Cloudflare の DMARC 管理機能が一般提供開始

DMARC Management を最初に立ち上げた際、それはシンプルな信念に基づいていました。インターネット上のすべてのドメインは強力なメール認証を享受するに値し、コストがその実現を妨げる理由であってはならないと。より良いインターネットの構築を支援するという私たちの使命の一環として、DMARC Management はすべての Cloudflare カスタマーに対して無料で提供されるようになりました。私たちは、メールセキュリティコンサルタントを雇ったり、XML レポートファイルを人手で解析したりすることなく、誰もが DMARC の現状を理解し改善するためのツールを提供したかったのです。 本日、私たちはそのコミットメントをさらに進めます。Cloudflare DMARC Management が一般利用可能となりました。これは、可能な限り容易に完全な DMARC 強制（enforcement）を実現できるよう、再設計された体験を備えています。 ![image](https://cf-assets.www.cloudflare.com/zkvhlag99gkb/3GpMX09ltKkw9PcTW53xNF/9e862b59311cfdd08bb9b74fbb69bc42/BLOG-3332_image7.png) DMARC Management ダッシュボードは、メール認証の現状を一元的に把握できるビューを提供します。 メール認証が実際にあなたにもたらすもの 誰かがあなたのドメイン「から」メールを受信するたびに、そのメールプロバイダーは単純な質問を投げかけます。このドメインの本当の所有者が実際にこのメールを送ったのか？と。この質問に答える手段がない場合、誰でもあなたになりすましてメールを送ることができ、受信者はその違いを見分ける方法を持ちません。 メール認証とは、その質問に答える DNS レコード（Domain Name System records）のセットです。あなたのドメインを保護するプロトコルは 4 つあります： SPF（Sender Policy Framework）は、受信メールサーバーに対して、あなたのドメインに代わって電子メールを送信することが許可されている IP アドレスとサービスがどれであるかを示します。 DKIM（DomainKeys Identified Mail）は、送信するすべての電子メールに暗号化署名を付与し、受信サーバーがメッセージが転送中に改ざんされていないことを検証できるようにします。 DMARC（Domain-based Message Authentication, Reporting, and Conformance）は SPF と DKIM を結びつけ、電子メールの認証に失敗した場合に受信サーバーが取るべき行動（通過させる、隔離する、あるいは完全に拒否する）を指示します。また、あなたのドメインを名乗って電子メールを送信している誰がいるかについてのレポートも送信されます。 BIMI（Brand Indicators for Message Identification）は、対応する受信トレイにおいて、あなたのブランドロゴを電子メールの隣に表示することを可能にしますが、これは DMARC ポリシーが十分に強力である場合に限り適用されます。 これら 4 つが正しく設定されている場合、なりすましメールは誰かの受信トレイに到達する前にブロックされ、正当なメールが届く可能性は大幅に高まります。一方、これらが欠落しているか誤って設定されている場合は、ブランドのなりすましや、主要な電子メールメールボックスプロバイダーからの配信性に関するペナルティにさらされることになります。 DMARC はもはや任意のものではありません DMARC は常に重要でした。しかし過去2年間で、その重要性は著しく高まりました。Google、Microsoft、Yahoo はいずれもより厳格なメール認証の強制を表明または実施しています。適切な DMARC、SPF、DKIM レコードが設定されていない（あるいは最悪の場合、誤って設定されている）ドメインでは、正当なメールがスパムフォルダに振り分けられたり、完全に拒絶されたりするケースが増えています。かつてはベストプラクティスとされていたものが、今や必須要件となっています。メールの衛生状態が悪いことは、そのまま配信性の低下を意味し、多くの企業にとっては収益の損失やコミュニケーションの機会喪失につながります。 業界からのメッセージは明確です。ドメインからメールを送信するならば、これらのレコードを正しく設定する必要があります。猶予期間は終了しました。 問題：DMARC は複雑で、ミスは高価な代償を伴う ここに課題があります。p=none（監視のみ、メールはブロックされない）から p=quarantine（不審なメールはスパムへ転送）、そして p=reject（認証されていないメールは完全にブロック）へと移行する道程には、不確実性がつきまといます。強制を早すぎると、あなたが忘れていたサードパーティサービスからの正当なメールフローが壊れるリスクがあります。逆に動きが遅すぎると、ドメインがなりすましにさらされ、さらに顧客が利用しているプロバイダーから配信性のペナルティを受けることになります。 技術用語：DMARC (Domain-based Message Authentication, Reporting and Conformance)、SPF (Sender Policy Framework)、DKIM (DomainKeys Identified Mail) ほとんどの組織は DMARC の強制適用が必要であることを知っています。しかし、実際にそれを実現するには、集計 XML レポートを理解し、インフラストラクチャ全体で正当な送信ソースをすべて特定し、ポリシーを強化しても何も壊さないという十分な信頼性を構築する必要があります。 Cloudflare DMARC Management を構築した目的は、あらゆる顧客が専門家の支援なしに、この旅路を自分自身でナビゲートできるようにすることです。集計レポートのスプレッドシート分析も不要ですし、どの IP アドレスがどのベンダーに属するかを推測する必要もありません。目標は、DMARC 強制適用への道限りなくセルフサービス化し、何も壊すことなくポリシーを強化するための可視性と信頼性を与えることです。 ![image](https://cf-assets.www.cloudflare.com/zkvhlag99gkb/1MgXzeTIgQxqJ8coErsj7l/1a265f29547c18a8a3bd5a4c1003b3df/BLOG-3332_image5.png) DMARC レポートは、ドメイン全体における送信ソースの整合性を示します。 私たちが提供したもの より深いレポート可視性とソース調査 メールトラフィックの状況を理解しやすくするために、レポート体験を再設計しました。これにより、どの送信ソースが DMARC、SPF（Sender Policy Framework）、DKIM（DomainKeys Identified Mail）の整合性に合格しているか、または失敗しているかを一目で確認できるようになり、これまで以上に詳細な調査が可能になりました。 すべてのレポートにおいて、送信元サービスとともに送信元の IP アドレスが表示されるようになり、正当なインフラと不正な送信者を区別するための詳細な粒度が提供されます。これにより、IP アドレスを直接「Investigate」タブで開くことができ、Cloudflare がそのアドレスについて保有するすべての脅威インテリジェンス（評判データ、地理的位置情報、自律システム番号 (ASN) の詳細、および既知の悪意のある活動との関連性）を確認できます。 これにより、DMARC レポートは受動的なデータフィードから、能動的な調査ツールへと進化します。 ![image](https://cf-assets.www.cloudflare.com/zkvhlag99gkb/1TMDQMQ63fr6yRhqmRa55T/25717a64afb8ac5393056035d9a86047/BLOG-3332_image4.png) ![image](https://cf-assets.www.cloudflare.com/zkvhlag99gkb/5j1jXZbpwv1X0Ss0somi2A/4f2dd91ba360f7384e34a613892cfec7/BLOG-3332_image1.png) 送信元を詳細に確認すると、「Investigate」タブで IP レベルの詳細と Cloudflare の脅威インテリジェンスが表示されます。 表示される情報 それが示す意味 送信元 IP アドレス ドメインに代わってメールを送信する特定のインフラ 送信サービス名 IP アドレス背後の組織またはプロバイダー DMARC / SPF / DKIM の整合性 各認証チェックがその送信元に対してパスしたか失敗したか Investigate タブ Cloudflare の脅威インテリジェンス：評判、地理的位置情報、ASN、既知の脅威との関連性 メール認証レコードの状態 顧客から最もよく寄せられる質問の一つに「レコードは正しく設定されていますか？」というのがあります。 これまで、この質問に答えるには、DNS TXT レコードを手動で検査し、複数の仕様書における各タグと値の意味を理解する必要がありました。今回のリリースにより、必要なすべてのメール認証レコード（DMARC、DKIM、SPF、BIMI）の状態を、単一のビューで確認できるようになりました。 各レコードタイプは、自動分析に基づいて明確な「合格」「警告」「不合格」のステータスが表示されます。特定のレコードをクリックすると、検出された具体的な問題と、それを修正するための推奨事項を確認できます。DKIM キーに構文エラーがある場合はフラグが立ちますし、BIMI レコードが存在せず、かつ DMARC ポリシーが BIMI をサポートする十分な強度を持っている場合も、その旨をお知らせします。 ![image](https://cf-assets.www.cloudflare.com/zkvhlag99gkb/7yp4DWXZS7hd7mDLU6WUVZ/60f625951254c436f07fd0161dbec9f9/BLOG-3332_image2.png) レコード分析カードでは、各メール認証レコードに対して「合格」「警告」「不合格」のステータスと、実行可能な推奨事項が表示されます。 推奨事項は専門用語（RFC 用語）ではなく、平易な言葉で記述されています。メールセキュリティの専門知識の有無にかかわらず、次に取るべきアクションが一目でわかるようにすることが目的です。 レコード | 確認項目 ---|--- SPF | レコードの重複、ルックアップ制限、緩やかな +all の設定、メカニズムの欠落 DKIM | キーのフォーマット、公開鍵の欠落または不正な形式 DMARC | ポリシーの強度、監視と強制の実施状況、レポート設定 BIMI ロゴ URL フォーマット、検証済みマーク証明書 (VMC) の存在 SPF ルックアップ監査 これは、予想以上に多くの組織で静かにメールが壊れる問題に対処するものです。SPF 仕様（RFC 7208）では、SPF 評価ごとに DNS ルックアップのハードリミットが 10 回に設定されています。SPF レコード内のすべての include:、a、mx、redirect、exists メカニズムがこの制限に含まれ、各 include: の内部にあるネストされたルックアップも同様にカウントされます。10 回を超えると、受信メールサーバーは permerror を返すため、SPF チェックが完全に失敗します。 多くの人は、メールの拒否が始まるまで自分が制限を超えていることに気づきません。 DMARC Management を使用すると、SPF レコードを監査して、実際にどの程度のルックアップが発生しているかを正確に確認できます。レコード内のすべてのメカニズムを詳細に調べ、最もコストのかかる include: チェーンがどこにあるかを確認し、制限を下回るためにレコードの統合や平坦化を行うべき場所を特定できます。 ![image](https://cf-assets.www.cloudflare.com/zkvhlag99gkb/5j1jXZbpwv1X0Ss0somi2A/4f2dd91ba360f7384e34a613892cfec7/BLOG-3332_image1.png) SPF ルックアップ監査は、SPF レコード内のすべての DNS ルックアップを追跡し、10 回のルックアップ制限に対して現在どこにあるかを正確に示します。 はじめに DMARC Management を使用するには、ドメインの DNS が Cloudflare に設定されている必要があります。その後、Cloudflare ダッシュボードでそのドメインの「Email」タブの下で DMARC Management をオンにできます。 1. Cloudflare ダッシュボードから対象ドメインへ移動します。 2. [Email] > [DMARC Management] にアクセスします。 3. セットアップウィザードに従って、DMARC レポートの受信を開始します。 4. レコード分析結果と推奨事項を確認します。 5. 自身のペースで p=quarantine（不審なメールはスパムフォルダへ振り分け）または p=reject（認証に失敗したメールは完全にブロック）の設定を達成するよう取り組みます。 次のステップ DMARC Management の機能をさらに強化し、引き続き誰でも利用しやすい状態を維持していく予定です。現在、より詳細なフォレンジックレポート機能の追加、より賢い推奨事項の提供、そして Cloudflare プラットフォーム全体との統合強化など、いくつかの計画を進めており、これらを実装できることを楽しみにしています。 まだ DNS 管理に Cloudflare をご使用でない場合は、こちらから開始できます。ドメインを Cloudflare に移行すれば、追加の設定やコストなしで即座に DMARC Management が利用可能になります。 ドメインは保護されているか、そうでないかのどちらかです。Cloudflare ダッシュボードの [Email] > [DMARC Management] へアクセスして、すぐに始めましょう。

Cloudflare の DMARC 管理機能が一般提供開始

背景や根拠まで確認しますか？

調べる

選ぶ

サイト