DMARC spタグ（サブドメインポリシー）

DMARC spタグとは

DMARC spタグは、DMARC認証結果を評価する際に、ドメインのサブドメインに適用されるポリシーを定義するものです。これにより、ドメイン所有者は主要な組織ドメインとは異なる適用レベルをサブドメインに設定できます。このタグは任意ですが、サブドメインのメール挙動をより厳格に、あるいはより緩やかに制御したい組織にとって特に有用です。

例えば、ある企業がルートドメインには拒否ポリシーを強制しつつ、サブドメインにはより寛容な隔離や監視（none）ポリシーを使うDMARCレコードを公開する、といったことができます。この柔軟性により、管理者は正当なメールフローを妨げることなく、複雑なドメイン構造全体にDMARCの適用を段階的に展開できます。

DMARC spタグのしくみ

spタグは、ドメインのDNS設定内のDMARC TXTレコードの一部として含まれます。その構文は次の形式に従います。

この例では、主要ドメインは拒否ポリシー（p=reject）を使い、すべてのサブドメインは隔離ポリシー（sp=quarantine）を使います。いずれかのサブドメインから送信され、DMARC認証に失敗したメッセージは、完全に拒否されるのではなく隔離されます。

spタグで使用できる値は次のとおりです。

• sp=none – 適用なし。メールは監視されるがフィルタリングされない
• sp=quarantine – 不審なメールはスパムフォルダーまたは隔離フォルダーに配信される
• sp=reject – サブドメインからの不正なメールは完全に拒否される

spタグが省略された場合、サブドメインは自動的に主要ドメインのDMARCポリシーを継承します。

ユースケースとベストプラクティス

DMARC spタグは、大規模な組織、複数のサブドメインを持つブランド、あるいはサードパーティのメールサービスを利用するあらゆる企業にとって特に有用です。保護レベルを細かく調整し、より厳格な適用へと段階的に移行できます。

一般的なシナリオには次のものがあります。

• サブドメインの認証をテストしている間は sp=none を使う
• 展開中にメールをブロックせずリスクを減らすため sp=quarantine を適用する
• すべての正当なサブドメイン送信者がDMARCを通過したら sp=reject を設定する
• 委任されたメールストリームに対し、ベンダー固有のサブドメインを異なるポリシーで分離する

一貫性を保つため、すべてのサブドメインにも組織ドメインと整合する有効なSPFとDKIMの設定があることを確認してください。DMARC集約レポート（rua）を定期的に確認することで、正当なサブドメインのトラフィックが問題なく認証されていることを確かめられます。

DMARC spタグとDMARCeye

DMARCeyeは、サブドメインのポリシーがどのように適用され、実施されているかを完全に可視化します。spタグの効果をすべてのドメインにわたって追跡し、どのサブドメインがDMARC設定のもとで通過、隔離、拒否されているかを表示します。

本プラットフォームのレポートエンジンは、主要ドメインとサブドメインのポリシー間の不整合を明らかにし、円滑な適用を実現するための調整を推奨します。認証結果をリアルタイムで監視することで、DMARCeyeはドメイン階層のあらゆる部分にわたって、安全で段階的なDMARC保護の展開を可能にします。

ご自身のドメインの保護状況が気になりますか？無料でDMARCをチェックしましょう：

DMARCeyeの無料トライアルに登録して、メールドメインを保護しましょう。

DMARCおよび関連用語について詳しくは、DMARCeye用語集をご覧ください。