Gmail のセキュリティを強化するには、ご利用のドメインに対して MTA Strict Transport Security（MTA-STS）を有効にします。MTA-STS を使用すると、ドメイン宛てに送信されたメールに対する認証チェックや暗号化が必須になり、Gmail のセキュリティが強化されます。Transport Layer Security（TLS）レポートでは、ドメインへの外部サーバー接続に関する情報を把握できます。
Gmail はすべてのメール プロバイダと同様に、SMTP を使用してメッセージの送受信を行いますが、SMTP 単独ではセキュリティが確保されず、多くの SMTP サーバーには悪意のある攻撃を防ぐためのセキュリティ対策が施されていません。
たとえば、SMTP は中間者攻撃に対して脆弱です。中間者攻撃とは、2 つのサーバー間で検出されずに通信が傍受、改ざんされる可能性がある攻撃です。MTA-STS を使用してメールサーバー接続を保護すると、このような攻撃を防ぐことができます。
詳しくは、MTA-STS（RFC 8461）と TLS レポート（RFC 8460）についてのページをご覧ください（英語）。
Google では、DKIM、SPF、DMARC など、アカウントのメール認証方法を追加で設定することをおすすめします。推奨されるメール認証方法の詳細
MTA-STS のメール セキュリティ
送信サーバーが MTA-STS をサポートし、受信サーバーの MTA-STS ポリシーが自動適用モードになっている場合、メールの SMTP 接続の安全性が向上します。
メールの受信: ドメインで MTA-STS を有効にすると、SMTP 接続が次の両方の条件を満たす場合にのみ、外部メールサーバーからドメインにメッセージを送信するようリクエストします。
- 有効な公開証明書で認証されている
- TLS 1.2 以降で暗号化されている
MTA-STS をサポートするメールサーバーは、認証と暗号化の両方を備えた接続を介してのみ、ドメインにメールを送信します。
メールの送信: ドメインから送信された Gmail メッセージは、MTA-STS ポリシーが自動適用モードの外部サーバーに送信される際に MTA-STS に準拠します。
TLS レポート
TLS レポートを有効にすると、ドメインに接続する外部メールサーバーから毎日レポートが送信されます。レポートには、外部サーバーがドメインにメールを送信する際に検出した接続の問題に関する情報が含まれます。メールサーバーのセキュリティの問題を特定、修正するには、レポートのデータが役立ちます。
MTA-STS と TLS レポートの設定手順
- ドメインの MTA-STS 設定を確認します。
- MTA-STS ポリシーを作成します。
- MTA-STS ポリシーを公開します。
- DNS TXT レコードを追加して MTA-STS と TLS レポートを有効にします。
MTA-STS と TLS レポートの詳細
MTA-STS によってメール セキュリティが強化される仕組み
SMTP のセキュリティについては取り決めがなく、インターネット標準では、SMTP はプレーン テキスト接続を許可することが求められています。SMTP を単独で使用する場合は、ベスト エフォート型のメール配信がサポートされ、メール配信や最低限のサービス品質の保証はありません。SMTP は TLS をサポートしていますが、多くの SMTP サーバーは TLS を使用しておらず、安全ではありません。
SMTP サーバーに関する一般的なセキュリティの問題としては次のようなものがあります。
- TLS 証明書の有効期限が切れている
- 証明書がサーバー ドメイン名と一致しない
- 証明書の発行元が、信頼できる第三者機関ではない
- セキュアなプロトコルをサポートしていない
セキュリティが欠如しているということは、SMTP 接続が中間者攻撃やその他の悪意のある攻撃を受けるリスクがあることを意味します。ほとんどのメール プロバイダは、TLS を使用する SMTP 接続を介してメールを送信しようと試みます。しかし、TLS 接続が確立できなくてもメールは送信されます。
MTA-STS を有効にすると、次の条件に当てはまらない場合はメールを送信しないよう送信側のサーバーに通知されます。
- 送信サーバーが MTA-STS をサポートしていること
- 受信サーバーの MTA-STS ポリシーが自動適用モードで公開されていること。
関連情報
- 特定のドメインまたはメールアドレスとメールをやりとりする場合に、プロトコルで保護された接続を必須にするよう TLS を設定する方法をご覧ください。
- SMTP の詳細については、RFC 3207 をご覧ください。
TLS レポートを使用するメリット
TLS レポートを有効にすると、外部メールサーバーからドメインのメールサーバーとの接続に関するレポートが毎日送信されます。レポートをメールで受け取ることも、ウェブサーバーにアップロードされたレポートにアクセスすることもできます。レポートを使用して、外部サーバーがドメインにメッセージを送信する際に発生する可能性のある問題を把握します。
レポートには、次のようなドメインのメールサーバーの MTA-STS ステータスと接続ステータスに関する情報が含まれます。
- 検出された MTA-STS ポリシー
- トラフィック データ
- 失敗した接続
- 送信できなかったメッセージ。
ドメインで MTA-STS 暗号化と認証を適用する前に、ポリシーをテストモードに設定します。ドメインの接続に関する問題を特定して解決するには、日次レポートを確認します。次に、ポリシーを自動適用モードに変更します。詳しくは、MTA-STS ポリシーのモードについてのページをご覧ください。
メール プロバイダの間で TLS レポートの普及が進めば、多くのレポートを受信できるようになると考えられます。
関連情報