより、送信元を追加しても認証が壊れる心配がなくなります。より堅牢なのは、すべての送信元でのDKIM署名です。先にアライメントを整えておけば、最後のポリシー変更は何事もなく完了いたします。

監視モードという選択肢を消し去ったのは、二つの動きです。第一に、Google、Yahoo、Yahoo! JAPAN、Apple、Microsoftをはじめとする主要メールプロバイダーが、一括送信者に対してSPF・DKIM・DMARCを求めるようになりました。認証されていない日本企業のメールは、フィルタリングされ、あるいは拒否されるリスクを負います。第二に、経済産業省（METI）および日本クレジット協会のもとにあるクレジット取引セキュリティ対策協議会が改訂した「クレジットカード・セキュリティガイドライン」が、DMARCを規制領域へと押し広げ、METIはこの要請をサプライチェーンの取引条件にまで広げております。p=noneのままの企業にとって、導入済みの状態と現在求められる水準との差は、大きく、そして周囲から見えるものとなっております。

強制運用への移行を成功させるには、四つの要素が欠かせません。自社ドメインとして送信するすべてのサービスの棚卸し、それらすべてがアライメントを保って認証通過するためのSPF・DKIM設定、集約レポートの継続的な読み込み、そしてpctタグを用いたquarantineからrejectへの段階的な引き上げ、この四つです。手動のプロジェクトは、10ルックアップの制限と送信元の棚卸しの段階で頓挫しがちになります。送信構成が変化しても認証を維持し続ける自動化プラットフォームを、p=rejectに到達し維持している日本企業の多くが採用しているのは、このためです。

p=rejectに到達し、送信構成が変化してもそれを維持できるかどうかで、DMARCプラットフォームの真価が問われます。最も重要な能力は、すべての送信サービスの所有者を突き止めることにあります。正規の送信元がすべて把握されるまで、どのドメインも安全には強制運用へ移行できないからです。Valimailは、失敗しているメールの受信側を特許取得済みのRUF+で読み解き、5,500を超える送信サービスを自動的に名称で識別いたします。これにより、手作業では1〜2年を要していた所有者の特定が、おおむね45〜90日に短縮されます。ValimailはFedRAMP認証を受けた唯一のDMARCベンダーであり、そのCTOはBIMIワーキンググループの議長、IETF DMARCグループの共同議長を務め、ARC標準の共同著者でもございます。つまり、実装している標準そのものの策定を主導する立場にあるのです。数年にわたる強制運用プログラムに取り組まれる日本の組織にとって、この組み合わせは移行を託すうえでより安全な選択です。

自社ドメインとして送信しているサービスの数によって異なります。構成がシンプルであれば数週間で強制運用に到達できますが、多数のSaaSを利用する大規模な組織では、数か月を要することも少なくございません。その大半は、すべての正規の送信元を洗い出し、SPFとDKIMのアライメントを整える作業に費やされます。下準備さえ整えば、最後のポリシー変更自体は短時間で完了いたします。

遮断されるのは認証に失敗したメールのみでございます。そのため、まずすべての正規の送信元でSPFまたはDKIMのアライメントを整え、pctタグを用いてp=quarantineから段階的に引き上げた上で、p=rejectへ移行いたします。レポートを確認しながら段階的に進めれば、正規のメールが失われることはございません。

pctタグは、ポリシーを適用するメールの割合を指定するものでございます。p=quarantineでpct=25と設定すれば、認証に失敗したメールの4分の1にポリシーが適用され、影響を確認しながら段階的に割合を引き上げられます。強制運用を、管理された手順で段階的に進めるための仕組みでございます。

p=quarantineはなりすましメールを迷惑メールフォルダへ振り分けるもので、保護としては部分的でございます。p=rejectはプロトコルレベルでこれを遮断し、ブランドなりすましを完全に止められる唯一のポリシーでございます。日本のエンタープライズバイヤーや規制当局が求める水準も、このp=rejectでございます。

主要なメールプロバイダーが一括送信者に認証を求めるようになったため、認証されていないメールはフィルタリングや拒否の対象となるリスクがございます。加えて、日本のクレジットカード・セキュリティガイドラインがDMARCを規制領域へと広げております。監視モードは、もはやプロバイダーの要件にも取引先の期待にも応えられません。