サブドメインポリシー（DMARC sp=）

DMARCのサブドメインポリシーとは何ですか？

DMARC（Domain-based Message Authentication, Reporting & Conformance）のサブドメインポリシーは、あるドメインのサブドメインが独自のDMARCレコードを持たない場合に、そのサブドメインからのメールをどう扱うかを指定するものです。

これはDMARCレコード内の任意のspタグ（例: sp=reject）を使って定義します。これにより、ドメイン所有者はサブドメインに対して、親ドメインとは異なる適用ポリシーを設定できます。

例:

この場合、メインドメイン（yourdomain.com）からのメールは隔離され、一方でサブドメイン（mail.yourdomain.comなど）からのメールはDMARCチェックに失敗すると拒否されます。

サブドメインポリシーの仕組み

既定では、spタグが存在しない場合、サブドメインはメインドメインのポリシー（p=）を継承します。spタグはこの挙動を上書きし、管理者がサブドメインに対してより厳格な、あるいはより緩やかなルールを適用できるようにします。

この区別は、特に次のような場合に役立ちます。

• 一部のサブドメインがサードパーティの送信者によって使われている（例: marketing.yourdomain.com）。
• DMARCポリシーを段階的にテストしており、サブドメインには緩やかなポリシーを使いながらメインドメインを厳格にしていく場合。
• 悪用や不正な送信を防ぐために、サブドメインへより厳格なルールを適用したい場合。

サブドメインポリシーは、トップレベルのDMARCポリシーと同じように受信サーバーに認識され、認証されていないメールをどう扱うか（none（監視）、quarantine（隔離）、reject（拒否））に影響します。

ドメイン保護におけるサブドメインポリシーの役割

サブドメインポリシーは、攻撃者が放置されたり監視されていなかったりするサブドメインを悪用するのを防ぐのに役立ちます。たとえメインドメインがDMARCで保護されていても、サブドメインのレコードが欠けていると、billing.mail.yourdomain.comのようなアドレスからのなりすましを許してしまう可能性があります。

明示的なサブドメインポリシーを設定することで、こうしたギャップをふさぎ、ドメイン構造全体で一貫した適用を確保できます。

多くの組織は、DMARCの監視が安定したら、ベストプラクティスとしてsp=rejectを選び、どのサブドメインからも認証されていないメールを送信できないようにします。

サブドメインポリシーとDMARCeye

DMARCeyeは、DMARCポリシー（spタグを含む）がすべてのドメインとサブドメインにどのように適用されるかを可視化するのに役立ちます。集約レポートの中で、どのサブドメインがメールを送信しているか、それらが固有のDMARCレコードで保護されているか、そして親ドメインのポリシーのもとでメッセージがどう扱われるかを浮き彫りにします。

この可視性により、保護されていないサブドメインや適用の不一致といった弱点を特定し、正当なメールフローを妨げることなく、すべてを拒否する構成へ自信を持って進むことができます。

ご自身のドメインの保護状況が気になりますか？無料でDMARCをチェックしましょう：

DMARCeyeの無料トライアルに登録して、メールドメインを保護しましょう。

DMARCおよび関連用語について詳しくは、DMARCeye用語集をご覧ください。