自前のメールサーバーが10年で半減 Google Workspaceが21.8%を占める

3行まとめ

• 上位100万ドメインの自前運用は2016年44.6%から2026年22.4%へ
• Google Workspaceが21.8%、Microsoft 365が16.8%
• 2社で38.6%。DMARCDMARC認証に失敗したメールを拒否するか隔離するか放置するかを指定する記録です。正式名は Domain-based Message Authentication, Reporting, and Conformance です。用語集でこの語を見る記録の半分以上は方針が監視で止まっている

何が起きたか

研究者の Artem Berezin が、人気ドメイン100万件のDNS設定を10年分たどりました。DNSはドメイン名に紐づく設定を公開する仕組みです。自前でメールサーバーを動かすドメインは、2016年の44.6%から2026年の22.4%へ減りました。

減ったぶんは2社が受け取りました。MX記録MX記録そのドメイン宛のメールをどのサーバーが受け取るかを示すDNSの記録です。用語集でこの語を見るでは Google Workspace が21.8%、Microsoft 365 が16.8%です。自前運用は22.4%で、まだ最も多い受け取り方です。

Berezin はメール会社 Live Direct Marketing に勤めています。彼はこの分析を Internet Society のブログに書きました。減少は今も続き、直近30日で0.5ポイント落ちています。

なぜ難しい・何がすごいか

メールの流れは、ドメインごとにDNSの3つの記録で決まります。Berezin の説明では、MXはメールボックスの置き場所を示す記録です。SPFSPFそのドメインの名前で送信していいサーバーを並べたDNSの記録です。用語集でこの語を見るはそのドメインの代理で送っていい相手を並べます。

DMARCは認証に失敗した手紙の扱いを書く記録です。Berezin はこの3つを毎日読み取り、割合を数えています。

DMARCの数字は伸びていません。彼の分析では、DMARC記録の半分以上が有効な方針を持ちません。もしくは失敗したメールを監視するだけで、拒否も隔離もしていません。

Google と Yahoo は2024年に大量送信者への要件を変え、DMARCの利用を求めました。それでも実行までは進んでいません。

たとえ話

街の郵便の受け口が2つの大手に集まった状態を想像してください。片方が「この差出人は信用できない」と判断すれば、その手紙は宛先に着きません。

Berezin は、Webの配信網（CDN）なら別の経路へ迂回できると書いています。メールに代わりの経路はありません。断られた手紙はそのまま消えます。

用語ミニ辞典

• MX記録: そのドメイン宛のメールをどのサーバーが受け取るかを示すDNSの記録です。
• SPF: そのドメインの名前で送信していいサーバーを並べたDNSの記録です。
• DMARC: 認証に失敗したメールを拒否するか隔離するか放置するかを指定する記録です。正式名は Domain-based Message Authentication, Reporting, and Conformance です。
• Postfix: 自前のメールサーバーを立てるときに使う、無料で公開されているソフトです。
• Tranco: ドメインの人気順位をまとめた一覧で、Berezin は上位100万件を分析の対象にしました。

技術者向けの深掘り

Berezin は OpenINTEL が毎日撮る forward-DNS のスナップショットを使っています。OpenINTEL は University of Twente、SURFnet、SIDN Labs が運営しています。彼はそこから TrancoTrancoドメインの人気順位をまとめた一覧で、Berezin は上位100万件を分析の対象にしました。用語集でこの語を見る の上位100万ドメインを取り出します。

彼はMXのホスト名とSPFのincludeを公開辞書と突き合わせます。辞書にはメールボックス提供者・送信プラットフォーム・SaaSが載っています。データは2016年まで遡れます。

この手法には本人が認める限界があります。Berezin は、参照している辞書が世界のメールサーバーを網羅していないと書いています。辞書が名前を知らないサーバーは分類からこぼれます。

ここから先は Berezin の解釈です。RIPE NCC のコミュニティはDNSとCDNの集中を何年も議論してきました。メールは同じ道をもっと静かに進んでいる、と彼は書きます。

理由は波及の速さです。片方の障害・フィルタ変更・方針決定が、一度に全体へ届きます。独立した運用者が減るほど、残った運用者が大手2社向けに調整された世界の到達性の問題を引き受ける、と彼は続けます。

これは自分に関係ある？

Google Workspace か Microsoft 365 を使う会社では、受信の経路が1社に依存します。障害やフィルタの変更が起きても、手紙が別の経路へ回ることはありません。

自前でサーバーを運用しているエンジニアには、2社のフィルタが相手になります。Google と Microsoft は、信用できない差出人を検出するフィルタを動かしています。そこで弾かれたメールは届きません。

ドメインを持ってメールを送っている人の場合、DMARCの記録に何を書いているかで失敗時の扱いが決まります。Berezin が数えた半分以上は、その欄が監視で止まっていました。