DMARC集計レポートは、DMARCを機能させるためのフィードバックループですが、手作業で読むには難解な密度の高いXMLとして届きます。ここでは、その中に何が含まれ、どう対処すべきかを解説します。
集計レポートの中身
すべてのレポート（RFC 7489で定義）には3つの部分があります。誰が生成したかと日付範囲を示すメタデータ、その時点であなたのドメインが公開していたDMARCポリシー、そして一連のレコードです。各レコードは、あなたのドメインを名乗ってメールを送信した1つの送信元IPを表し、メッセージ数、SPFおよびDKIMの結果、各結果がFromドメインとアライメントしたかどうか、そして受信者が適用した処理（配信、隔離、拒否）が含まれます。
最も重要なフィールド
- 送信元IP - どのサーバーがメールを送信したか。アナライザーはその逆引きDNSホスト名を解決するので、自社のCRMと未知のなりすまし送信者を見分けられます。
- Count（件数） - その行が表すメッセージ数。数千件を送信している失敗行は、一度きりのものよりはるかに重要です。
- SPF / DKIMの結果 + アライメント - 合格は、あなたのFromドメインとアライメントして初めて保護になります。SPFアライメントの仕組みをご覧ください。「合格したがアライメント不成立」はDMARC合格ではありません。
- Disposition（処理） - 現在のポリシーの下で、そのメールに実際に何が起きたか。
よくあるシナリオの読み解き方
- すべてアライメント成立・合格。 あなたの正規の送信者が正しく設定されています。ポリシーを強化しても安全です。
- 自社の送信者がSPFに合格しているがアライメント不成立。 通常は、独自のリターンパスから送信するサードパーティサービスが原因です。あなたのドメインにカスタムリターンパスまたはDKIM署名を設定して修正します。
- 見覚えのないIPが大量に送信し、失敗している。 それはなりすましです。まさにDMARCの適用がブロックする対象です。
- SPF PermError。 あなたのSPFレコードが10ルックアップ上限を超えています。AutoSPFがそれをフラット化し、これらの行が合格し始めます。あわせて、SPFフラット化にまつわるよくある誤解も解消します。
レポートを使ってp=noneからp=rejectへ移行する
レポートは、あなたが安全に適用へ到達できるように存在します。p=noneから始め、すべての正規の送信元がアライメント成立・合格を示すまでレポートを読み続けます。次にp=quarantineへ移行し、問題がないか観察し、最後にp=rejectへ進みます。アナライザーは単一レポートについてその判断を助けます。進めながら、DMARCチェッカーとSPFチェッカーで基礎となるレコードを検証し、全体の流れはDMARCガイドでご確認ください。
1件のレポートから継続的な監視へ
このツールは、必要に応じて単一のレポートを検査するのに最適です。複数ドメインにわたって1日に数十件を受け取るようになると、1件ずつ読むのは現実的でなくなります。姉妹製品のDMARC Reportが、あらゆる集計レポートとフォレンジックレポートを自動的に取り込み、合格率の推移を追跡します。