🔎 DMARCの本質

DMARCはこう：

👉 どちらか一方でOK

だから設計上：

片方が失敗しても通る

これは仕様。

---

🎯 でも「改ざんされてても通る？」の意味を分解する

あなたの疑問はたぶんこれ：

d= や SPFドメインが書き換えられたら？

ここが重要。

---

🔐 ケース① DKIMの d= を改ざん

例えば攻撃者が：

に書き換えたら？

👉 署名（b=）が壊れる。

なぜなら：

• DKIM署名はヘッダも含めてハッシュしている

• d=も署名対象

だから：

---

🔐 ケース② SPFドメイン改ざん

MAIL FROMを変えたら？

→ SPFはhacker.comで判定

でも：

• hacker.comのDNSに正しいSPFがない

• 送信IPが許可されてない

→ SPF FAIL

---

🔥 本当に怖いパターンは？

実はこれ：

正規DKIMがPASSしている状態でSPFが壊れてもDMARCはPASS

例：

→ DMARC PASS

これは仕様。

---

💡 なぜこんな設計？

理由は：

メール転送

転送されると：

• SPFは壊れる（送信IP変わる）

• DKIMは壊れにくい

だから「どちらか一方でOK」になってる。

---

🚨 じゃあ本当に抜け穴ある？

理論上あり得るのは：

ドメインが乗っ取られている場合

• attackerがexample.comのDNSを支配

• DKIM秘密鍵を持っている

→ 署名作れる
→ DMARC PASS

でもこれは：

ドメインが完全に侵害されてる状態

DMARCの問題ではない。

---

🧠 重要な理解

DMARCは：

✔ なりすましを防ぐ仕組み
❌ ドメイン侵害を防ぐ仕組みではない

---

🎯 まとめ

d=やSPFドメインが改ざんされても通るパターンある？

🔹 ヘッダを書き換えただけでは通らない（署名壊れる）
🔹 片方がFAILでも、もう片方がPASSすれば通る（仕様）
🔹 秘密鍵を奪われたら通る（それは侵害状態）

---

🔥 超重要結論

DMARCは：

をしている。

でも：

はしていない。