.emlファイルを解析し、ヘッダー、Receivedチェーン、リンク、添付ファイルのハッシュ、送信者の不一致を表示します。
新着
メール認証チェッカー
通信: DoH新着
ツール自体は英語ですが、このページではお客様の言語でその使い方を説明しています。
メール認証チェッカー を使用してください
機能の説明
ドメインを入力すると、なりすましに対する保護の状態を確認できます。ルックアップ回数付きのSPFのincludeツリー、DMARCポリシー、DKIM鍵のサイズ、MTA-STS、TLS-RPT、BIMI、MXです。
検索したDNS名は、PhishDestroyのDNSリレー（/api/dns-resolve.php）に送信され、そこでCloudflareまたはGoogle DNSに対してHTTPS経由で問い合わせが行われます。
メール認証チェッカー の使い方
- ドメインを入力する. ドメイン、メールアドレス、URLのいずれかを入力します。ツールはドメインだけを残し、URLの先頭のwww.を除き、_dmarcなどのプレフィックスを取り除きます。
- DKIMセレクターを追加する. そのドメインからのメッセージがあれば、DKIM-Signatureヘッダーのs=の値をセレクター欄にコピーします。最大10件まで確認されます。
- チェックを実行する. Checkを押すか、Try common DKIM selectors（一般的なDKIMセレクターを試す）を押して、よく使われる15個の名前を試します。カウンターには使用したDNSクエリの数が表示されます。
- Summaryの表を読む. 各レコードにpass、warn、fail、info、errorのいずれかと1行の所見が付きます。下のセクションには、生のレコードとSPFのincludeツリーが表示されます。
- 結果を活用する. SPFと強制力のあるDMARCポリシーがないドメインは、簡単になりすましに使われます。そのドメインから来たと称するメッセージを判断するときは、このことを念頭に置いてください。
例
メールを送信しないドメイン
example.comChecked example[.]com · 6 DNS queries through the relay (Cloudflare)
Summary
RECORD STATUS FINDING
SPF pass "v=spf1 -all": no server may send mail as example[.]com, so any message from it is forged
DMARC warn p=reject, sp=reject
DKIM info Not checked: DKIM keys can only be found by selector (see the DKIM-Signature s= of a message)
MTA-STS info No MTA-STS record (optional): senders may deliver over unencrypted or unverified TLS
TLS-RPT info No TLS-RPT record (optional): no reports about TLS delivery failures
BIMI info No BIMI record (optional). DMARC is at enforcement
MX info Null MX "0 .": the domain accepts no mail (RFC 7505)
SPF
DNS-QUERYING TERMS
0 of 10
VOID LOOKUPS
0 of 2
UNLISTED SENDERS GET
fail (-all)
v=spf1 -all
Include and redirect tree (lookups are numbered in evaluation order; include, a, mx, ptr, exists and redirect count, RFC 7208 §4.6.4)
example[.]com · 0 lookups here, 0 in this branch
fail -all
DMARC
Found at _dmarc.example[.]com
v=DMARC1;p=reject;sp=reject;adkim=s;aspf=s
warn no rua: the owner receives no aggregate reports
TAG VALUE MEANING
v DMARC1 version
p reject policy for the domain itself — reject: failing mail is refused
sp reject policy for subdomains (default: p) — reject: failing mail is refused
adkim s DKIM alignment: r = same organization, s = exact domain (default r)
aspf s SPF alignment: r = same organization, s = exact domain (default r)
DKIM
DNS cannot list DKIM keys: each one sits under a selector chosen by the sender (selector._domainkey.example[.]com). Enter the s= value from a message's DKIM-Signature header, or press “Try common
…SPF v=spf1 -all、DMARC p=reject、および空のMXレコード (0 .)：このドメインは、メールの送受信を行わないと宣言しているため、このドメインからのメッセージはすべて偽造されたものとみなされます。 DMARCが「warn」とマークされているのは、レコードにrua=アドレスが含まれていないためであり、そのため所有者は集計レポートを受け取りません。ただし、ポリシー自体（p=reject、sp=reject）は完全に適用されています。
チェック対象
| シグナル | その意味 |
|---|---|
| SPFレコード | レコードがない場合はfailです。+allはすべてのサーバーを合格させ、?allやallなしでは保護になりません。想定されるのは-allまたは~allです。 |
| SPFのルックアップ数とvoid数 | include、a、mx、ptr、exists、redirectはそれぞれ1回のDNSルックアップを消費します。ルックアップが10回を超えるか、何も返さないルックアップが2回を超えると、SPFはpermerrorで機能しなくなります。 |
| DMARCポリシー | p=noneは監視のみ、quarantineは認証に失敗したメールを迷惑メールに振り分け、rejectは受信を拒否します。pctが100未満、sp=none、ruaアドレスがない場合にも警告が表示されます。 |
| 継承されたDMARC | サブドメインにレコードがない場合は、組織ドメインのレコードが読み取られ、継承されたものとして表示されます。 |
| DKIM鍵 | セレクターごとに種類とサイズが表示されます。1024ビット未満のRSAはfail、2048ビット未満は警告で、p=が空の場合は鍵が失効していることを意味します。 |
| MTA-STSとTLS-RPT | 送信者に検証済みのTLSを使い、失敗を報告するよう求める任意のレコードです。ない場合は注記が表示されるだけで、エラーにはなりません。 |
| BIMI | ブランドロゴ用の任意のレコードです。DMARCがquarantineまたはrejectで、pct=100の場合にのみ意味を持ちます。 |
| MX | メールサーバーの一覧です。null MX（0 .）はそのドメインがメールを受け付けないことを、NXDOMAINはドメインが存在しないことを意味します。 |
その他の例
ドメインではなくURLを入力
https://www.example.net/loginwww.example.netをexample.netとして確認するという注記が表示され、続いて6件のDNSクエリが実行されます。結果は、"v=spf1 -all"に対するSPF pass、ruaアドレスのないp=reject, sp=rejectに対するDMARC warn、DKIMは未確認、MTA-STS、TLS-RPT、BIMIのレコードはなし、そしてnull MXです。
存在しないドメイン
nothing.exampleSPF fail（SPFレコードなし）、DMARC fail（DMARCレコードなし）、MX failとなります。nothing.exampleが存在しない（NXDOMAIN）ためです。BIMIの行には、DMARCが強制の段階にないことが注記されます。
DKIMレコードの名前
google._domainkey.example.orgセレクターgoogleがセレクター欄に入り、example.orgが確認されます。鍵のレコードのp=が空のため、DKIMの行には"google: revoked"と表示されます。
よくある質問
Email Authentication Checkerは何を調べますか？
SPFレコードと、そこから取り込まれるすべてのincludeとredirectを調べ、DNSに問い合わせる項目を上限10回、void lookupを上限2回（RFC 7208）と照らして数えます。また、DMARCレコード（なければ組織ドメインのものを参照）、指定したセレクターのDKIM鍵、MTA-STS、TLS-RPT、BIMI、MXレコードも読み取ります。
このチェッカーで確認できないことは何ですか？
DNSではDKIM鍵を一覧表示できません。鍵はそれぞれ送信者が選んだセレクターの下にあるため、メッセージのDKIM-Signatureヘッダーにあるs=の値を入力するか、一般的なセレクターを試してください。見つからなくても何も証明されません。MTA-STSのポリシーファイルとBIMIのロゴはダウンロードされず、送信者に依存するSPFマクロは展開されません。
ネットワーク経由で何が送信されますか？
入力したドメインから作られたDNS名（_dmarc.example.comなど）だけがPhishDestroyのDNSリレーに送られ、リレーがCloudflareまたはGoogleにDNS over HTTPSで問い合わせます。1回のチェックで約5〜25件のクエリを使います。リレーは1分あたり60件まで受け付けます。
結果が良好なら、このドメインからのメールは本物ですか？
いいえ。チェッカーが読むのはドメインが公開しているポリシーであり、特定のメッセージではありません。あるメールがSPF、DKIM、DMARCに合格したかどうかを確認するには、そのソースをEML Analyzerで開いてください。
p=rejectなのにDMARCがwarnになるのはなぜですか？
警告は、対象範囲やレポートを弱める設定についても表示されます。集計レポート用のruaアドレスがない、pctが100未満、サブドメインについてsp=none、などです。rejectポリシー自体は引き続き適用されます。
void lookupとは何ですか？
SPFの評価中に行われるDNSクエリのうち、使えるレコードを返さないものです。たとえば、名前にアドレスやメールサーバーがないa:やmx:の項目です。SPFでは2回まで許容され、3回目でpermerrorとなり失敗します。