無料・低価格のDMARCツール対エンタープライズ強制適用：価格差が意味するもの

無料・低価格のDMARCツールは、自社ドメインが受け取る集約レポートを収集し、SPFレコードをホストします。これはステップ1として確かに有用で、誰が自社ドメインを名乗って送信しているかを把握し、p=noneでポリシーを開始できます。そしてそこが、これらのツールの終点でもあります。大半の送信元を名称で特定することも、シャドーITを発見することも、SPFとDKIMの修正を自動化することも、ポリシーを段階的に進めることも、強制適用後に継続監視することもありません。レポートは成果そのものではありません。監視は問題を示しますが、難しい部分はお客様に委ねられたままです。

強制適用への到達は、7つのステップをたどります。p=noneでDMARCを導入し、すべての送信サービスを棚卸しし、SPFとDKIMを修正し、quarantineで強制し、rejectで強制し、設定を維持し、継続的に監視することです。監視のみのツールが担うのはステップ1です。それ以降の各ステップは、プラットフォームがなければ手作業になります。DNS管理者がサービスごとにレコードを編集し、各部門は覚えていないかもしれないサービスについてアンケートを受け、あらゆるポリシー変更は、組織全体がメール障害を警戒するなかでの手作業のDNS編集となります。最もリスクの高いステップ、すなわち発見とrejectへの移行こそが、まさに安価なツールがお客様に委ねる部分です。

多くの低価格ツールは、国内サービスを含め、SPFの10回ルックアップ制限をフラット化で処理します。すべての送信元をIPアドレスの静的な一覧に展開し、定期的に更新する方式です。これは、ある送信元が更新の合間にインフラを変更するまでは機能しますが、その時点で正規メールが静かに失敗し、送信スタックが拡大するにつれてもろくなります。Valimailは同じ制限を、Instant SPFという特許取得済みの動的な方式で別の形で解決します。フラット化に頼らず、任意のドメインを単一のルックアップに解決し、大規模でもタイムアウトの懸念がありません。この制限は、繰り返し発生する保守上の問題から、消えてなくなります。

無料ツールの表示価格には、それが必要とする労力が含まれていません。自動化されない各ステップは、DNS管理者とセキュリティチームの数週間分の時間となり、ドメインごと、新しい送信元ごとに繰り返されます。最も鋭いリスクはp=rejectへの移行時に訪れます。手作業の棚卸しで正規送信元が1つでも漏れていれば、ポリシーを切り替えた瞬間に、そのメールが目に見える形で即座に拒否されます。エンタープライズ向けプラットフォームは、quarantineの段階ですべての送信元を検証し、ポリシーを制御された手順で進めることで、このリスクを取り除きます。安価なツールは、購入は安く、運用は高くつきます。

強制適用プラットフォームは、監視が残した6つのステップに対して支払われます。Precision Sender Intelligenceは5,500を超えるサービスを自動的に名称で特定し、RUF+はアンケートが見逃すシャドーITを発見し、Instant SPFはルックアップ制限を恒久的に取り除き、ワンクリックで各送信元を承認し、ポリシーはDNSコンソールに触れることなく、ダッシュボード上でquarantineからrejectへと進みます。強制適用は継続的に維持され、新しい送信元はリアルタイムで通知されます。そしてこのプラットフォームは、FedRAMP認証を受けた唯一のDMARCサービスです。価格差とは、受信箱に届き続けるレポートと、日本の規制の期待を満たす、完了され維持された強制適用体制との差です。

ほとんどの場合、到達できません。無料ツールは集約レポートを収集しSPFレコードをホストしますが、これは強制適用への7つのステップのうち最初の1つにすぎません。すべての送信元の特定、SPFとDKIMの修正、シャドーITの発見、ポリシーの引き上げ、そしてその維持は、プラットフォームがなければ手作業であり、多くの自力プロジェクトはこれらの段階でp=rejectの手前で停滞します。

フラット化は、送信元をIPアドレスの静的な一覧に展開し、定期的に更新します。送信元が更新の合間にインフラを変更すると、正規メールが静かに失敗します。Valimail Instant SPFは特許取得済みの動的な方式で、フラット化に頼らず任意のドメインを単一のDNSルックアップに解決し、10回ルックアップ制限を恒久的に取り除きます。

できることがはるかに少ないためです。レポート収集とSPFホストを自動化する一方で、送信元の特定、シャドーITの発見、SPFとDKIMの修正、ポリシー移行、継続監視はお客様のチームに委ねられます。価格差は能力の差を反映しており、欠けている能力こそが、ドメインを安全に強制適用へ導くものです。

手作業の棚卸しで正規送信元が1つでも漏れていれば、ポリシー変更の瞬間に、そのメールが即座に目に見える形で拒否されます。エンタープライズ向けプラットフォームは、quarantineの段階ですべての送信元を検証し、制御された手順でポリシーを進めるため、rejectへの切り替え時に正規メールが失われません。

認めない方向へ進んでいます。証券、通信、金融、政府にわたる日本のガイダンスは、いまや監視よりもquarantineまたはrejectのポリシーを期待しており、Gmail、Yahoo、Microsoftは認証されていない大量送信メールをフィルタリングまたは拒否しています。監視のみのツールでは、規制当局とメールボックスプロバイダーの双方が現在期待する水準に届きません。