注目★★★★★Hacker News
DMARC 14 年、68% がまだ未導入か監視状態のまま
30秒で把握
- 1DMARC 設置率 54.9% だが、実運用 (p=reject) はわずか 16.3%・最多の 42.5% が監視モードで停止中
- 2p=none 脱出の障壁は、RUA レポート受信先の分散と一回限りの送信元同定コスト・研究タスク化による優先度低下
- 3MTA-STS/BIMI 導入率 3% 未満・SPF も硬失敗率 52.4% にとどまり、メール認証全体で実装のギャップが明白
要約
DMARC は 2012 年に策定された DNS ベースのメール認証機構だが、CipherCue の追跡対象 67,336 ドメインを調査した結果、45.1% がレコード自体を設置していない。レコード設置済みの 54.9% の中でも、p=reject (送信失敗メールを破棄) で実際に運用している はわずか 29.7%、最大勢力の 42.5% は p=none (監視モードのみ) のままで放置されている。つまり全体の 68.4% が無防備か監視段階に留まっている。p=none 期間が本来は数週間の一時フェーズなのに、14 年後も "永続状態" になっているのは、RUA レポート受信先の分断と同定困難にある — 数千の一回限りのメールボックスアドレスや自社ドメイン送信元を 1 つずつ精査しないと有効化できず、その負担が導入を阻害している。
あなたへの影響
多くの日本企業も同様に p=none のままの可能性が高い。
推奨：セキュリティ責任者は社内で実際に運用中のメール送信元を特定し、RUA レポートの送信先を整理した上で、最低限 p=quarantine への移行を今年度中に評価すべき。