メールサーバにDKIMとSPFが設置されているかを調べる方法。
調べたいメールアドレスからGmail宛にメールを送ってもらい、そのメールのヘッダー情報から確認する。
Gmailで対象の受信メールを開き、「1」その他 をクリックし
「2」メッセージのソースを表示 をクリック
メッセージのヘッダー情報からSPFとDKIMが設置されていれば「3」PASS
設置されていないとその項目が出てこない「4」（下記はDKIMが設置されていない）
2024.2.5のGmail画面
★参考
SPFを調べる
https://dmarcian.com/spf-survey/
DKIMを調べる
https://dmarcian.com/dkim-inspector/
DMARKを調べる
https://dmarcian.com/dmarc-inspector/
IIJの記事がわかりやすい「メール送信者向けのガイドライン」
https://ent.iij.ad.jp/articles/6076/
送信メールの安全性の確認方法。
送信メールアドレスのドメインDNSサーバにSPFレコードを記述することで、そのメールドメインは正しいものと判断させる仕組み。
今後は送信ドメインがそのドメインのDNSにSPF記述ないと相手にメールが届かないこともあります。
特にGmailはメールを受け取る時にSPFレコードを確認し正しい記述があるかを検証しています。（2022.2から強化されている）
SPFレコードの書き方は参考サイトが沢山あるので、ここではポイントだけ解説。
・1行で書く
・スペースやハイフンなどをチェック
例
v=spf1 include:spf.securesample.ne.jp -all
v=spf1 include:spf.coralsample.jp -all
v=spf1 ip4:192.168.100.100 -all
を記述したい場合。
このまま3行だとエラーになります。
正解は
v=spf1 ip4:192.168.100.100 include:spf.securesample.ne.jp include:spf.coralsample.jp -all
SPFレコードが正しいかチェックしてくれる
https://mxtoolbox.com/spf.aspx
https://www.kitterman.com/spf/validate.html
SPFレコードが
正しく登録されている場合
SPF record passed validation test with pySPF (Python SPF library)!
間違っていると
Results – PermError SPF Permanent Error: Too many DNS lookups
セキュリティ企業Sucuriが運営している無料マルウェアチェックサイト
URLを入力すると
・マルウェアが潜んでないか
・使用しているアプリーションのバージョンチェック
・ブラックリストに載っていなか
などが簡易的にチェックできる。
海外から「xmlrpc.php」へ対してDDoS攻撃があったので対処の方法。
そもその「xmlrpc.php」とは何のファイル？
これはWordpressの管理画面以外からの投稿をする時、つまりスマートフォンのような別のアプリから投稿するのにこのファイル経由で行う。
必要のない場合もおおいのでパーミッションで無効「000」にしてしまう方法もあるが、アップデートした時など自動で更新されてしまう。
そこで「htaccess」を用いてリダイレクトさせる。
「xmlrpc.php」と同じ階層にある「htaccess」に下記を追加
RewriteRule ^xmlrpc.php$ “http://0.0.0.0/” [R=301,L]
こんな感じ
# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^xmlrpc.php$ “http://0.0.0.0/” [R=301,L]
RewriteRule ^index.php$ – [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
これでこのファイルにアクセスした時に「http://0.0.0.0/」にリダイレクトされればOK。
PS. iPhoneの専用アプリからは投稿ができなくなります。
通常のSSL（Secure Socket Layer）は、認証局/CA（Certification Authority）によってSSLの仕組みを発行してもらいます。ただ、その発行されたSSLが本当に正当性があるものかを上位の認証局に確認をします。それが中間証明書になります。
ただ、たまに中間証明書がうまく設定されていない為にブラウザでSSLエラーがおこる場合はあります。
その為、SSLを設定したら中間証明書がきちんと設定設置されているかチェックをします。
チェックサイト
1、GeoTrust、Symantec、thewteが公開しているサイト（同じ仕組み）
GeoTrust
Symantec
thewte
2、comodo
comodo
ドメインがペナルティを受けていると、危険なドメインということで、危険ドメインデータベースに登録されてしまいます。
こうなるとそのドメインのメールがデータベースにかかり受け取れなかったり、検索順位にも影響します。
また、サイトにマルウェアが仕込まれていたりしても同様に危険サイトデータベースというものがあり登録されます。
どちらのデータベースも世界中にいろいろな団体があり運営されています。
一度登録されると外してもらうには、サイトの内容やドメイン、サーバのセキュリティ調査と改善をしてから申請をします。かなり時間がかかります。
簡単に調べるサイト
http://www.aguse.jp/
日本のアグスネット株式会社が運営
http://www.urlvoid.com/
イタリアのNoVirusThanks Company Srlが運営
当社でもマルウェアスキャンを自動で毎日行う有料サービス
http://www.securemark.jp/
セキュアマークを運営
