私のメールが届かないのは、何かの陰謀ですか？：こうしす！　こちら京姫鉄道 広報部システム課 ＠IT支線（45）

　このガイドライン改訂に伴い、各社が対応に追われました。

　例えばさくらインターネットは、2024年1月31日に同社のレンタルサーバで対応を開始。利用者にとってもタイトなスケジュールとなりました。

　そんな中2024年1月に、神奈川県教育委員会の高校入試のインターネット出願システムから、Gmailを使用する受験生にメールが届かないという事態が発生し、改めて「メール送信者のガイドライン」がSNS上で話題に上りました。

　新しいガイドラインが適用される前であったことや、そもそもMXレコードの設定が不適切であったことなどから、「メール送信者のガイドライン」には直接関係なかった可能性もあります。

　2月以降も「メール送信者のガイドライン」のうち、「1日当たり5000件以上のメールを送信する場合の要件」の適用対象とならない場合は対応の必要がないとはいえ、5000件以上のメール送信は意外に容易に超えてしまう基準であるため、事実上早期に対応することが求められています。

　ところで、SPF、DKIM、DMARCとは何でしょうか。

　簡単に説明すると、なりすましメール対策のためのドメイン認証技術です。所有するドメイン名でメールを送信する場合はもちろん、仮にそのドメインでメールを送信しないとしても、第三者のなりすましメールによってドメインの価値が毀損（きそん）されるリスクがありますので、対応するに越したことはありません。

　もちろん、これらの技術を使用しても、ドメイン名自体が全く異なるようななりすましメールは防げませんが、少なくとも、所有するドメインの価値をなりすましメールから守る手段として活用できます。

　詳しい説明は他の記事に譲りますが、それぞれの概要は以下の通りです。

　いずれも、電子メールをドメイン名ベースで認証するための仕組みです。

　そのため、SPF、DKIM、DMARCそれぞれについて、設定内容を当該ドメイン名のDNSレコードとして公開する必要があります。

設定ミス

　よくあるのが、SPF、DKIM、DMARCレコードの設定ミスです。その他にも、MXレコードや、逆引きレコードの設定ミスなどもよくあります。

　漫画のようにミスだらけという事案はさすがに稀（まれ）かもしれません。しかし、設定を1つ間違えているだけで、ある日突然メールが届かなくなるということは十分考えられます。

　悩ましいのは、仮に設定を間違っていても、必ずしもメールが届かなくなるわけではないということです。

　SPF、DKIM、DMARCは受信側で検証する仕組みですから、もし受信サーバや受信メールソフトウェアが対応していなければ、検証されることなくそのまま届きます。

　そのため、一部のメールサービスでは届くが、一部のメールサービスでは届かない、あるいは迷惑メールに分類されてしまうということが起こり得ます。

　その上、DNSレコードのTTL（Time to Live）を長く設定していた場合、DNSキャッシュサーバに誤った設定のキャッシュが長期間残ってしまい、設定を正した後も影響が長引く可能性があります。

　そのような事態を防ぐためには、以下のように順を追って設定を試しながら、徐々にポリシーを厳しくしていくのが望ましいといえるでしょう。

メーリングリストで困った問題

　筆者が直面した問題は、メーリングリストです。

　メーリングリストにおいては、件名に「[ml-xxxx]」というようなメーリングリスト名が付加されることから、DKIM認証の署名検証が失敗してしまいます。

　また、メーリングリストに投稿されたメールの送信者（ヘッダFrom）は投稿者のメールアドレスとなることが一般的なため、SPFレコードでメーリングリストのメールサーバを許可しない限り、DMARCのSPF認証も失敗してしまいます。

　そのため、メーリングリストに投稿したメールが、一部の宛先に届かないという事態が発生しました。

　こうした場合に備えてARC認証（Authenticated Received Chain）という仕組みが存在します。しかし、それはメーリングリストサービス側で対応する必要があり、対応していなければ使用できません。

　かつてメーリングリストがはやった時代もありましたが、今となっては下火です。オープンソースソフトウェアの開発でも、メーリングリストよりDiscordとなっている現状において、メーリングリストサービスがそうした機能に対応する経済的メリットが見いだしづらい状況にあります。しかし、結果的にポリシー改訂がトドメを刺すようなことにならないよう、メーリングリストサービスを提供する各社において、こうした状況が少しずつ改善されていくことを願っています。

備えあれば憂いなしだが……

　「SPF、DKIM、DMARCを設定しましょう」ということは、以前よりセキュリティの専門家が口酸っぱくいっていたことです。本来であれば、Gmailのポリシー改訂に関係なく対応しているのが望ましい姿ではあります。

　しかし現実には、Gmailのポリシー改訂に伴い、慌てて対応した企業もあったことでしょう。特にDKIMはメールサービスの対応が必要となるため、レンタルサーバ会社の対応を待たなければなりませんでした。そして、レンタルサーバ会社としては、DKIMに対応するメリットが薄く、対応が後回しになっていたという事情があったことでしょう。

　「100の普及啓発活動よりも、大手メールサービスのポリシー改訂の方が勝る」というのは、情報セキュリティに関するコンテンツを制作する一人として、なかなか考えさせられる事例となりました。