未使用ドメインでのメールなりすましを防ぐには?

未使用のドメインにメールのレコードが必要なのはなぜですか?

誰でもあなたのドメインをメールの From 行に書くことができ、レコードのないドメインは、受信側が確認する材料を何も与えないからです。ブランドのタイプミスのような防御用ドメインは、この点で狙われやすくなります。フィッシング犯は、そのバリアントから送られたように見えるメールや、サポートのアドレスに似せた名前のメールを送ります。ポリシーが見つからない受信システムには、それを拒否する根拠がありません。

2 つのレコードで、そのすき間のほとんどをふさげます。SPF はドメインに代わって送信できるサーバーを列挙するもので、サーバーを 1 つも含めずハードフェイルとする SPF レコードは、すべての送信者を拒否します。DMARC は、SPF や DKIM のチェックに失敗したメールをどう扱うかを受信側に伝えるもので、p=reject は拒否を求めます。3 つ目のレコードである null MX は、そのドメインにメールサーバーがないことを送信側に伝えるため、メッセージは何日も再試行されることなく、すぐに失敗します。

Wardmint の防御用拡張子のリストは、暗号資産プロジェクトが登録すべきドメインにあります。それらを保有したら、この 3 つのレコードを最初に追加してください。

null MX レコード(RFC 7505)は何をしますか?

null MX は、プリファレンス 0 でターゲットがルートのドット 1 つの MX レコードで、そのドメインがメールを受け付けないことを意味します。定義は RFC 7505 です。exchange は長さゼロのラベルで、ゾーンファイルではドットとして書かれます。ドットは有効なホスト名ではないため、実際のメールサーバーと間違えられることはありません。

2 つの規則があります。null MX を公開するドメインは、ほかの MX レコードを公開してはなりません。また、null MX になるのは、プリファレンス 0、ターゲットがドットという、まさにこの形のときだけです。これを見た送信側は永続的なエラーですぐに失敗し、メールのループを止め、あなたのドメインを打ち間違えた誠実な送信者の再試行キューも節約できます。

これがない場合、MX が見つからない送信側は、ドメインの A レコードにフォールバックして、そこへの配信を試みるため、遅く、結果もわかりにくくなります。null MX は、その推測の余地をなくします。

SPF の v=spf1 -all は何を意味しますか?

どの送信者も認めない TXT レコードで、マイナス記号によってすべてのチェックが失敗になります。定義は RFC 7208 です。v=spf1 はバージョンタグ、-all は単一のディレクティブで、all メカニズムは常に一致し、マイナスの修飾子は fail を返します。合わせて、その名前でメールを送信できるホストはないと宣言します。

RFC 7208 は、アドレスに使われず、メール送信も想定されない名前に、この方法を勧めています。防御用ドメインの頂点ごとに公開してください。SPF は、エンベロープ送信者または HELO 名のドメインについて確認されるため、なりすまし犯は、あなたが設定していないサブドメインを使うこともあります。独自のレコードを持たない、ドメイン配下の名前に適用されるワイルドカードの TXT レコードで、それらをカバーできます。

example.com.          3600  IN  MX   0 .
example.com.          3600  IN  TXT  "v=spf1 -all"
_dmarc.example.com.   3600  IN  TXT  "v=DMARC1; p=reject; adkim=s; aspf=s"

DMARC の p=reject は何を加えますか?

DMARC は、ポリシーとレポートを加えるものです。失敗したメールを拒否するよう受信側に伝え、誰が試みているかを見られるようにします。RFC 7489 は、ポリシーをドメインの _dmarc という名前の TXT レコードとして置くと定めています。v タグは先頭に置き、DMARC1 とします。p はポリシーを none、quarantine、reject のいずれかに設定します。sp タグはサブドメインのポリシーを設定し、ない場合は p がサブドメインにも適用されます。adkim と aspf タグは厳格または緩やかなアライメントを設定し、rua は集計レポートの送付先アドレスを指定します。

RFC は p=reject の強さについて慎重です。所有者は受信側に拒否を求めるもので、受信側はベストエフォートで対応することが期待されますが、厳密に義務づけられているわけではありません。大手のメールボックスプロバイダは実際にはこれに従っており、だからこそ、このレコードは公開する価値があります。

試みを確認するには、たとえば rua=mailto:[email protected] のように、自分が読めるメールボックスのレポート送付先アドレスを追加します。防御用ドメインが複数あるプロジェクトでも、そのすべてに共通のレポート用メールボックス 1 つで足ります。メールを実際に送るドメイン(たとえばメインのドメイン)は、実際の送信元に合ったポリシーにとどめ、reject に移す前に集計レポートを読んでください。

防御用セットを守るのにいくらかかりますか?

Wardmint では三つのレコードに追加費用はかかりません。費用はドメインそのものです。 Wardmint は 「メールなし」DNS テンプレート(null MX、SPF -all、DMARC p=reject)により、防御的ドメインでメールを偽装されることを防止。すべてのバリエーションをメインサイトへ転送する無料の URL フォワーディング。残高からの自動更新で、どのバリエーションも失効しません を提供しています。

Wardmint の 2026-11-12 の調査によると、同社のフィッシング用セットに含まれる九つの拡張子（.xyz、.pro、.info、.shop、.online、.icu、.click、.live、.support）は、合計で年間 $212.41、三年で $637.23 かかり、それぞれにメールなしテンプレートを適用できます。コアセット .com, .net, .org, .io, .xyz, .app の年額は $128.94 です。セットは提案であり、バンドルではありません。名前は一括検索でカートに入れられ、一度に最大 50 件です。

Web トラフィックをリダイレクトしない防御的ドメインすべてにテンプレートを適用し、リダイレクトするものには URL 転送 と組み合わせてください。名前の選び方は ブランド向けの防御的ドメイン一覧の作り方 にあります。