O365とDMARC認証 - pikesaku’s blog

参考

ポイント

SPF、DKIM、DMARCのチェック対象ドメインの違い

認証方式	チェック対象ドメイン
SPF	エンベロープFrom
DKIM	DKIMヘッダで指定したドメイン
DMARC	Fromヘッダドメイン

DMARC認証は、以下2条件が満たされれば成功となる。

　SPF or DKIMのどちらかが成功
　成功した方(SPF or DKIM)で、アライメントチェックも成功
　SPF & DKIM両方で成功でも、DMARCがFAILになる可能性あり。

DMARCのDNSレコードの指定方法

https://support.qualitia.co.jp/s/article/000002563?language=ja

aspf、adkimでアライメントモード指定。未指定の場合、relaxed

pでポリシー指定　none等

spはサブドメインに別ポリシーを指定したい場合に利用。pと同じ書式。

→サブドメインにも影響与える。dmarc認証する時に、チェック対象ドメインのdmarcレコードを確認するが、定義ない場合に、親ドメインのdmarcレコードを見るフローがあるのだろう。
親ドメインにdmarcレコードあり＆spなしの場合
→pに従う
親ドメインにdmarcレコードあり＆spありの場合
→spに従う

ruaは認証結果全て、ruf認証失敗のみのレポート。大量メールが来る可能性あり。

構文チェックサイトあり

外部ウェブサイト）PowerDMARC： DMARCレコードチェッカーツール
外部ウェブサイト）MXToolBox：DMARC Check Tool

2024/2の総務省要求

https://www.soumu.go.jp/menu_news/s-news/01kiban18_01000184.html#:~:text=%E7%B7%8F%E5%8B%99%E7%9C%81%E3%80%81%E8%AD%A6%E5%AF%9F%E5%BA%81%E5%8F%8A%E3%81%B3,%E5%BC%B7%E5%8C%96%E3%82%92%E8%A6%81%E8%AB%8B%E3%81%97%E3%81%BE%E3%81%97%E3%81%9F%E3%80%82

利用者向けに公開する全てのドメイン名（メールの送信を行わないドメイン名を含む）について、DMARCを導入すること。
DMARC導入にあたっては受信者側でなりすましメールの受信拒否を行うポリシーでの運用を行うこと。
→dmarcレコードをp=rejectで公開せよってこと

DMARCアライメントとは

https://baremail.jp/blog/2023/09/26/3474/
チェックの厳しさ
以下2種類あり
relaxed
　ヘッダFromの組織ドメインと、SPFやDKIMで認証したドメインが同じなら成功。サブドメインを利用していても一致とみなす
strict
　ヘッダFromのFQDNがSPFアライメントの場合はReturn-Path（エンベロープFrom）と、DKIMアライメントの場合は署名ドメインが完全に一致

組織ドメインの定義があるのだろう。
fromアドレスのドメイン部分=組織ドメインではないのだろう。
fromアドレスのドメイン部分=ヘッダFromのFQDN
なのだろう。
https://eng-blog.iij.ad.jp/archives/3273

やっぱりそうだ。

ポイントとしては
relaxedは組織ドメインで評価しサブドメインマッチを許可、restrictはfromヘッダなドメインと完全マッチと覚える

参考