最強のメール設定を目指して…

ホスト名は「_dmarc」のTXTレコードをDNSに記録するだけです。設定パラメータは色々ありますので詳しく知りたい方はこちらをご覧ください。

一番重要なポリシーは、p（Policy）です。設定できる値は３つあります。

• none : NGも許容してください！

• quarantine：NGは迷惑メールフォルダ行きとして受信してください！

• reject：NGはブロックしちゃってください！

です。最終的にはrejectにすべきなんですが…大企業など影響が大きい場合は、noneから初めてレポートを受け取って実態を把握しながら、徐々にレベルアップして行くのが良いかと思います。PowerDmarcなどの有料サービスを利用すると、自動で影響調査をして可視化してくれたりしますので便利です。一方…「メルマガなんか出してないし、そんなに大きな会社だから状況は把握できてる」って場合は、一気にrejectにしてしまっても良いかと思います。

ruaとrufはエラーを受け付けるメールアドレスです。管理者のエイリアスやGoogleグループなどで受けるようにしておけば良いかと思います。foは「どんなエラーの場合にメールを受けつけるか？」の値です。pctは全体のメールのうち何割をチェックするか？という値です。fo=1だと「SPFかDKIM、いずれかが失敗した場合にメールを受け取る」という意味です。

まずは、p=noneでも良いので始めつつ、rejectを目指しましょう。

次にIncoming mail対策へ

ここまでできたら、BIMIは一旦置いておき、受信メールを「盗み読みされない」対策をしましょう。受信メール対策は２つあります。

• MTA-STS : メール通信の暗号化を強制する方法

• TLS-RPT : メールの暗号通信に失敗した場合にレポートする方法を定義

が必要になります。

この設定は地味に大変なので…別記事にまとめます。

最後にBIMIをどうするか検討

Gmailなどで差出人名と一緒に、GWSに登録した顔画像などのアイコンが表示されると思います。あれを公式な会社ロゴにすることで…メールの信頼性を上げるという仕組みです。

正式なBIMIを設定するには、VMC認証が必要です。VMC認証とは

1. 会社のロゴを指定フォーマットのSVGファイルにして、TLS付きのWebサーバーに公開されていなければならない

2. そもそも会社のロゴが登録商標でなくてはならない

3. ロゴが正しいものか証明する高額なVMC証明書を購入しなくてはならない

という制限があります。１は良いとして…3あたりが…完全に廃れた感じに見えるEV-SSLの商売を思い出させる感じ（一般人が知らないと意味のないセキュリティ基準なのに一般人どころか業界人も理解していないのが多数派）で、頑張らなくて良い気がしています。とはいいつつ、試しに自社のロゴを商標登録してみました。証明書の値段が現実的になったら、証明書の設定もやってみようかと思います。

とはいえ、BIMI認証条件に「DMARCが100%チェックの上、ポリシーがreject」である…つまり「なりすまし対策が終わっている証明」とも言えるので目指すべきかと思います。

このBIMIのSVG作りですが…地味に面倒なので…別記事で解説します。

専用のSVGが完成して公開できれば…あとはこんな感じでDNSレコードを追加したら完成です。