Microsoft 365 での電子メール認証のトラブルシューティング

ヒント

Microsoft Defender for Office 365 プラン 2 の機能を無料で試すことができることをご存知でしたか? Microsoft Defender ポータル試用版ハブで、90 日間の Defender for Office 365 試用版を使用します。 サインアップできるユーザーと試用版の条件については、「Microsoft Defender for Office 365 を試す」を参照してください。

電子メール認証と対応する DNS レコードは、スプーフィング、フィッシング、スパムから組織を保護するのに役立ちます。 電子メール認証の概要については、「 Microsoft 365 での電子メール認証」を参照してください。 認証が失敗すると、正当なメッセージを検疫、拒否、または迷惑メール フォルダーにルーティングできます。 クイック リファレンスのトラブルシューティング テーブルを使用して、一般的な症状と原因を特定し、失敗シナリオごとの詳細なガイダンスを示します。

クイック リファレンスのトラブルシューティング テーブル

次のセクションの表を使用して、症状、原因の可能性をすばやく特定し、関連する詳細なガイダンスにリンクします。

SPF エラー

Sender Policy Framework (SPF) エラーのトラブルシューティングを行うには、次の表の情報を使用します。

現象 考えられる原因 詳細なガイダンス
SPF チェックは none を返します (レコードが見つかりません) DNS の送信側ドメインに対して SPF TXT レコードは発行されません。 有効なメール ソースを識別するように SPF を設定する
SPF チェックが返される permerror SPF レコードが 10 個の DNS 参照制限を超えているか、同じドメインに対して複数の SPF レコードが存在します。 SPF の設定 - トラブルシューティング
SPF チェックが返される temperror SPF レコードのクエリ中に一時的な DNS エラーが発生しました (権限のある DNS サーバーに到達できないか、タイムアウトしました)。 SPF の設定 - トラブルシューティング
SPF チェックは、 softfail または を返します。 fail 送信 IP アドレスは、ドメインの SPF レコードには含まれません。 この結果は、新しいメール サービスまたは Microsoft 以外のリレーを追加した後に一般的です。 有効なメール ソースを識別するように SPF を設定する
SPF はパスしますが、メールは依然としてスパムとしてマークされています SPF だけでは、スプーフィングは防止されません。 DKIM と DMARC も必要です。 複合認証は引き続き失敗する可能性があります。 SPF、DKIM、DMARC の連携のしくみ
転送されたメッセージが SPF に失敗する 転送サーバーの IP が元の送信者の SPF レコードに含まれていない。 この動作は仕様です。 信頼できる ARC シーラーを構成する

DKIM エラー

DomainKeys Identified Mail (DKIM) エラーのトラブルシューティングを行うには、次の表の情報を使用します。

現象 考えられる原因 詳細なガイダンス
dkim=none (署名が見つかりません) DKIM 署名が送信ドメイン用に構成されていないか、メッセージが署名されていません。 ドメインからのメールに署名するように DKIM を設定する
dkim=fail (署名の検証に失敗しました) DNS の DKIM 公開キーが、メッセージの署名に使用される秘密キーと一致しないか、セレクター レコードがありません。 ドメインからのメールに署名するように DKIM を設定する
dkim=fail (本文ハッシュが確認されませんでした) メッセージ本文は、署名後に変更されました (メーリング リスト、トランスポート ルール、中間サービスなど)。 信頼された認証済み受信チェーン (ARC) シーラーを構成する
DKIM キーの参照がタイムアウトする DKIM TXT レコードが大きすぎるか、権限のある DNS サーバーの応答が遅く、ルックアップ タイムアウトが発生します。 ドメインからのメールに署名するように DKIM を設定する
Defender ポータルで DKIM トグルが機能しない 必要な正規名 (CNAME) レコードはドメイン レジストラーで作成されないか、DNS の伝達が完了していません。 DKIM DNS 構成のトラブルシューティング

DMARC エラー

ドメイン ベースのメッセージ認証、レポート、準拠 (DMARC) エラーのトラブルシューティングを行うには、次の表の情報を使用します。

現象 考えられる原因 詳細なガイダンス
dmarc=fail action=quarantine または dmarc=fail action=oreject SPF と DKIM が From アドレス ドメインにアラインメントで渡されませんでした。 送信者の DMARC ポリシーは、検疫または拒否を指定します。 ドメインの DMARC を設定する
dmarc=bestguesspass 送信者のドメインに対して DMARC レコードが存在しません。 Microsoft 365 はヒューリスティックを使用してパスを推論しました。 複合認証
ドメインのアライメントミスが原因で DMARC が失敗する MAIL FROM (エンベロープ送信者) ドメインは From (ヘッダー) アドレス ドメインとは異なり、SPF または DKIM は From ドメインと一致しません。 SPF、DKIM、DMARC の連携のしくみ
DMARC によって拒否された正当な転送メール 転送によって SPF アラインメントが切断され、DKIM も失敗 (本文が変更) された場合、DMARC は失敗します。 ARC シールが構成されていません。 信頼できる ARC シーラーを構成する
DMARC レポートに予期しないエラーが表示される ドメインに代わって送信する Microsoft 以外のサービスは、SPF レコードに含まれていないか、ドメインとの DKIM 署名ではありません。 SPF の設定 と DKIM の設定

複合認証エラー

複合認証 (compauth) エラーのトラブルシューティングを行うには、次の表の情報を使用します。

現象 考えられる原因 詳細なガイダンス
compauth=fail 理由あり 000 メッセージが明示的な認証に失敗しました。 DMARC チェックが失敗し、DMARC ポリシーが p=quarantine または p=reject。 Authentication-Results メッセージ ヘッダー
compauth=fail 理由あり 001 メッセージが暗黙的な認証に失敗しました。 送信側ドメインに電子メール認証レコードがないか、脆弱な障害ポリシー (~all または ?all) があります。 Authentication-Results メッセージ ヘッダー
compauth=fail 理由あり 002 送信者とドメインのペアは、組織内のスプーフィングされたメールの送信を明示的にブロックされます。 スプーフィング インテリジェンス分析
compauth=fail 理由あり 010 送信者のポリシーが拒否または検疫に設定されている DMARC に失敗し、送信側ドメインは組織の承認済みドメインの 1 つです。 フィッシング対策ポリシーのなりすまし設定

電子メール認証エラーの NDR

次の表の情報を使用して、電子メール認証エラーに関連する配信不能レポート (NDR またはバウンス メッセージとも呼ばれます) のトラブルシューティングを行います。

現象 考えられる原因 詳細なガイダンス
エラー コードを含む NDR 550 5.7.23 送信元ドメインの SPF レコードが見つからないか、正しく構成されていないので、宛先サーバーがメッセージを拒否します。 NDR エラー "550 5.7.23" を修正しました
エラー コードを含む NDR 5.7.367 Microsoft 365 からの転送またはリレーされたメッセージは、Microsoft 以外のゲートウェイを介したリレーの後に DKIM/SPF が失敗するため拒否されます。 Exchange Online でエラー コード 5.7.367 を修正する
エラー コードを含む NDR 550 5.7.1 メッセージは未承認として拒否されました。 一般的な原因としては、不完全な SPF レコード、正しくないコネクタ構成、または移行先サーバーのセキュリティ ポリシーなどがあります。 NDR エラー "550 5.7.1" を修正しました

プロトコル別の詳細なトラブルシューティング

SPF のトラブルシューティング

SPF は、MAIL FROM (エンベロープ送信者) アドレス内のドメインに代わって送信するメール サーバーが承認されていることを検証します。 次のような一般的な問題があります:

  • 同じドメインの複数の SPF レコード: ドメインまたはサブドメインごとに許可される SPF TXT レコードは 1 つだけです。 複数のレコードによって SPF permerrorが発生します。
  • 10 個の DNS 参照制限を超える: 各 include、 a、 mx、 ptr、 redirect メカニズムは DNS 参照としてカウントされます。 参照を減らすには、SPF レコードをフラット化するか、 ip4/ip6 メカニズムを使用します。
  • 承認された送信者が見つからない: 新しいメール サービス (たとえば、顧客関係管理 (CRM) プラットフォームやマーケティング ツール) を追加すると、その SPF インクルードがレコードに追加されます。
  • TTL が低すぎます: DNS 参照タイムアウトを回避するために、SPF TXT レコードの TTL を少なくとも 3600 秒 (1 時間) に設定します。

ヒント

Microsoft Remote Connectivity Analyzer を使用して、SPF レコードを検証します。

セットアップとトラブルシューティングの手順の詳細については、「 SPF を設定して Microsoft 365 ドメインの有効なメール ソースを識別する」を参照してください。

DKIM のトラブルシューティング

DKIM では、メッセージ ヘッダーの暗号化署名を使用して、メッセージが転送中に改ざんされていないことを確認します。 次のような一般的な問題があります:

  • CNAME レコードが発行されていない: Defender ポータルで DKIM を有効にした後、ドメイン レジストラーで 2 つの CNAME レコードを作成します。 一般的な間違いとプロバイダー固有の例については、「 DKIM DNS 構成のトラブルシューティング」を参照してください。
  • 変更後の本文ハッシュエラー: DKIM 署名後にメッセージ本文を変更する中間サービス (メーリング リストやトランスポート ルールなど) によって DKIM エラーが発生します。 中継局を 信頼できる ARC シーラーとして構成することを検討してください。
  • キーのローテーション: DKIM 署名キーを定期的にローテーションします。 Rotate-DkimSigningConfig で コマンドレットを使用します。

完全なセットアップ手順については、「 Microsoft 365 ドメインからメールに署名するように DKIM を設定する」を参照してください。

DMARC のトラブルシューティング

DMARC は SPF と DKIM 上に構築され、ドメインが From アドレスと一致することを確認します。 次のような一般的な問題があります:

  • ドメインのずれ: DMARC では、SPF または DKIM がパス し、 認証されたドメインが From アドレス ドメインと一致している必要があります。
  • Microsoft 以外のサービスで DMARC が失敗する: サービスを SPF レコードに追加するか、ドメインを使用して DKIM-sign にサービスを構成します (推奨)。 これらのオプションが不可能な場合は、別の DMARC レコードを使用して、そのサービスのサブドメインを使用します。
  • 転送シナリオ: 転送されたメッセージは一般的に DMARC に失敗します。転送すると SPF が破損するためです。 認証結果を保持するために、コネクタまたは信頼できる ARC シーラーの拡張フィルター処理を構成します。

完全なセットアップ手順については、「 DMARC を設定して From アドレス ドメインを検証する」を参照してください。

複合エラー シナリオ

複数の電子メール認証プロトコルが同時に失敗する場合、トラブルシューティングには体系的なアプローチが必要です。 次のシナリオを使用して、結合されたエラーを診断して解決します。

SPF と DKIM の両方が失敗する

ヘッダーの例:

Authentication-Results: spf=fail smtp.mailfrom=contoso.com;
 dkim=fail header.d=contoso.com; dmarc=fail action=quarantine;
 compauth=fail reason=000

分析: SPF 認証と DKIM 認証の両方が失敗したので、DMARC は合格できません (DMARC には少なくとも 1 つのアラインパスが必要です)。 メッセージは検疫または拒否される可能性があります。

トラブルシューティングの手順:

  1. メッセージ ヘッダー内の送信 IP アドレスを特定するか、Get-MessageTraceを使用して識別します。
  2. 送信 IP がドメインの SPF レコードに含まれていることを確認します。
  3. DKIM 署名が有効になっていて、DKIM DNS CNAME レコードが存在することを確認します。
  4. メール ゲートウェイがメッセージを変更しているか (DKIM を中断する) か、SPF レコードに含まれていない IP から送信しているかを確認します。

優先度の修正:

  1. SPF を最初に修正します (DNS の変更のみ、最速の修正)。 「SPF を設定する」を参照してください。
  2. DKIM 秒を修正します (Microsoft 365 と DNS の変更が必要な場合があります)。 「 DKIM を設定する」を参照してください。
  3. DMARC の配置を確認します。 「DMARC のセットアップ」を参照してください。
  4. ゲートウェイが関係している場合は、 ARC を実装します。

SPF がパスするが、DMARC がアライメントのために失敗する

ヘッダーの例:

Authentication-Results: spf=pass smtp.mailfrom=service.contoso.com;
 dkim=fail header.d=contoso.com;
 dmarc=fail (SPF not aligned);
 compauth=fail reason=001

分析: SPF はパスしますが、SPF ドメインは From アドレス ドメインと一致しません。 DKIM も失敗します。 DMARC には少なくとも 1 つのアラインパスが必要であるため、失敗します。

一般的な原因: エンベロープ送信者ドメインが From アドレス ドメインと異なる転送またはリレー シナリオ。

修正: From アドレス ドメインに対して DKIM 署名 を有効にします。 DKIM アライメントは、DMARC で必要なアラインパスを提供します。

Exchange Online PowerShell に接続 し、次のコマンドを実行します。

Set-DkimSigningConfig -Identity contoso.com -Enabled $true

ゲートウェイまたはリレーによるメッセージの変更

ヘッダーの例:

Authentication-Results: spf=pass smtp.mailfrom=gateway.fabrikam.com;
 dkim=fail (body hash did not verify) header.d=contoso.com;
 dmarc=fail (no aligned pass)

分析: メッセージ本文を変更したゲートウェイまたはセキュリティ サービスを介して渡されたメッセージ (免責事項やスキャン通知を追加するなど)。 この変更により、DKIM 署名が無効にされました。 SPF はゲートウェイ ドメインに渡されますが、From ドメインと一致しません。

オプションを (優先順位で) 修正します。

  1. ゲートウェイで ARC を構成する (推奨): ARC はメッセージの変更によって認証結果を保持します。 「信頼できる ARC シーラーを構成する」を参照してください。
  2. 変更後にゲートウェイを DKIM-sign に構成する: ゲートウェイは、コンテンツの変更後にドメインに独自の有効な DKIM 署名を追加します。
  3. [コネクタの拡張フィルター処理] にゲートウェイを追加する: 認証評価のために元の送信 IP を保持します。 「コネクタの拡張フィルター処理」を参照してください。

転送によって認証が中断される

ヘッダーの例:

Authentication-Results: spf=fail (sender IP is 10.0.1.x)
 smtp.mailfrom=woodgrovebank.com;
 dkim=pass header.d=woodgrovebank.com;
 dmarc=fail (SPF failed, DKIM not aligned)

分析: 転送サーバーの IP が元の送信者の SPF レコードにないため、転送されたメッセージが SPF に失敗します。 メッセージが変更されていない場合は DKIM が渡される可能性がありますが、From ドメインとのアライメントは失敗する可能性があります。

修正: 信頼できる ARC シーラーを構成します。 Microsoft 365 は、主要なプロバイダー (Google や Yahoo など) から ARC シールを既に信頼しています。 ARC の配置後も認証が失敗する場合は、フィッシング対策ポリシーの設定を確認してください。

一般的な現実世界のシナリオ

Outlook で の代理送信

ユーザーに表示される内容:

From: user@contoso.com on behalf of user@contoso.com

根本原因: SPF レコードで送信 IP が承認されていないため、SPF softfailまたはfail。

修正: 送信 IP またはサービス インクルードを SPF レコードに追加します。

v=spf1 ip4:<sending-IP> include:spf.protection.outlook.com ~all

マーケティング自動化が DMARC に失敗する

ヘッダーの例:

Authentication-Results: spf=pass smtp.mailfrom=northwindtraders.com;
 dkim=pass header.d=northwindtraders.com;
 dmarc=fail (no aligned pass) header.from=contoso.com

根本原因: マーケティング サービス (Marketo や HubSpot など) は、独自のインフラストラクチャから送信します。 SPF と DKIM はどちらもサービス ドメインに渡されますが、どちらも From アドレス ドメイン (contoso.com) と一致しません。

修正オプション:

  1. ドメインを使用して DKIM-sign にサービスを構成します (推奨)。
  2. サービスの SPF インクルードをドメインの SPF レコードに追加します (アライメントされた SPF パスを提供します)。
  3. マーケティング メールにサブドメインを使用 します (たとえば、 marketing.contoso.com)。
    • サービスでサブドメインの SPF と DKIM を構成します。
    • DMARC レコードにリラックスしたアラインメントを設定する: aspf=r; adkim=r。
    • DMARC にサブドメイン ポリシーを追加する: v=DMARC1; p=quarantine; sp=none; rua=mailto:dmarc@contoso.com。

クラウド 電子メール セキュリティ ゲートウェイが認証を中断する

ヘッダーの例:

Authentication-Results: spf=pass smtp.mailfrom=tailspintoys.com;
 dkim=fail (body hash did not verify) header.d=contoso.com;
 dmarc=fail

根本原因: Microsoft 以外のメール セキュリティ サービス (Proofpoint や Mimecast など) によってメッセージが変更され、DKIM が破損します。 ゲートウェイの SPF は独自のドメインに渡されますが、From ドメインと一致しません。

オプションを (優先順位で) 修正します。

  1. ARC 用のゲートウェイを構成します (推奨されます。ゲートウェイのサポートが必要です)。
  2. 認証評価でゲートウェイの IP をスキップするようにコネクタの拡張フィルター処理を構成します。 「コネクタの拡張フィルター処理」を参照してください。
  3. 処理後に DKIM を保持または再署名するようにゲートウェイを構成します。

有効な認証にもかかわらず検疫されたパートナー ドメインの電子メール

ヘッダーの例:

Authentication-Results: spf=pass smtp.mailfrom=wingtiptoys.com;
 dkim=pass header.d=wingtiptoys.com;
 dmarc=pass header.from=wingtiptoys.com;
 compauth=fail reason=001

根本原因: すべての標準認証に合格しますが、Microsoft の 複合認証 は失敗します。 スプーフィング インテリジェンス は、テナント間の信頼の問題のためにパートナー ドメインにフラグを付ける可能性があります。

修正: テナント許可/ブロック リストを使用して、パートナー ドメインをスプーフィング許可リストに追加します。 Exchange Online PowerShell に接続 し、次のコマンドを実行します。

New-TenantAllowBlockListSpoofItems -SpoofedUser "*@wingtiptoys.com" -SendingInfrastructure wingtiptoys.com -SpoofType External -Action Allow

デシジョン マトリックス

次の表を使用して、認証状態に基づいて必要なアクションをすばやく特定します。

認証の状態 SPF DKIM DMARC 必要なアクション
すべてのパス pass pass pass アクションは必要ありません。
SPF のみが失敗する fail pass pass SPF レコードを修正します。 送信 IP を追加するか、インクルードします。
DKIM のみが失敗する pass fail pass DKIM を有効にし、DNS レコードを追加します。
DMARC が失敗する (アラインメント) pass pass fail ドメインの配置を修正します (SPF または DKIM ドメインは From domain と一致する必要があります)。
SPF + DKIM が失敗する fail fail fail SPF と DKIM の両方を緊急に修正します。
認証なし none none none 3 つのプロトコルをすべて設定します。
ゲートウェイの問題 可変 fail fail ARC を実装するか、ゲートウェイ構成を修正します。

診断ツール

電子メール認証の問題を診断するには、次のツールを使用します。

ツール 用途
メッセージ ヘッダー アナライザー メッセージ ヘッダー (SPF、DKIM、DMARC、複合認証) からの認証結果を解析します。 https://mha.azurewebsites.net/で利用できます。
Microsoft リモート接続アナライザー ドメインの SPF、DKIM、DMARC 構成をテストします。 https://testconnectivity.microsoft.comで利用できます。
メッセージの追跡 メッセージ配信を追跡し、Exchange 管理センター (EAC) で認証結果を表示します。 詳細については、「 モダン EAC のメッセージ トレース」を参照してください。
スプーフィング インテリジェンス分析 ドメインのなりすましを行っている送信者を表示し、許可またはブロックします。 詳細については、「 スプーフィング インテリジェンスの分析情報」を参照してください。

認証結果をメッセージ ヘッダーで読み取る

認証エラーを診断するには、影響を受けるメッセージの Authentication-Results ヘッダーを調べます。 すべてのフィールドと理由コードの詳細については、「 Authentication-Results メッセージ ヘッダー」を参照してください。

ヘッダーの例

Authentication-Results: spf=fail (sender IP is 192.168.50.50)
 smtp.mailfrom=contoso.com; dkim=pass (signature was verified)
 header.d=contoso.com; dmarc=fail action=quarantine
 header.from=contoso.com; compauth=fail reason=000

キー フィールド

フィールド 使用可能な値 意味
spf pass､fail、softfail、neutral、none、temperror、permerror 送信 IP に対して SPF 検証が渡されたかどうか。
dkim pass、fail、none DKIM 署名の検証に成功したかどうか。
dmarc pass、fail、bestguesspass、none DMARC 検証に合格したかどうか (SPF または DKIM がアラインメントで渡される必要があります)。
compauth pass、fail、softpass、none メッセージが Microsoft の複合認証チェックに合格したかどうか (SPF、DKIM、およびその他の信号を組み合わせたもの)。
reason 000、 001、 002、 010など。 複合認証結果の理由コード。

関連コンテンツ

  • Last updated on