DMARCは何故送信側がポリシを設定するのか？

Question

安全確保支援士試験に向けて勉強しています。

メールの認証方式に関連したDMARCについて、
仕組みについて理解はできるのですが、なぜ受信者側ではなく送信者側でポリシを表明するのでしょうか？

なりすまされた側が「それはウチから送ったメールではないので〜してください」と言うのを決定するよりも、
メールを受信した側が「送られてきたメールはなりすましメールだから〜しよう」と決定するほうが自然だと思ったので納得できずにいます。

下記、私が参考にしているテキストによるDMARCの説明文です。
DMARC：SPFやDKIMを用いた場合に、メール受信側が認証に失敗したメールをどのように取り扱うかを送信側がポリシとして表明すること

Answer 1

メールを受信した側が「送られてきたメールはなりすましメールだから〜しよう」と決定するほうが自然だと思ったので

これでは受信側が好きに設定できるので、わざわざ技術として取り入れるまでもないことです。実際に「迷惑メールとしての区分」など、受信側で勝手に行っています。

Comments

[maisumakun]

主語を「なりすまされたメール」ではなく「正しく発信したメール」として考えてください。

「きちんと発信したメールを、『送信側が』正しいものだと保証する」のがDMARCです。受信側でこの意味合いのあることをできないのは明らかかと思います。

[odds0128]

なるほど、そもそもDMARCの目的というか存在意義を勘違いしていました。
なりすましを検知・対処するためのものではなく、「正しくうちから送ったものですよ」を保証するためのもので、
認証に失敗したメールに関するポリシはあくまで付随的なものなのですね。
ありがとうございます。

知的好奇心からもう一点教えていただけると嬉しいのですが、
ポリシの一つ、Noneはどういう意味になるでしょうか？
「DMARC認証に失敗した（=正当なメールではない）メールをそれでも受信者に配信する」という風に見えて
「何故弾かないのだろう」と思っています。
「受信者側でやっているだろうから取り扱いはそっちに任せるよ」ということなのでしょうか？

[maisumakun]

> 「DMARC認証に失敗した（=正当なメールではない）メールをそれでも受信者に配信する」という風に見えて
「何故弾かないのだろう」と思っています。

DMARC導入時のテスト用です。

[odds0128]

なるほど、そんな単純な理由だったのですね笑
ありがとうございます！