Outlook.comがDMARC未対応メールを拒否 海外エンジニアの反応
姉妹サイトの新着
Outlook.comが、DMARCを設定していないドメインからのメールをひそかに拒否し始めたことがHacker Newsで話題になった。DMARCはSPFやDKIMと組み合わせてメールの送信元を保証する仕組みで、Gmailは2024年から1日5000件以上送る送信者にこの対応を義務化している。スレでは「5年前にやっておくべきことだ、設定は10分で済む」という声と、「事前の警告なしに顧客対応で週末が潰れた」という不満が真っ向からぶつかり、Yahooも同様の運用をしているという証言も相次いだ。
Outlook.comがDMARC未対応ドメインからのメールをひそかに拒否している
出典: mailroute.net / 元記事はこちら
「怠慢」ってどういうこと？俺はこの件を客からの苦情で初めて知ったんだが。各メールサーバーが何を許可して何を拒否するか、いちいち自分でネットを巡って調べて回れっていうのか？
それを言うなら、Dvorak配列に乗り換えてない人も怠慢だよね！俺はドメイン作成やDNSSEC付きのDNSレコード、SPF・DKIM・DMARC付きのメールアカウントを自動で作るMCPサーバーまで持ってるけど、本気でスパム業者をやりたい人間にとってDMARCなんて何の障害にもならないはずだよ。
mail-testerにメールを送ってみれば、何が足りないか分かるよ。
これ、俺が人生で2回目に投稿したHacker News記事だったよ（2014年、まだhttpsすら無い時代w）。当時自分でサーバーを運用してた頃、理由不明でメールをブラックホールに送るのはoutlook.comだけだった。サポートに聞いても役に立たないし、理由も教えてくれない。結局諦めたけど、一瞬だけ最高の時代があって、家族へのメールはLANの外に出ずに済んで、添付ファイルのサイズも好きなだけ送れた。
俺のGoogle Workspaceのアカウントは影響受けたよ
Yahooは何十年も前からランダムにメールを拒否してきた実績があるよ。経験上、主要プロバイダの中でも一番ひどい部類だと思う。
顧客のためにそれを何年も前にやっておくべきだったでしょ、さすがにそれは…
負担なんて全く無いよ。一度設定すれば終わりで、15分くらいしかかからない。
俺が受け取るスパムのほとんどはGoogle、Microsoft、Amazonから来てる。この問題に対応するよう、そっちにこそ圧力をかけるべきだ。今は都合よく無視されてる。
自社のユーザーが何を送信してるかについても、ちゃんと対策すべきなんじゃないか。
残念だけど、悪用する連中はものすごく粘り強くて、チェックを増やせば攻撃の手口がより巧妙になるだけで、結局は守りたい側の不利になる。これは正規のサービスとして自分を汚さないための措置なんだよ。
それをやったら今度は検閲だって騒ぐでしょ。内容自体は基本的に何でも通して、送信元アドレスが本物であることだけを確認するっていうのは、俺には明らかに良いアプローチに見える。
DKIMとSPFが既に一致してるのに、「v=DMARC1; p=none;」が誰に対して何を証明することになるのか正直よく分からないけど、まあいいや。ただ、事前に警告くらい欲しかった！
メールって変な仕組みで、これが無いとそもそもチェック自体が一切行われないんだよ。
同意。固定の文字列をDNSレコードに追加したところで、真正性が追加で保証されるわけじゃない。空港の『セキュリティ劇場』を思い出すよ。悪者を止めるという名目で、一般人に無意味な手続きを踏ませてるだけ。
そこには『大量送信者向け』と書いてあるけど、実際には送信量に関係なく適用されてるよ。
この一社のAI生成記事以外に、それを裏付ける実際の証拠はあるの？
プロバイダがデフォルトでスパム対策を入れるのは構わないけど、ユーザー側として無効にする選択肢は欲しい。できればドメインや送信者ごとに無効化できるとなお良い。昔ながらの『連絡先に追加する』というテクニックも、もう確実には効かなくなってる。
『連絡先に追加するテクニックはもう確実には効かない』にはまさに同感。Outlookユーザーが最初に連絡してきて、それに返信する際に元のメールのmessage-IDをヘッダーにそのまま含めても、何の効果もない。馬鹿げてる。この状況は本当にひどすぎる。
他サイトの新着
いや、違う。インターネット上でメールがどう動いているかを理解した上で、他のみんなに受け入れられるように正しく設定するのが筋だよ。mail-testerにテストメールを送ってみて、10点中10点取れないなら、さっさと自分の設定を直すべき。
公平に言うと、DMARCはもうかなり長い間必須みたいなものだったよ。確かGoogleは2年ほど前に、非準拠のメールはスパム扱いか配送停止になると警告してたはず。そしてDMARC関連の騒ぎはそれより前から始まってた。
GmailがDMARCを必須にしてるのは1日5000件以上送るような送信者だけで、それ以下なら必須じゃない。そのルールが出てきたのも2024年だから、『かなり長い間必須だった』とは言えないと思う。もしかしてDKIMのことを言ってるんじゃない？それは別物だよ。
選択バイアスだよ。HELOの段階で拒否されてるスパムは、そもそも君の目には入らない。
メールはインターネットに残された、最後の自由でオープンな通信手段の一つなんだよ。営利目的やデータ収集のために管理された何かに移行するより、その自由さを守る方向で努力すべきだと思う。
まさに自由でオープンであることこそが、大手プロバイダが設定の複雑な『標準』や、小規模送信者には突破しづらい『レピュテーション』スコアを次々と生み出す理由なんだよ。
じゃあ、代わりに何に乗り換えたの？
郵便はまだ機能してるよ。
先に言っておくと、今はどの通信手段も信頼できるものじゃなくなってる。どれも企業に支配されていて、メッセージをスパム扱いにされる可能性がある。
この話題の背景と論点
DMARC（Domain-based Message Authentication, Reporting and Conformance）は送信元ドメインの偽装を防ぐため、SPFとDKIMの結果を組み合わせて検証する仕組みで、大手プロバイダは2015年前後から段階的に運用を厳格化してきた。スレで割れたのは「何年も前から分かっていた話で、対応していない方の自己責任」という立場と、「既存ユーザーには事前通知が無かった」という立場で、転送を伴うメーリングリストやGoogle Workspaceの一部アカウントが予期せず影響を受けたという証言が複数出た。誤解しやすいのは、Gmailの義務化が「全送信者対象」ではなく、2024年に導入された1日5000件超の大量送信者向けルールである点で、スレ内でもこの点を巡って訂正が入っている。背景には、スパム対策の負担を大手プロバイダ側が一方的に引き上げる一方で、メールという分散的な仕組みの自由度が徐々に失われているという懸念もある。
※本記事は海外掲示板 Hacker News のスレッド「Outlook.com Is Quietly Rejecting Email from Domains Without DMARC」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
まだコメントはありません。