WordPressからRFC準拠してないメールアドレスでも送信できるようにしたい

Question

WordPressで飲食店の公式サイトを立ち上げてあり、
その中で来店予約フォームをContact Form 7にて実現していて、
特定のパターンのdocomo.ne.jpなメールアドレスに対して送信していないことを
確認しました。

例えば
[e-mail]
[e-mail]
といったパターンです。

おそらくこれは、ドコモがRFCに準拠していないパターンのメールアドレスを
許可しているために起きている不幸なんじゃないかと思い、
じゃぁどこで拒否しているのかと解読してみたところ、
WordPressに含まれる
wp-includes/class-phpmailer.php 内の
public static function validateAddress($address, $patternselect = null)
にて9行にも及ぶ正規表現パターンを駆使したpreg_match()にて
falseが返ってくるところまで突き止めました。

        switch ($patternselect) {
            case 'pcre8':
                /**
                 * Uses the same RFC5322 regex on which FILTER_VALIDATE_EMAIL is based, but allows dotless domains.
                 * @link http://squiloople.com/2009/12/20/email-address-validation/
                 * @copyright 2009-2010 Michael Rushton
                 * Feel free to use and redistribute this code. But please keep this copyright notice.
                 */
                return (boolean)preg_match(
                    '/^(?!(?>(?1)"?(?>\[ -~]|[^"])"?(?1)){255,})(?!(?>(?1)"?(?>\[ -~]|[^"])"?(?1)){65,}@)' .
                    '((?>(?>(?>((?>(?>(?>\x0D\x0A)?[\t ])+|(?>[\t ]*\x0D\x0A)?[\t ]+)?)(((?>(?2)' .
                    '(?>[\x01-\x08\x0B\x0C\x0E-\'*-[]-\x7F]|\[\x00-\x7F]|(?3)))*(?2))))+(?2))|(?2))?)' .
                    '([!#-\'*+/-9=?^-~-]+|"(?>(?2)(?>[\x01-\x08\x0B\x0C\x0E-!#-[]-\x7F]|\[\x00-\x7F]))*' .
                    '(?2)")(?>(?1).(?1)(?4))*(?1)@(?!(?1)[a-z0-9-]{64,})(?1)(?>([a-z0-9](?>[a-z0-9-]*[a-z0-9])?)' .
                    '(?>(?1).(?!(?1)[a-z0-9-]{64,})(?1)(?5)){0,126}|[(?:(?>IPv6:(?>([a-f0-9]{1,4})(?>:(?6)){7}' .
                    '|(?!(?:.*[a-f0-9][:]]){8,})((?6)(?>:(?6)){0,6})?::(?7)?))|(?>(?>IPv6:(?>(?6)(?>:(?6)){5}:' .
                    '|(?!(?:.*[a-f0-9]:){6,})(?8)?::(?>((?6)(?>:(?6)){0,4}):)?))?(25[0-5]|2[0-4][0-9]|1[0-9]{2}' .
                    '|[1-9]?[0-9])(?>.(?9)){3}))])(?1)$/isD',
                    $address
                );
            case 'pcre':
                //An older regex that doesn't need a recent PCRE
                return (boolean)preg_match(
                    '/^(?!(?>"?(?>\[ -~]|[^"])"?){255,})(?!(?>"?(?>\[ -~]|[^"])"?){65,}@)(?>' .
                    '[!#-\'*+/-9=?^-~-]+|"(?>(?>[\x01-\x08\x0B\x0C\x0E-!#-[]-\x7F]|\[\x00-\xFF]))*")' .
                    '(?>.(?>[!#-\'*+/-9=?^-~-]+|"(?>(?>[\x01-\x08\x0B\x0C\x0E-!#-[]-\x7F]|\[\x00-\xFF]))*"))*' .
                    '@(?>(?![a-z0-9-]{64,})(?>[a-z0-9](?>[a-z0-9-]*[a-z0-9])?)(?>.(?![a-z0-9-]{64,})' .
                    '(?>[a-z0-9](?>[a-z0-9-]*[a-z0-9])?)){0,126}|[(?:(?>IPv6:(?>(?>[a-f0-9]{1,4})(?>:' .
                    '[a-f0-9]{1,4}){7}|(?!(?:.*[a-f0-9][:]]){8,})(?>[a-f0-9]{1,4}(?>:[a-f0-9]{1,4}){0,6})?' .
                    '::(?>[a-f0-9]{1,4}(?>:[a-f0-9]{1,4}){0,6})?))|(?>(?>IPv6:(?>[a-f0-9]{1,4}(?>:' .
                    '[a-f0-9]{1,4}){5}:|(?!(?:.*[a-f0-9]:){6,})(?>[a-f0-9]{1,4}(?>:[a-f0-9]{1,4}){0,4})?' .
                    '::(?>(?:[a-f0-9]{1,4}(?>:[a-f0-9]{1,4}){0,4}):)?))?(?>25[0-5]|2[0-4][0-9]|1[0-9]{2}' .
                    '|[1-9]?[0-9])(?>.(?>25[0-5]|2[0-4][0-9]|1[0-9]{2}|[1-9]?[0-9])){3}))])$/isD',
                    $address
                );

ここまで仕上がっていると、安易に正規表現に手を付けることが出来ず、
上記のようなメールアドレスを許可するように変更を加えるには
どのような変更を加えればよいでしょうか。

---

ご意見・ご指摘を頂いた件について補足させていただきます。

RFC規約違反のメールアドレスを送受信に使ってはいけない、
至極当然なご意見です。
本来遵守するべきことです。

この現象を発見したときに上司に報告したところ、
（RFC云々を知らない上司から）送信できるようにしろとの指示を受けたこともあり、
送信できるようにWordPressのソースコードをいじってでも対策しなければならないものと考えていました。

ですが、
RFC規約違反であり、送受信・中継サーバーに迷惑をかける恐れがあるとのご指摘で、
不達になりうる可能性も高いということで、
判定を甘くして送信しようとするのはやめようと思います。

Comments

[kei344]

「正規表現つくって」が質問内容でしょうか。https://teratail.com/help/question-tips#questionTips1-1

Answer 1

とりあえずメールアドレスのチェックの最小限は

https://github.com/WordPress/WordPress/blob/master/wp-includes/class-phpmailer.php#L1147

設定だけで行けるはずですが、（ソースをよんでなんで気付かないのか不思議）

まあ

Microsoft系、Google系など グローバルなサービスは一律送受信拒否してるようですがあなたの使う予定のSMTPサーバーは許可してるのでしょうか?

Comments

[退会済みユーザー]

ここが該当箇所かぁ。。。
この設定がどこでされてるか知りたいって質問だったのかも知れないですね。

[退会済みユーザー]

> ここまで仕上がっていると、安易に正規表現に手を付けることが出来ず、

なのでソース自体を改変しようとしている

[退会済みユーザー]

あの正規表現の箇所にたどり着くまでに、結構頭が茹で上がってました。
言われてみればなるほど、validateAddressを呼ぶところで第2パラメータに'noregex'を与えれば済むなんて、気づきませんでした。

Answer 2

いくらそこに手を加えて通したとしても、その先のメールサーバに拒否られるとか誤動作起こすとかなんとかなるんじゃないかと。

Comments

[退会済みユーザー]

RFC非準拠なメールアドレスを使っている人がメール不達で日常的に不自由を強いられているなら、その理屈も市民権を得ると思うのですが、不自由なく使い続けているメールアドレスなんじゃないでしょうか。
少なくともdocomo.ne.jp内では差し支えなく届くでしょうし。
案外、拒否したり誤動作する中継サーバーってほぼほぼ無いんじゃないですかね。（独断と偏見。）
であれば、うちはそういうメールアドレスでも送信しなきゃいけないんじゃないかと。
いささか乱暴ですが。

[退会済みユーザー]

gmailは送信拒否しますよ（笑）

[退会済みユーザー]

ちなみに、docomoも2009年以降新規設定はできなくなってます。

[退会済みユーザー]

OUTLOOK.COMやExchangeも送受信を拒否してるようだ

[退会済みユーザー]

ってことは、docomo アドレスとしては、もう残っていないかもしれないですね。
残ってたとしても、「まぁいつものことか」ぐらいで、ユーザビリティを損なうことはなさそう。

[退会済みユーザー]

te2ji 同僚がつかってるｗｗ

[退会済みユーザー]

同僚ｗｗｗ
その場合は、むしろ、弾いてやらないと、ユーザーエクスペリエンスとして正しくない気がします。

[退会済みユーザー]

そして SendGrid さんなにやってんのあんた
https://sendgrid.kke.co.jp/blog/?p=105
RFC規約違反のメールアドレスについても一部送信可能になりました！

Answer 3

新しいRFC案を公開して、みんなの同意を取り付けてから対応して下さい。それ以外は迷惑です。

Answer 4

この入力値確認が必要な理由は
・メールアドレスのルールに従っていないアドレスを弾くため
であり、現実的な問題としては
・宛先不明メールを大量に登録されて、ドメインがスパム判定を受けてしまう
といったところかと思います。

これはルールに従ったアドレスであっても発生しうる事項なので、相当簡易な表現に変更しても、セキュリティ精度としては変わらないです。

連続投稿や、CSRF の対策がなされているのであれば、極論「@が含まれる」ぐらいにしてしまっても良いかも。

最初に述べたセキュリティ要件以外があるか整理して、ざっくり削ってみてはいかがですか？

Comments

[退会済みユーザー]

gスイートを利用したSMTPサーバー経由で送信できるようにの依頼だったら笑えるな

[退会済みユーザー]

WordPressのプラグインであるContact Form 7上では甘い判定をしていて通ってしまって、
いざ送信する場面でphpmailerが厳格に判定して落としていて、
そのことが来店予約フォーム利用者に伝わっていないことが問題だと思うのです。

Answer 5

仕組みをいじってRFC規約違反のメールアドレス宛に送信できるように改変するのは乱暴すぎると反省し、
Contact Form 7側でメールアドレスの判定水準を引き上げられないか、
WordPressサポートフォーラムに場所を移して検討を進めたいと思います。

実装するまでの間は、フォーム上に注記を追加して、
こういうケースのメールアドレスには送信できません、
としようと思います。