【本文】

□ 問題

迷惑メール対策をする際には、SPF、DKIM、DMARC を設定することになるでしょう。メールサービスを使用していたら、充実したマニュアルがありますし、DNS に TXT レコードを追加するだけなので超簡単です。

簡単なのですが...policy_evaluatedの SPF が全部 fail する...auth_resultsは通るのに...！
認証が fail してるのに迷惑メール対策は大丈夫なのか...！？

dmarc_report_dummy.xml

...
<policy_published>
    <domain>example.com</domain>
    <adkim>r</adkim>
    <aspf>r</aspf>
    <p>none</p>
    <sp>none</sp>
    <pct>100</pct>
</policy_published>
<record>
    <row>
        <source_ip>127.0.0.1</source_ip>
        <count>1</count>
        <policy_evaluated>
            <disposition>none</disposition>
            <dkim>pass</dkim>
            <spf>fail</spf>
        </policy_evaluated>
    </row>
    <identifiers>
        <header_from>example.com</header_from>
    </identifiers>
    <auth_results>
        <dkim>
            <domain>example.com</domain>
            <result>pass</result>
            <selector>example_202003</selector>
        </dkim>
        <spf>
            <domain>mail-service.com</domain>
            <result>pass</result>
        </spf>
    </auth_results>
</record>
...

□ 結論

結論として問題ありませんでした。
auth_resultsで SPF と DKIM が pass して、DMARC レポートが届くなら、送信ドメイン認証を利用した迷惑メール対策の第一歩を踏み出しています。

SPF による送信ドメイン認証と、SPF alignment は別の概念であり、認証時に確認するドメインが異なるのが原因です。SPF による送信ドメイン認証は一般的に言われる SPF レコード設定による迷惑メール対策であり、SPF alignment は DMARC 認証する手段の一つと理解しました。

Amazon-SES 等のメールサービスを利用していると頻繁に見かける現象みたいですね。
ザックリまとめるとこんな感じ。

タグ	説明
policy_evaluated	・DMARC 認証の結果であり、SPF 又は DKIM の認証が通ると認証成功となる。・Header From ドメインと、SPF と DKIM で利用したドメインの関係性を検証する。
auth_results	・SPF と DKIM の認証結果である。・SPF は Envelope From ドメイン(mail-service.com)、 DKIMは Header From ドメイン(example.com)を元に認証する。

policy_evaluatedの SPF alignment を pass するには、 Envelope From ドメインを自分のサービスのドメインに書き換える必要があります。しかし、メールサービス側のサポート内容にもよりますので、必ず解決できる問題ではないようです。まあ、DKIM で DMARC 認証が通るので問題ないでしょう。

DMARCの <policy_evaluated> で SPFのalignmentがfailする問題

【本文】

□ 問題

□ 結論

【おまけ: はじめて迷惑メール対策する人のURL集】

□ 迷惑メール対策の資料集

□ DNS へのレコード設定確認