NEWS
新ツール
「メール認証（SPF/DKIM/DMARC）を整える」公開 — なりすましメールが弾かれる瞬間を受信サーバー視点で体験
セキュリティカテゴリの新ツール メール認証（SPF/DKIM/DMARC）を整える を公開しました。
「SPF・DKIM・DMARCを設定しましょう」とはよく言われますが、3つがそれぞれ何を検査しているのかは意外と知られていません。実はこの3つ、答えている質問が違います。
- SPF — 「そのサーバーから送っていいの？」（送信サーバーのIP許可リスト）
- DKIM — 「中身は本物のまま？」（電子署名の検証）
- DMARC — 「その合格、画面に見える名乗りと一致してる？ 不合格ならどうする？」
受信サーバーの気持ちで、1通を判定する
このページの主役はなりすまし判定シミュレーター。攻撃側の条件（送信元サーバー・署名・名乗り）を切り替えると、SPF→DKIM→DMARCの判定が順に点灯し、メールが受信箱・迷惑フォルダ・受信拒否に振り分けられます。
とくに体験してほしいのが、この2つのシナリオです。
- 「攻撃者が自分のドメインでSPFだけ通す」 — 攻撃者は自分のドメインのSPFを完璧に設定できるので、SPF自体はPASSします。それでも弾かれるのは、DMARCが「名乗りとの一致（アライメント）」を見ているから。SPF単体ではなりすましを防げない理由が、判定の点灯順で分かります。
- 「DMARC未設定のドメインへのなりすまし」 — 同じ攻撃でも、名乗られた側がDMARCを設定していないと、受信サーバーは処分の基準を持てずそのまま届いてしまいます。設定していない側の問題として跳ね返る、という現実です。
レコードの読み方と、育て方まで
v=spf1 +a:… include:… ~all や v=DMARC1; p=none; rua=… といった呪文のようなレコードを、トークンごとに分解した読み方辞書つき。導入の定石（p=none で観察 → quarantine → reject）も3ステップで解説します。
転送でSPFが切れてもDKIMが救う相互補完、メールを送らないドメインの防御（v=spf1 -all ＋ p=reject）など、実務でそのまま使える知識に落とし込みました。
これで totonoe は全163種になりました。いつもどおり、登録不要・広告なし・すべてブラウザの中だけで動きます（送信ゼロ）。実際のメール送受信・DNS照会は行わない教育用モデルなので、安心して攻撃側のトグルを倒してみてください。
