DMARC rf=タグ（レポート形式）

DMARCのrf=（レポート形式）タグとは何ですか？

DMARCレコードのrf（Reporting Format）タグは、ドメイン所有者に送られるフォレンジックレポート（失敗レポート）に使われる形式を指定します。これらのレポートはメッセージがDMARC認証に失敗したときに生成され、失敗に関する詳細な診断データを提供します。rfタグは、こうしたレポートを生成する際にどのファイル形式やデータ構造を使うかを受信サーバーに伝え、受信側の分析ツールとの互換性を確保します。

実際には、このタグに最もよく使われる値はafrf（Authentication Failure Reporting Format）で、RFC 6591で定義されています。この標準化された形式により、プラットフォーム間でDMARCの失敗データを一貫して解析でき、セキュリティチームは認証チェックが失敗した理由を正確に把握できます。

rfタグの仕組み

rfタグは、DNS TXTレコードとして公開されるドメインのDMARCレコード内に記述されます。これは、ruf（フォレンジックレポートURI）タグで指定したアドレスに送られるメッセージに使われるレポート形式を定義します。設定例は次のとおりです。

この例では、各要素は次の意味を持ちます。

• ruaは集約レポートの送信先を定義します。
• rufは個々のフォレンジックレポートの送信先を指定します。
• rf=afrfは、それらのフォレンジックレポートがAuthentication Failure Reporting Formatを使うことを示します。

現在、DMARCが公式にサポートする形式はafrfのみですが、このタグは将来のレポート形式に備えて仕様に残されています。レコードに明示的に含めることで、さまざまなメールプロバイダーとの相互運用性を高められます。

AFRF（Authentication Failure Reporting Format）を理解する

AFRFは、認証に失敗したメッセージに関する詳細な情報を記録する、XMLベースの標準化された形式です。各レポートには通常、次の内容が含まれます。

• 送信側および受信側のIPアドレス
• From、To、Subject、Dateなどのメッセージヘッダ
• 失敗した認証メカニズム（SPF、DKIM、またはアライメント）
• 受信サーバーからの診断情報
• 必要に応じて、伏せ字処理された元のメッセージのサンプル

これらのレポートは、セキュリティチームや到達性チームが設定ミスを突き止め、権限のない送信者を特定し、ドメインを狙ったなりすましやフィッシングの試みを分析するのに役立ちます。機密性の高いデータを含む可能性があるため、多くの組織は失敗レポートを外部と共有する前に制限したり匿名化したりします。

rfタグを使うべき場面

rfタグを含めることは、rufによってフォレンジックレポートを有効にしているすべてのドメインに推奨されます。afrf形式が既定ではありますが、明示的に指定することで、レポートを生成するシステムが意図したデータ構造を理解し、一貫した機械可読の結果を配信できるようになります。

利用例には次のものがあります。

• SPFやDKIMのアライメントの問題のデバッグ
• 権限のない、または失敗した認証の試みの監視
• 受信サーバーごとに自社のDMARCポリシーがどう解釈されるかの分析
• グローバルなメールエコシステム全体でのドメイン悪用の追跡

フォレンジックレポートはメッセージごとに生成されるため、大量になることがあります。そのため、多くの組織は専用のメールボックスやサードパーティの分析サービスを使って収集・処理しています。

rfタグとDMARCeye

DMARCeyeは、公開されたDMARCレコードからrfタグを自動的に検出して解釈します。このプラットフォームはAFRF形式のフォレンジックレポートを取り込み、データを正規化し、認証失敗のパターンを可視化することで、組織がなりすましを検出し、設定ミスを特定し、ポリシー適用の成否を検証できるよう支援します。

AFRFデータを集約（RUA）レポートと統合することで、DMARCeyeはドメインの活動を包括的に把握できるようにします。管理者は、どの送信者、IP、メッセージが失敗を引き起こしたのかを正確に確認し、迅速に是正措置を講じてドメイン保護を強化できます。

DMARCeyeの無料トライアルに登録して、メールドメインを保護しましょう。

DMARCおよび関連用語について詳しくは、DMARCeye用語集をご覧ください。