#DMARCチェッカー

DMARC レコードを持つほとんどのドメインでは、何も行わないように設定されています。 レコードが存在し、アンケートにチェックが付けられ、誰でもドメインとして説得力のある電子メールを送信できます。自分が管理しているドメインを確認し、完全なレコードと実際に設定されているポリシーを取得します。

DMARC のクイックチェック

レコードが存在するかどうか、またレコードが受信者に何を指示しているかを簡単に確認できます。完全な DNS チェック、スケジュールされた実行、および保存された履歴。

SPF と DKIM ではなく DMARC でできること

SPF は、ドメインに対してどのサーバーが送信できるかを示します。 DKIM はメッセージに署名するため、受信者はメッセージが変更されていないことがわかります。 どちらも、チェックが失敗した場合に何をすべきかについては何も述べていません - そして、ほとんどの人は自分自身に任せています。とにかく受信者はメッセージを配信します。

DMARC はその命令です。これは、_dmarc.yourdomain.com の TXT レコードで、受信サーバーに 3 つのことを伝えます。1 つは失敗したメールをどうするか、それに関するレポートはどこに送信するか、読者に表示されるドメインとチェックされたドメインをどの程度厳密に照合するかです。

独自の DMARC を確認する 6 つの理由

01・「気づいたら何もしない」という方針

DMARC レコードには 1 つの設定があります。他のものよりも重要です。

ポリシー失敗したメールに対して受信者が行うこと
p=none配信します。 レポートのみを送信します。
p=quarantineスパムに入れる
p=rejectきっぱり拒否します

p=none は、開始するのに正しい場所であり、留まるのは間違った場所です。 これは、強制を有効にする前に、数週間監視して忘れていた正当な送信者を見つけるために存在します。

非常に多くのドメインが何年も p=none に留まっているのは、次のステップに進むことを強制するものは何もなかったためです。このレコードは、DMARC が存在するかどうかのみを尋ねるチェックリストに存在するように見えます。

02

reject に単純にスキップできない理由

自分自身のメールが止まることになるからです。

どの組織も、チケット発行システム、請求書発行ツール、ニュースレター プラットフォーム、アラートをメールで送信するサーバー、3 年前に構築されたサイトのフォームなど、覚えている以上に多くの場所から送信しています。 p=reject では、承認されていないすべての配信が停止されます。最初に気づいた人が顧客です。

3 つの段階は選択するものではなく、歩むために存在します。 none から開始し、レポートに示されている内容を読み、何が正当であるかを承認してから、quarantine、次に reject に移動します。

03

誰も読まないレポート

DMARC レコードには、次の 2 つのレポート アドレスを指定できます。

  • rua - 集計レポート。受信プロバイダーからの毎日の XML 概要: あなたから送信されたと主張するメールの量、通過した量、および送信元

-ruf - 失敗レポート。メッセージごとの詳細。はるかに少数のプロバイダーによって送信され、実際のメッセージの一部が含まれる可能性があります。

集計レポートは p=none の要点であり、人が読むことはできません。これらは数十のプロバイダーから圧縮 XML として到着します。それらを収集して提示するものがなければ、学ぶべきステージは何も教えてくれず、ドメインは永遠に none のままになります。

rua アドレスのないレコードは、その役割を果たせないレコードです。

04

調整、およびメールが SPF に合格しても DMARC に失敗する理由

これは、もう終わったと思っていた人が驚く部分です。

SPF はエンベロープ送信者 (配信会話で使用されるアドレス) をチェックします。 読者には決して表示されません。 読者に表示されるのは From: ヘッダーであり、DMARC はそれを保護するために存在します。

したがって、DMARC に必要なのは SPF や DKIM だけではありません渡されましたが、渡されたドメインは From: ヘッダーのドメインと一致します。独自のエンベロープ ドメインを使用してユーザーに代わって送信するメール プラットフォームは、調整するように構成されていない限り、それ自体では SPF を通過し、DMARC では失敗します。

レコードの aspf および adkim 設定は、一致がどの程度厳密に行われるかを制御します。リラックスの場合は r でサブドメインが許可され、s ではサブドメインが許可されます。

05 · 誰もポリシーを設定していないサブドメインのための

DMARC レコードには、サブドメイン用の別のポリシー sp を含めることができます。これが存在しない場合、サブドメインはメイン ポリシーを継承します。これは通常、必要なものです。

問題が発生するのは、p=reject と sp=none を設定するレコードです。多くの場合、慎重なロールアウト中にその後そのまま放置されます。メイン ドメインは保護されていますが、すべてのサブドメインは広く公開されているため、攻撃者はそこに侵入します。

06

今名前を尋ねる人への証拠

保険会社また、企業顧客は DMARC について特に質問することが増えており、「はい」ではなくポリシーの価値を尋ねる人もいます。レコードとその変更時期を示す日付付きレポートは、DNS パネルのスクリーンショットよりも優れた答えであり、保存できる証拠です。

ポリシーが変更される日を知る

DMARC ポリシーは、正当な理由により、1 人による 1 回の編集で弱体化する可能性があります。正当なメールのバッチが拒否されており、最も簡単な修正は none に戻すことでした。これは一時的なものです。めったにありません。

スケジュールされたスキャンは、それを通知される違いに変えます。このポリシーは quarantine から none に変更され、このレコードは変更されました。アラートはアプリ内、電子メール、Slack、Teams、Jira、Webhook を通じて届きます。

ステップ 01 · 名前を付けますドメイン

AYAsec アカウントに追加された、あなたが管理するドメイン。所有権は何かが送信される前にチェックされます。AYAsec は、制御を実証していないインフラストラクチャに対してスキャンをスケジュールしません。DNS レコードが 1 つ必要であることが証明されます。上記の簡単なチェックでは、これが省略されています。アカウントなし、検証なし、IP レート制限と、ターゲットがパブリックである必要があるというルールだけです。住所。

ステップ 02 · チェックを実行します

DMARC レコードは公開されているため、これはプローブではなく読み取りを行います。受信メール サーバーと同じように、ドメインで _dmarc を検索します。

ステップ 03 · 結果を読む

調査結果は重大度順に到着し、A+ から F までのスコアが付けられます。欠落しているレコードと、同じ未分別リストに含まれていないものだけを監視するというポリシーがあります。

これは何の一部ですか

DMARC は、AYAsec がチェックするいくつかのメール関連レコードの 1 つですDNS スキャンの一部として、SPF、DKIM、MTA-STS、TLS-RPT、DNSSEC と並行して実行されます。 これは 1 回のスキャンであり、このページはスキャン内容の一部についてのものです。 DNS は複合グレードの 20% を担っています。その他は、HTTP が 30%、TLS と ポート がそれぞれ 20%、ドメインの信頼性が 10% です。これらすべてを合わせて、攻撃対象領域の管理 が実際に意味するものになります。

確認する前の質問

何を確認すればよいですか?

あなたが所有している、またはテストを契約しているインフラストラクチャ。上記のクイックチェックでは、それを確認してください。IP によってのみレート制限が行われ、パブリック アドレス以外をターゲットにすることは拒否されます。代わりにドメインを AYAsec アカウントに追加すると、スケジュールされたものが実行される前に制御が検証されます。これは、検証されていないスキャンは証拠としても役に立たないため、実際的な境界であると同時に法的な境界でもあります。

このドメインからはメールを送信しません。 DMARC は必要ですか?

はい、そしておそらくそれ以上です。何も送信しないドメインにはそのように表示する必要があります明示的に - 誰も承認しない SPF レコード と reject の DMARC ポリシー。レコードのないパークされたドメインは、誰も返信を見ていないため、なりすますのが最も簡単です。

p=none にどれくらい滞在する必要がありますか?

独自の送信の完全なサイクルを確認するのに十分な長さ (ほとんどの組織では数週間を意味します)。毎月の請求書発行と四半期ごとのキャンペーンの両方を、適用する前にレポートに表示する必要があります。四半期を超えて滞在するということは、通常、誰もレポートを読んでいないことを意味します。

reject に移行すると何か問題が発生しますか?

許可されていないのにあなたとして送信しているものはすべて破壊されます。これが重要ですが、そのセットには、あなたが見つけるまで忘れていたあなた自身のツールが含まれています。それが初期段階の目的です。

DMARC に合格するには SPF と DKIM の両方が必要ですか?

いいえ、パスして整列する 2 つのうちの 1 つで十分です。実際には、DKIM は転送に耐えられますが、SPF はそうでないことが多いため、2 つのうちの耐久性がより優れています。

結果は保存していますか?

上記の簡単なチェックではありません。メモリ内に約 15 分間存続するため、一度読み取ると、その後は消えてしまいます。これは意図的なプライバシー上の選択であり、制限ではありません。そのスキャンはあなた以外の誰も見ることができず、有効期限が切れる前に完全な結果をダウンロードできます。追加代わりにドメインを AYAsec アカウントに移し、すべてのスキャンが保存されます。これにより、ポリシーがいつ、どの程度弱体化されたのかがわかります。保持期間はプランによって異なります。

結果だけでなく履歴も保存する

スケジュールに従って、独自のドメインに対して完全な DNS チェックを実行します。ポリシーが後退する場合は、メッセージが表示されます。

無料でスキャンを開始プランを比較

他のチェッカー

View all free security scanners

SPFchecker

どのサーバーがドメインとして送信できますか?

DNS セキュリティ チェッカー

DNSSEC、ネームサーバー、およびレコード自体

4 つすべてのスキャナ

ポート、TLS、HTTP、DNS

埋め込む構造化データ

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec DMARC Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/dmarc-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

FAQPage または HowTo マークアップを追加しないでください。Google は両方の結果タイプを取り消しました。