DMARCは2012年から公開されているが、ドメインの68.4%がいまだに強制適用していない

DMARCは2012年から存在します。これは、ドメインから認証に失敗したメールをどう扱うか（レポート、隔離、拒否）を受信メールサーバーに伝える無料のDNSレコードです。主に、表示されるFromアドレスでのドメインの不正使用に関心があり、類似ドメイン登録、表示名スプーフィング、または侵害された正規アカウントからのフィッシングメールを停止するものではありません。 14年後、CipherCueの追跡エンティティセットにある67,336ドメインのDNSレコードを2026年4月14日から2026年7月28日の間にチェックしました。これはCipherCueのデータセットのスナップショットであり、世界中のすべての企業を統計的に代表するサンプルではありません。方法論ノートは、コホートがどのように構築されるかをカバーしています。 それらのうち30,362（45.1%）にはまだレコードがありません。レコードがあるドメインも、それほど進んでいません。実際に何かを強制しているのは10,963（レコードを持つドメインの29.7%）だけで、p=rejectです。認証に失敗したメールはドロップされます。10,258（27.7%）はp=quarantineで、ジャンクフォルダに入りますがブロックはされません。最大の単一グループである15,709ドメイン（42.5%）はp=noneに設定されています。p=noneポリシーは、認証データを収集し、レポートを集計しますが、DMARCに失敗したメッセージを隔離または拒否するように受信メールシステムに要求しません。この分析では、強制とは、公開されたp=rejectまたはp=quarantineポリシーを意味します。p=noneを使用するドメインは、強制しないとカウントされます。 DMARCレコードを持つドメインの42.5%は、最新の観測ウィンドウでも、レポートを収集するだけで隔離や拒否を要求しないp=noneのままです。p=noneは通常、強制に移行する前の一時的な監視フェーズであるべきで、通常は数週間です。標準が出荷されてから14年後、私たちのデータで最大の単一ドメイングループにとって、それは永続的な状態のようです。 この2つの数字を合わせると、その全体像はどちらか一方の数字だけよりもはるかに厳しいものになります。チェックした67,336ドメインすべての中で、46,071（68.4%）はDMARCレコードがないか、ポリシーを強制しないレコード（レコードなし: 45.1%、レコードありだがp=none: 全体の23.3%）のいずれかです。DMARCレコードの発行は、このデータセットにおける主な採用ギャップではなくなりました。監視から強制への移行がギャップです。 チェックされたすべてのドメインの68.4%にはDMARCレコードがないか、ポリシーを強制しないレコード（レコードなし: 45.1%、レコードありだがp=none: 全体の23.3%）があります。 ポリシーの内訳（すべて） DMARCレコードなし: 30,362 (45.1%) p=none (監視のみ): 15,709 (23.3%) p=quarantine: 10,258 (15.2%) p=reject (完全強制): 10,963 (16.3%) チェックされた全67,336ドメインのシェア、レコードを持つドメインのみではない 状態 | ドメイン数 | 全チェック数に対するシェア | レコードを持つドメインに対するシェア ---|---|---|--- DMARCレコードなし | 30,362 | 45.1% | n/a p=none (監視のみ) | 15,709 | 23.3% | 42.5% p=quarantine | 10,258 | 15.2% | 27.7% p=reject (完全強制) | 10,963 | 16.3% | 29.7% なぜp=noneから移行しないのか 一般的な説明は、慣性または無知です。私たちのデータは、より具体的で、より機械的な原因を示唆しています。それは、実際に何がメールを送信しているのか誰もわからないということです。DMARCのレポートフラグがオンになっているすべてのドメインは、認証を通過したかどうかに関わらず、そのドメインになりすましてメールを送信したすべてのソースをリストする日次集計レポート（rua=）を受け取ります。強制に移行するということは、そのリストを精査し、ソースごとに「はい、これは私たちのものであるべきだ」または「いいえ、ブロックする」と決定することです。 私たちは36,974のDMARCレコードから生のrua=アドレスを抽出し、レポートが実際に行き先を数えました。26,179のレポートアドレスエントリ全体で10,268の異なるrua=レポートドメインが見つかりました。そのうち8,113（79%）はデータにちょうど1回だけ現れます。 その一部は、Proofpoint自身のレポートエンドポイントが1,605回、Cloudflareが1,273回、dmarcianのさまざまな地域エンドポイント（ag.eu.dmarcian.com、ag.us.dmarcian.com、およびその他の8つの国コード付きバリアント）が合計1,000回以上、そしてBrevo、Postmark、Barracuda、およびDMARC-as-a-serviceベンダー（EasyDMARC、PowerDMARC、dmarcian、Red Sift、DMARC Analyzer、dmarcly、sdmarc.net、hornetdmarc.com）の散布が残りの大部分を占めています。 しかし、ロングテールが発見です。上位約60ドメインを過ぎると、アドレスは認識可能なベンダーではなくなり、一度きりの、しばしばハッシュ化されたメールボックス名になります。例えば、ivrejeuw@ag.c1.dmarcian.com、a.8hyzr404@sdmarc.net、2fa9a7572f@rua.easydmarc.eu、企業が自身のドメインでレポートをセルフホストしている場合（dmarc@axa.com、rua@lseg.com）、あるいは全く手がかりを与えないメールボックス（watchdog@watchdog.kevlarr.io）などです。管理者がある週のこれらのレポートを見ているとき、それはベンダーリストを見ているのではありません。それは、所有者が明らかでないIPアドレスと送信者文字列の山を見ており、強制するかどうかを決定するには、まずそれらすべてを特定する必要があります。それは設定変更ではなく、リサーチタスクであり、無期限に優先順位が下げられる可能性のあるタスクです。私たちはこれが上記のp=noneの数字が高い主な単一の理由だと考えています。 誰がDMARC監視を実行しているか 私たちはrua=レポートアドレスドメインを、DMARC監視およびメールインフラストラクチャ製品を自信を持って特定できたベンダー辞書に対してマッピングしました。これは、単一のファクトタイプに一致させるよりも、より広範な測定です。自信を持って特定できた8,862のエンティティを29の命名された宛先にわたって検出します。これは、事前構築されたベンダー辞書のみを使用した場合は1,400です。これは依然として下限であり、上限ではありません。自信を持ってベンダーを割り当てることができたドメインのみをカウントします。上記で説明した8,113の一意の宛先は、単一の発生ではベンダー名を自信を持って付けるには不十分なため、ここには含まれていません。 宛先 | エンティティ数 | 特定されたシェア | 内容 ---|---|---|--- Brevo | 1,297 | 14.6% | トランザクションメールプラットフォーム（旧Sendinblue）; 送信メールの副作用としてレポートを受信しており、DMARC製品ではない Proofpoint | 1,094 | 12.3% | セキュアメールゲートウェイ; 独自のレポートエンドポイント（emaildefense.proofpoint.com） Valimail | 1,068 | 12.1% | DMARC監視/自動化製品 Cloudflare | 978 | 11.0% | DNS/CDNプロバイダー; 専用DMARC製品ではなく、ホストされたDMARC機能を通じて独自のドメインにレポートが届く DMARC Analyzer | 602 | 6.8% | DMARC監視製品（オランダ発、2020年以降Vadeの一部） dmarcian | 584 | 6.6% | DMARC監視製品、9つの国コード付き地域エンドポイント DMARC Advisor | 407 | 4.6% | DMARC監視製品 EasyDMARC | 377 | 4.3% | DMARC監視製品 Postmark | 348 | 3.9% | トランザクションメールプラットフォーム; 送信メールの副作用としてレポートが届く MxToolbox | 321 | 3.6% | DMARCレポートリーダーを提供するDNS診断ベンダー Barracuda | 267 | 3.0% | メールセキュリティ/ゲートウェイベンダー Red Sift (OnDMARC) | 248 | 2.8% | DMARC監視製品 PowerDMARC | 184 | 2.1% | DMARC監視製品 Fortra (Agari) | 149 | 1.7% | メールセキュリティ/DMARC監視製品 その他 (15ベンダー) | 938 | 10.6% | dmarcly, GoDaddy, sDMARC, Red Sift (別エンドポイント), CheckPoint, Mailgun, Mailhardener, Everest, HornetSecurity, Kevlarr, LetsDMARC, report-uri, GlockApps, Cisco, UK NCSC この表を読むには、表自体が伝えられない注意書きが必要です。Brevo、Cloudflare、Postmarkは、Valimail、dmarcian、Red Siftのような「DMARC監視ベンダー」ではありません。ドメイン所有者がそれらのプラットフォーム上のメールボックスにrua=を設定したため、集計レポートを受信しています。これは、そのプラットフォームがドメインのアウトバウンド送信またはDNSプロバイダーでもあることが多いためであり、ドメイン所有者がそこから専用の監視製品を購入したからではありません。 表を、コア製品がDMARC監視であるベンダーに限定すると、Valimail、DMARC Analyzer、dmarcian、DMARC Advisor、EasyDMARC、Red Sift、PowerDMARC、Fortra (Agari) は合わせて8,862の特定されたエンティティのうち3,619（40.8%）を占めます。このより狭い基盤内では、Valimailが29.5%で最大の単一ベンダーであり、DMARC Analyzer（16.6%）とdmarcian（16.1%）がその後に続いています。どのベンダーも過半数を占めていませんが、市場は均等に分割されているわけでもありません。 国別内訳 強制段階は国によって異なります。このコホートでは、ポーランドがDMARCレコードを全く持たないドメインの最大のシェアを持っています。英国はレコードを持たないドメインのシェアが最小ですが、レコードが存在する場合の強制率はそれに比例して高くなっています。 国 | チェックされたドメイン数 | N