誰でもあなたになりすましてメールを送れます。その理由

メールは、なりすましが心配される前に設計されました。メールが届いたとき、「From」欄は送信者が入力した単なるテキストです。元の設計では、それを確認する仕組みがありません。

そのため、あなたから届いたように見える請求書を、誰かが顧客に送ることができてしまいます。

これを防ぐ3つのレコード

ドメインは、そのドメインの公開住所録である DNS に、3つの短い設定を公開できます。メールサーバーは、メッセージを信頼する前にこれらを読み取ります。

• SPF は、メールプロバイダーやメルマガツールなど、ドメインからメールを送信することを許可されたサービスの一覧です。
• DKIM は、すべてのメッセージに署名を付けます。これにより、メールサーバーは、そのメッセージが確かにあなたから送られ、途中で改変されていないことを確認できます。
• DMARC は、これらの確認に失敗したメッセージをどう扱うかをメールサーバーに伝えます。例えば、迷惑メールに振り分けるか拒否するか、そして報告の送り先を指定します。

3つすべてを設定し、DMARC を quarantine または reject に設定すると、ドメインになりすました偽のメッセージは、迷惑メールに入るか、返送されます。

うまくいかない理由

多くのドメインには、SPF はあっても DMARC がないか、DMARC が「none」に設定されています。「none」は監視するだけで、何もブロックしません。ほかにも、SPF に多すぎるサービスを列挙して照会回数の上限を超えてしまい、レコードが機能しなくなっている場合があります。

メールを一度も送信していないドメインも、初期状態では安全ではありません。メールサーバーは、そのドメインにメールボックスがあるかどうかではなく、「From」欄のドメインで判断します。そのため、ルールのない静かなドメインは、なりすましに狙われやすくなります。しかも、返送されたメールに気づくこともありません。これを防ぐには3つのレコードが必要です。reject に設定した DMARC ルール、送信者を一切許可しない SPF レコード（v=spf1 -all）、そして空のメールサーバーレコード（0 .）です。

スキャンは、メールサーバーと同じ方法でこれらのレコードを読み取るため、どれが不足しているか、あるいは弱いかを正確に伝えられます。