メール基盤 パラメータシート（メール・グループウェア）

Microsoft 365 シートはテナント側（条件付きアクセス・外部共有）で、メールの基礎には触れていません。こちらは★ドメインとしてのメール基盤（送信ドメイン認証・経路・受信の保護）で、★サービスに依存しない書き方にしています。クラウドでもオンプレでも踏む失敗は同じだからです。★核は3枚です。（1）送信ドメイン認証設計 … ★SPF は1つのドメインに1レコードしか置けません。複数あると評価が失敗して全部が通らなくなります。サービスの案内どおりに「TXTレコードを追加」してしまい、2つ目ができる事故が多い項目です。★DNSを引く回数にも上限（10）があり、include を重ねると超えて失敗します。空振りする参照にも上限（2）があります。そして★DMARC は「SPFが通っている」だけでは成立しません（ドメインが揃っている必要があります）。（2）経路と送信元設計 … ★抜けるのは人が読むメールではありません。業務システムの通知・監視の通知・複合機からの送信・外部サービスです。★届かないことに、障害のときまで気づけません。（3）受信と保護設計 … ★外から来た自ドメインの差出人を止めます。最も使われる手口です。★SPFの規格値は RFC 7208 で裏を取っています。

★SPFは既存のレコードに include を足してください。サービスの案内どおりに「TXTレコードを追加」すると2つ目ができ、評価が失敗して全部が通らなくなります。★include を足すたびに参照回数（上限10）を検証ツールで確認してください。1つ足しただけで超えることがあります。★解約したサービスの include を消してください。空振りの参照（上限2）に当たります。★終端はいきなり厳しくせず、緩い状態から報告を見て上げてください。★DMARCの段階（監視→隔離→拒否）を上げる前に、必ず報告先を設定して読んでください。読まずに上げると正規のメールが落ち始めます。★DKIMの鍵は新しいセレクタを足してから切り替えてください。上書きすると送信中のメールが落ちます。★送信元の一覧を作って維持してください。業務システムの通知・監視の通知・複合機・外部サービスが最も抜けます。★送信元を増やすときはSPFに足してから送信を始めてください。★外から来た自ドメインの差出人を止め、実際に外から送って止まることを確かめてください。★隔離を見る人と頻度を決めてください。決めないと業務のメールが誰にも気づかれずに消えます。★「届いていない」の問い合わせ窓口を決めて周知してください。パスワード・接続情報は書かず「別紙参照」としてください。