なりすまし対策のDMARC設定手順チェックリスト

まず外せない最低ラインの3つです。

• 【最低ライン】p=none から始めた（いきなり quarantine / reject にしていない）
• 【最低ライン】rua= のレポート受信先を、個人の受信箱以外に用意した
• 【最低ライン】_dmarc.ドメイン名 のTXTが引けることを dig で確認した

ここから先は、順に進めながら埋めていく項目です。

土台の確認

• SPFレコード（v=spf1）が1行だけ存在する（2行以上あると不正になるので注意）
• DKIMの署名が有効になっている（セレクタ名を把握している）
• 受信ヘッダーで spf=pass dkim=pass を実際に目で確認した
• ヘッダFromのドメインと、認証に使われたドメインが揃っている（アライメント）
• メール配信SaaSを使っている場合、自社ドメインでのDKIM署名を設定した

レポートの確認

• レポートが実際に届き始めた（数日待っても来なければ rua の指定を見直す）
• 別ドメイン宛に送る設定なら、受け先側の許可レコードを入れた
• 送信元IPを一覧にして、「うちのどのシステムか」を対応づけた
• 対応づかないIPについて、転送かなりすましかの当たりを付けた
• fail になっている正規の送信元を洗い出し、SPFかDKIMを通した

段階を上げるとき

• 上げる前にTTLを短くした（300〜3600）
• p=quarantine; pct=10 から始めた
• 上げてから1〜2週間、レポートと問い合わせの様子を見た
• 上げる作業を平日の午前中に行った（夕方・金曜を避けた）
• 切り戻し（p=none に戻す）の手順を、実行できる形でメモしてある

入れたあと

• レポートを見る予定を、月次の定期作業に入れた
• 新しくメールを送るサービスを契約したら、先にDKIMを設定するルールを共有した
• 入れたレコードの内容と目的を、変更管理の記録と運用ドキュメントに残した
• サブドメインからの送信がある場合、sp の扱いを確認した

全部に○が付かなくて大丈夫です。最低ラインの3つ、とくに「p=none から始めた」さえ言えれば、いちばんこわい事故は避けられています。

DMARCは、一度きりの設定作業ではなく、送信元の変化に合わせて見続ける運用です。だから、今日100点を取る必要はまったくありません。

なりすましは、こちらが何かを間違えたから起きるものではありません。ドメインを名乗るのは、誰にでもできてしまう——それがメールという仕組みの、もともとの性質です。だから対策が要る。あなたの管理が甘かった、という話ではまったくありません。

そして、p=none の1行を入れた瞬間から、これまで見えなかった自社のメールの全体像が、勝手に集まり始めます。何年も誰も把握していなかったものが、待っているだけで表になっていく。これは、けっこう気持ちのいい仕事です。

今日は、dig を1回叩くところまでで十分です。