送信元ドメイン認証（SPF、DKIM、DMARC）

送信元ドメイン認証（SPF、DKIM、DMARC）は、送信元のドメインを偽ったなりすましメールを見破るための技術です。

■ 試験で押さえるポイント

• SPFは、接続元IPとMAIL FROM等の評価対象ドメインのDNSにある送信許可方針を、受信側が照合します。

• DKIMは、送信側がメールに電子署名を付け、受信側がDNSの公開鍵で検証します。改ざんも検知できます。

• DMARCは、SPFまたはDKIMの成功と表示用Fromとのドメイン整合を判定し、失敗時の処置方針をDNSで宣言する仕組みです。

■ 過去問での着眼点

SPFはIPアドレス、DKIMは電子署名で認証し、DMARCは失敗したときの扱いと報告を決めます。

例: DMARCで「拒否」を宣言すると、DMARCが失敗したメールの拒否を受信側へ求めます。最終的な処置は受信側の方針にもよります。

■ 認証対象・整合条件と転送時の判断

• SPFは接続元IPとMAIL FROMのドメインの送信許可方針を照合する。表示用のHeader Fromそのものを認証する仕組みではない。HELOもSPFの評価対象になる。

• DKIMはd=の署名ドメインの公開鍵で署名を検証する。h=が示すヘッダや本文の署名対象に変更があれば、正規メールでも失敗し得る。本文の安全性や送信した個人までは保証しない。

• DMARCは、SPFの成功とMAIL FROMの整合、またはDKIMの成功とd=の整合の少なくとも一方が成立すれば成功する。整合の基準はHeader Fromのドメイン。両方の認証が成功しても別ドメインなら失敗し得る。

• 転送で接続元IPが変わるとSPFが失敗しやすいが、整合するDKIMが残ればDMARCは成功し得る。SRSでMAIL FROMを書き換えても元のHeader Fromとの整合は自動で成立しない。

  ARCは過去の評価を伝える仕組みで、受信側による信頼判断が必要。

• Authentication-Resultsは信頼できる受信MTAが付けたものを確認し、接続元IP・認証ドメイン・署名・配送ログを照合する。p=rejectは受信側へ示す方針であり、必ず拒否される保証ではない。

  類似ドメインや正規アカウント侵害の詐欺は認証が成功し得る。

• 送信サービスやDKIM鍵の変更時は正規経路とDNSキャッシュの影響を確認する。現行DMARC仕様のRFC 9989では旧仕様のpctタグが廃止されているため、過去の設定例と現行仕様を区別する。