識別子アライメント（DMARC）

DMARCの識別子アライメントとは

識別子アライメント（整合性）は、DMARCの中核となる概念で、認証チェックで使われるドメインが、受信者に表示されるドメインと一致していることを保証します。簡単に言えば、SPFとDKIMが用いる技術的な送信元が、メールヘッダに表示される人が読める「From」アドレスとアライメントしているかを検証します。アライメントは、ドメインの不一致を突いて正当に見せかけるなりすまし攻撃から利用者を守ります。

識別子アライメントがなければ、攻撃者は無関係なドメインを使ってSPFやDKIMを合格させ、不正なメッセージを本物らしく見せることができてしまいます。DMARCはアライメントを強制することで、表示されるドメインと認証されたドメインの両方が、同じ組織またはサブドメイン構造に属することを保証します。

識別子アライメントの仕組み

受信サーバーはDMARCを評価する際、次の2つの重要なチェックを行います。

• SPFアライメント： Envelope Fromアドレスのドメインを、表示されるFromヘッダのドメインと比較します。
• DKIMアライメント： DKIMの「d=」タグのドメイン（署名ドメイン）を、表示されるFromヘッダと比較します。

SPFかDKIMのいずれかが合格し、かつFromドメインとアライメントしていれば、メッセージはDMARC認証に合格します。どちらのメカニズムもアライメントしない場合、メッセージはDMARCに失敗し、ドメインが公開しているポリシー（none、quarantine、reject）に従って処理されます。

例：

この例では、SPFとDKIMの両方のドメインが example.com とアライメントしており、DMARCは合格となります。

strictアライメントとrelaxedアライメント

DMARCはSPFとDKIMの両方について、DMARCレコード内の adkim タグと aspf タグで制御される2つのアライメントモードをサポートします。

• relaxedアライメント（デフォルト）： サブドメインが組織ドメインとアライメントすることを許容します（例：mail.example.com は example.com とアライメントする）。
• strictアライメント： ドメインの完全一致を要求します（例：billing.example.com は example.com とアライメントしない）。

strictアライメントを設定したDMARCレコードの例：

strictアライメントはなりすましに対する保護を高めますが、サブドメインやサードパーティ送信元が適切に設定されていない場合、誤った拒否を招くことがあります。

識別子アライメントがメール認証に重要な理由

識別子アライメントは、DMARCをSPFやDKIM単体よりも強力にするものです。認証が技術的に有効であるだけでなく、文脈的にも正しいことを保証します。アライメントがなければ、攻撃者は無関係なドメインからメッセージを送っても認証を合格させ、受信者を欺くことができてしまいます。

アライメントは次のものを防ぐのに役立ちます。

• ドメインスプーフィング
• 信頼されたブランドを装うフィッシング攻撃
• 承認されていないサードパーティプラットフォーム経由で送られる不正なメッセージ

適切なアライメントは、送信元のドメインが認証済みで正当であることをメールボックスプロバイダーに示すことで、メール到達性の向上にも寄与します。

識別子アライメントと DMARCeye

DMARCeyeは、すべてのドメインとサブドメインにわたってSPFとDKIMのアライメントを継続的に分析します。このプラットフォームは、アライメントがどこで失敗しているかを可視化し、認可されていない送信元を特定し、適切な適用を実現できるようDMARCポリシーの調整を支援します。

認証結果とアライメントデータを突き合わせることで、DMARCeyeは、どの送信元がSPFやDKIMには合格しているがアライメントに失敗しているか、すなわち設定ミスやなりすましの可能性を浮き彫りにします。この知見により、セキュリティチームはドメインのセキュリティを最適化し、自信を持って完全なDMARC適用ポリシーへ移行できます。

ご自身のドメインの保護状況が気になりますか？無料でDMARCをチェックしましょう：

DMARCeyeの無料トライアルに登録して、メールドメインを保護しましょう。

DMARCおよび関連用語について詳しくは、DMARCeye用語集をご覧ください。