DMARCレポートビューアー

DMARCレポートは圧縮されたXMLの添付ファイルで届き、どのメールソフトでも表示できません。ここにドロップすると、あなたのドメイン名でメールを送ったすべてのサーバーが、取るべき対応ごとに並んだ表になります。

レポートはブラウザー内で開いて読みます。ファイルはアップロードされず、何も保存されません。

各メールプロバイダーからの毎日の集計

DMARCレコードは、ドメインのDNSにある1行です。そのタグの一つ、rua=mailto:reports@yourdomain.com は、あなたのドメインから来たと名乗るメールを受け取ったすべてのプロバイダーに、そのアドレスへ概要を送るよう求めます。Google、Microsoft、Yahooをはじめ多くのプロバイダーが、たいてい24時間に1回送ってきます。

この「集計」レポートには、メールの本文も受信者名も含まれず、件数だけが入っています。各行は、あるIPアドレスがFromにあなたのドメインを入れたメールを何通送り、それらがどう判定されたかを示します。

<record>
  <row>
    <source_ip>198.51.100.24</source_ip>
    <count>312</count>
    <policy_evaluated>
      <disposition>none</disposition>
      <dkim>pass</dkim>
      <spf>fail</spf>
    </policy_evaluated>
  </row>
  <identifiers><header_from>yourdomain.com</header_from></identifiers>
  <auth_results>…</auth_results>
</record>

送信サービスをいくつか使うドメインなら、1日に何通ものファイルが届き、それぞれに何十行も入っています。ビューアーがそれを合計するので、手作業は要りません。

合格なのに不合格になる理由：アライメント

DMARCは、2つの古いチェックの上に成り立っています。SPFは、送信サーバーが隠れた返信先アドレスのドメインのために送信を許可されているかを確かめます。DKIMは、メールに何らかのドメインの有効な署名があるかを確かめます。どちらも、人が読むFromの行は見ていません。

DMARCがその橋渡しをします。メールがDMARCに合格するのは、SPFかDKIMがFromの行と一致するドメインで合格したときです。この一致をアライメントと呼びます。メールマガジンのサービスが自社ドメインでSPFに合格し、自社のDKIM鍵で全メールに署名していても、どちらの結果にもあなたのドメインが出てこないため、あなたにとってはDMARC不合格になりえます。

レポートでは、policy_evaluated にアライメント済みの結果が、auth_results に関係するドメイン付きの生の結果が入っています。ビューアーは前者を「アライメント」の表示に使い、後者を下に小さな注記として表示するので、どのドメインで合格したかがわかります。

ビューアーによる送信元の分類

ドロップしたすべてのファイルの行をIPアドレスごとにまとめ、サービスごとにグループ化します。名前の確認オプションがオンなら、当サーバーが各アドレスの逆引きDNS名とネットワークの所有者を調べます。GoogleやMicrosoft 365からSendGrid、Mailchimp、Amazon SESまで、よく使われる約30のサービスをその名前で認識します。各アドレスには5つのラベルのいずれかが付きます。

ラベル基準
自分のもの、準拠このアドレスからのすべてのメールで、SPFかDKIMのアライメントが取れていました。
自分のもの、一部準拠アライメントが取れたメールと取れなかったメールがあります。設定の異なる2つのメール配信を持つ一つのサービスであることが多いです。
自分のもの、要修正アライメントは一つも取れていませんが、アドレスが既知のサービスに属している、別のドメインで合格している、または逆引き名があなたのドメイン配下にあります。ほぼ確実に、あなたのドメイン向けの設定がされていない、お使いのツールです。
転送の可能性アライメントは取れていませんが、メールにはあなたのドメインのDKIM署名がありました。正しく送信されたあと、メーリングリストや自動転送で書き換えられたか中継されたものです。
なりすましの可能性アライメントは取れておらず、アドレスとあなたを結び付けるものもありません。

上部の概要には、総送信数、準拠の割合（98%以上で緑、75%以上でオレンジ）、不明な送信元からのメール数、レポートに記載された公開中のポリシーが表示されます。

最後の2つのラベルは名前と署名からの推測なので、事実とは受け取らないでください。小さな地域のメールプロバイダーは、ビューアーが知らなくてもあなたのものかもしれません。送信元を敵対的とみなす前に、その送信数、逆引き名、使われたFromのドメインを確認してください。

表から、強制力のあるポリシーへ

  1. 「要修正」のグループをすべて直します。サービスの設定で「ドメイン認証」「送信ドメイン」「DKIM」といった項目を探してください。公開すべきDNSレコードが2つか3つ、たいていはCNAMEで示されます。反映されると、サービスはあなたのドメインで署名するようになり、次のレポートから行が緑になります。
  2. 転送はそのままにします。第三者が中継するものは直せません。こうした行は少数にとどまります。
  3. ポリシーを強めます。自分の送信元が2〜4週間準拠し続けたら、p=none を p=quarantine に、その後 p=reject に変えます。pct タグを100未満にすると、不合格メールのその割合にだけポリシーが適用されます。最後には削除してください。

レコードそのものを確認するには、SPF・DKIM・DMARCチェックがあります。新しく書くにはレコード作成ツールを使ってください。

この形式には限界があります。レポートの対象はレポートを送るプロバイダーと、その日付範囲の期間だけで、メールがどの人やどのキャンペーンのものだったかは決してわかりません。ビューアーは一度に最大200ファイル、1ファイル50 MBまで受け付け、重複は無視します。

よくある質問

DMARCのXMLレポートはどうやって開きますか？

レポートのメールから添付ファイルを保存し、そのままこのページにドロップしてください。ビューアーが .zip と .gz のアーカイブを自動で展開し、複数のファイルもまとめて受け付けます。

レポートでSPFは合格なのにDMARCが不合格なのはなぜですか？

SPFが合格したのは、メールを送ったサービスのものであるReturn-Pathのドメインで、あなたのドメインではありません。DMARCにはFromアドレスとアライメントの取れた合格が必要です。よくある解決策は、そのサービスで自分のドメインのDKIMを有効にすることです。

DMARCレポートにある不明なIPアドレスは誰ですか？

次の3つのいずれかです。使っていることを忘れていたサービス、本物のメールを中継している転送元、またはあなたのドメインを偽装している誰かです。各アドレスの下に表示される逆引き名とネットワークの所有者で、たいていどれかがわかります。

p=noneのままどれくらい待てばよいですか？

正規の送信元がすべてレポートに現れ、それらを準拠させるまでです。通常は数週間かかります。強める前に、請求書やメールマガジンなど、月1回や四半期ごとの配信も忘れないでください。

DMARCレポートはそちらのサーバーにアップロードされますか？

いいえ。展開と解析はブラウザーが行います。名前の確認オプションをオンのままにすると、名前を調べるために送信元IPアドレスの一覧が当サーバーに送られますが、何も保存されません。

ruaレポートとrufレポートの違いは何ですか？

rua は、このページが読み取る集計レポートを求めるもので、送信元アドレスごとの毎日の件数です。ruf は、不合格になった個々のメールについてのフォレンジックレポートを求めます。プライバシー上の理由で送ってくるプロバイダーは少なく、このビューアーは扱いません。

関連するチェック