【AWS】SESをキャリアメールに対応させるためにやったこと

2021年3月16日2021年7月19日

AWS Cognitoを使っていてMFAの認証コード送信をemailを対象に飛ばしています。

その際、困ったことにキャリア（au, softbank, docomo）へのメールのバウンス率が高いとのお達しがあり、SESの設定周りでできる限り対処したことをメモしておきます。

CognitoではデフォルトSESがあたっています。これだとバウンス率が5%を超えるとアラートメールが送信されてくるようになり、10%を超えると使用不可となるような制約があるようです。

なので今回はCognito用にカスタマイズSESを用意しRoute53にてドメインも取得している前提で設定内容を備忘録としてまとめました。

メール設定に必要となるキーワードをおさえておく

まず、設定をすすめる上で理解しておくべきキーワードを説明します。

MTA（Mail Transter Agent）
ネットワーク上でメールを転送するソフトウェア。
MTAはメールを受け取って次の配信先を決定するのが役割。実際の送信はMDA（Mail Delivery Agent）が担う。
MTA間のメールの送受信にはSMTP（Simple Mail Transger Protoco）という通信プロトコルが標準的に用いられる。

SPF（Sender Policy Framework）えすぴーえす
電子メールの送信元ドメインが詐称されていないかをチェックする仕組み。
SMTP（Simple Mail Transger Protoco）はFromアドレスを自由に設定することが可能。そのため「なりすましメール」を簡単に送信することが可能となる。
こうした「なりすまし」を防ぐためにDNSを利用する。ドメインをSPFに対応させるには、そのドメインのゾーンデータにSPFレコードを追加する。SPFレコードにはそのドメイン名を送信元としてメールを送っても良いIPアドレス等を記載する。
受信側は送信元のドメインのSPFレコードをDNSに問い合わせることで送信ドメインに詐称がないかをチェックする。
※認証情報としてIPアドレスを使う。

DKIM（DomainKeys Identified Mail）でぃーきむ
送信側メールサーバの公開鍵をDNSサーバに登録しておき、送信時に自身の秘密鍵による電子署名をつけてメール送信する。受信側メールサーバは、メールヘッダから特定したドメインのDNSサーバから公開鍵を取得し、電子署名を検証する。この検証によってなりすましやメールの改ざんの有無を確認できる。
※電子署名で認証をおこなう。

DMARC（Domain-based Message Authentication , Reporting and Conformance）でぃーまーく
SPFおよびDKIMをベースにしており、送信元アドレスドメインがなりすまされていないか、信頼できるものかどうかを判断することができる最初の標準技術。
SPFおよびDKIMをパスしたあとに送信者は以下のいずれかを指定できる。
・モニター(none)：認証に失敗したすべてのメッセージを可視化するために、メール認証エコエコシステムにレポートを送る。メッセージはそのまま配信される
・メッセージを隔離(quarantine)：DMARCに失敗したメッセージをスパムフォルダーなどに隔離する
・メッセージを拒否(reject)：DMARCに失敗したメッセージを拒否する (メールは配信されません)
※配信後にメールプロバイダーがフィルターを適用する