TIPS456

さくらインターネットのメーリングリストでFromを書き換える

ここでは、From 投稿者の表示名_via_ML <MLアドレス>　と変更する方法を紹介します。
もし、投稿者の表示名が存在しない場合（＝メールアドレスのみの場合）は、投稿者のアドレスの@より左の部分だけを表示名として取り込みます。

my $DISPLAY_NAME_SUFFIX = '_via_ML';
my $CF_FILE_ENCODING = 'shiftjis'; # Change this if CF file uses different encoding

my $OUTPUT_MIME_ENCODING = 'ISO-2022-JP';

$START_HOOK = q{
    # ========================================
    # Configuration Section
    # ========================================
    
    # Suffix to append to display names (configurable)
    # Change this value to customize the suffix
    my $DISPLAY_NAME_SUFFIX = '_via_ML';
    
    # Character encoding of this CF file (for Japanese suffix support)
    # Options: 'utf-8', 'shiftjis', 'euc-jp', 'iso-2022-jp'
    my $CF_FILE_ENCODING = 'shiftjis';  # Change this if CF file uses different encoding
    
    # Output MIME encoding for From header
    # Options: 'UTF-8' (international standard), 'ISO-2022-JP' (Japanese traditional)
    my $OUTPUT_MIME_ENCODING = 'UTF-8';  # Change to 'ISO-2022-JP' for legacy systems
    
    # Convert suffix to UTF-8 if it contains non-ASCII characters
    if ($DISPLAY_NAME_SUFFIX =~ /[\x80-\xFF]/) {
        # Suffix contains non-ASCII, decode from CF file encoding
        if ($CF_FILE_ENCODING ne 'utf-8') {
            my $temp = decode($CF_FILE_ENCODING, $DISPLAY_NAME_SUFFIX);
            if (defined $temp) {
                $DISPLAY_NAME_SUFFIX = $temp;
            }
        }
    }
    
    # ========================================
    # Reply-To Header Processing
    # ========================================
    
    # Check if sender is a mailing list member
    if (&MailListMemberP($From_address)) {
        # Member: Set Reply-To to mailing list if not already set
        unless (&GET_HEADER_FIELD_VALUE('reply-to')) {
            &DEFINE_FIELD_FORCED("reply-to", $MAIL_LIST);
        }
    }
    else {
        # Non-member: Add both original address and ML to Reply-To
        if (&GET_HEADER_FIELD_VALUE('reply-to')) {
            # Append ML to existing Reply-To
            &DEFINE_FIELD_FORCED("reply-to", &GET_HEADER_FIELD_VALUE('reply-to') . "," . $MAIL_LIST);
        } else {
            # Create new Reply-To with sender and ML
            &DEFINE_FIELD_FORCED("reply-to", $From_address . "," . $MAIL_LIST);
        }
    }
    
    # ========================================
    # From Header Rewrite Processing
    # ========================================
    
    # Load required modules
    use Encode qw(decode encode);
    use Encode::MIME::Header;
    
    # Get and save original From header
    my $orig_from = &GET_HEADER_FIELD_VALUE('from');
    &DEFINE_FIELD_FORCED('x-original-from', $orig_from);
    
    # Extract display name and email address from From header
    my ($display_name, $email_address) = extract_from_parts($orig_from);
    
    # Build new From header
    my $new_from;
    if ($display_name) {
        # Add configured suffix to display name
        $display_name .= $DISPLAY_NAME_SUFFIX;
        
        # Check if string contains non-ASCII characters
        if ($display_name =~ /[^\x00-\x7F]/) {
            # Ensure proper UTF-8 internal representation
            utf8::decode($display_name) unless utf8::is_utf8($display_name);
            
            # Encode entire display name as single MIME-Header block
            # This creates a proper RFC 2047 encoded-word
            my $encoded_name;
            if ($OUTPUT_MIME_ENCODING eq 'UTF-8') {
                # Use UTF-8 encoding (modern standard)
                $encoded_name = encode('MIME-Header', $display_name);
            } else {
                # Use ISO-2022-JP encoding (Japanese traditional)
                $encoded_name = encode('MIME-Header-ISO_2022_JP', $display_name);
            }
            $new_from = $encoded_name . ' <' . $MAIL_LIST . '>';
        } else {
            # ASCII only, use with quotes
            $display_name =~ s/"/\\"/g;  # Escape existing quotes
            $new_from = '"' . $display_name . '" <' . $MAIL_LIST . '>';
        }
    } else {
        # If no display name found, use local part of email address
        my $local_part = $email_address || 'unknown';
        $local_part =~ s/@.*$//;
        $new_from = '"' . $local_part . $DISPLAY_NAME_SUFFIX . '" <' . $MAIL_LIST . '>';
    }
    
    # Set new From header
    &DEFINE_FIELD_FORCED('from', $new_from);
    
    # ========================================
    # Function: Parse From Header
    # ========================================
    sub extract_from_parts {
        my ($from_header) = @_;
        my $display_name = '';
        my $email_address = '';
        
        # Return empty if From header is empty
        return ('', '') unless $from_header;
        
        # Store original for processing
        my $decoded_from = $from_header;
        
        # Check if header contains MIME encoding
        if ($from_header =~ /=\?[\w\-]+\?[BQbq]\?/) {
            # MIME encoded header detected - decode it
            my $temp = decode('MIME-Header', $from_header);
            if (defined $temp) {
                $decoded_from = $temp;
                # Ensure UTF-8 flag is set properly
                utf8::decode($decoded_from) unless utf8::is_utf8($decoded_from);
            }
        } else {
            # Not MIME encoded - should be ASCII only per RFC 5322
            # Log warning if non-ASCII bytes detected (RFC violation)
            if ($decoded_from =~ /[\x80-\xFF]/) {
                &LOG("warning: Non-ASCII bytes in non-MIME header (RFC violation): $from_header");
                
                # Special case: ISO-2022-JP with escape sequences
                # Some older systems might pass this through
                if ($decoded_from =~ /\x1b\$B/) {
                    my $temp = decode('iso-2022-jp', $decoded_from);
                    if (defined $temp) {
                        $decoded_from = $temp;
                    }
                }
                # For other non-ASCII cases, continue with original
                # (will likely result in using email local part as fallback)
            }
        }
        
        # Parse From header structure
        # Remove any leading/trailing whitespace
        $decoded_from =~ s/^\s+//;
        $decoded_from =~ s/\s+$//;
        
        # Pattern 1: "Display Name" <email@example.com>
        if ($decoded_from =~ /^"([^"]*(?:\\.[^"]*)*)"\s*<([^>]+)>/) {
            $display_name = $1;
            $email_address = $2;
            # Unescape quotes in display name
            $display_name =~ s/\\"/"/g;
        }
        # Pattern 2: Display Name <email@example.com> (no quotes)
        elsif ($decoded_from =~ /^([^<]+?)\s*<([^>]+)>/) {
            $display_name = $1;
            $email_address = $2;
            # Clean up display name
            $display_name =~ s/^\s+//;
            $display_name =~ s/\s+$//;
        }
        # Pattern 3: <email@example.com> (no display name)
        elsif ($decoded_from =~ /<([^>]+)>/) {
            $email_address = $1;
            $display_name = '';
        }
        # Pattern 4: email@example.com (bare email)
        elsif ($decoded_from =~ /([^\s<>]+@[^\s<>]+)/) {
            $email_address = $1;
            $display_name = '';
        }
        else {
            # Unable to parse
            &LOG("warning: Unable to parse From header: $decoded_from");
            # Try to extract email as last resort
            if ($decoded_from =~ /([^\s<>]+@[^\s<>]+)/) {
                $email_address = $1;
            }
        }
        
        # Clean up extracted values
        $email_address =~ s/^\s+//;
        $email_address =~ s/\s+$//;
        
        if ($display_name) {
            # Remove extra whitespace
            $display_name =~ s/^\s+//;
            $display_name =~ s/\s+$//;
            $display_name =~ s/\s+/ /g;
            
            # IMPORTANT: Remove surrounding quotes that may have been included from MIME decode
            # This prevents double-quoting when re-encoding
            $display_name =~ s/^"//;
            $display_name =~ s/"$//;
        }
        
        return ($display_name, $email_address);
    }
    
    # ========================================
    # End of Hook Processing
    # ========================================
};

基礎

電子メールの内部構造

電子メールの経路

エンベロープ由来のヘッダ情報の例

受信サーバによる取扱い

総合理解

• メーリングリストは一般的に、エンベロープMAIL FROM変換(envelope-fromをMLのドメインに書換）するので、SPF認証はPASSしても、DMARCのSPFアライメントで失敗。
• メーリングリストがDKIM証明内容のコンテンツを書き換えた場合には、DKIMは失敗する。subjectなどの書換は失敗要因。

• 一般の転送は、エンベロープMAIL FROM変換(envelope-fromを書換）をしない。return-pathのドメインのDNSのSPF設定に転送サーバのIPアドレスの記載がないので、SPF認証で失敗する。
• 転送時にSRSを適用すれば、エンベロープMAIL FROM変換(envelope-fromを書換）をするので、SPF認証は pass するが、DMARCのSPFアライメントで失敗。

• 一般の転送は、本文並びにDKIMのh=タグ対象のヘッダを書き換えない。DKIMも壊れないので、DKIMは壊れずに最終MTAに届き、DKIM認証をpass。DMARCアライメントもpassする。

• 上記から、メーリングリストの場合は、DMARC失敗となる可能性が高い。ARCでどこまで受信サーバーが斟酌して救われるか、というレベルとなる。

SPF

• 【送信MTA →→→　転送MTA(ML) →→　最終MTA】 の場合、

• 【送信MTA →→→　転送MTA(MLではないただの転送) →→　最終MTA】 の場合、

DKIM

DMARC

まとめ

Gmail のセキュリティーポリシーの変更　2024/2

MLサービス参考

DKIMヘッダーの例(Gemini)

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=example.com;
s=20231120; t=1756479600; bh=g+Lq+J9uK8/b+R0j+v7oF+P+5F+n8P/J1+q/g==;
h=From:To:Subject:Date:Message-ID; b=...signature_string...

各タグの解説

歴史

AIによるまとめ

電子メール認証技術の整理（改訂版）

1. SPF の本質

• SPF は **最終受信 MTAが直接接続してきたサーバの IP** と、SMTP セッションで名乗られたドメイン（MAIL FROM または HELO）を突き合わせる仕組み。
• SPF が保証できるのは **直前ホップの正当性のみ**。経路全体やオリジナル送信者を保証するものではない。
• 通常のリレーでは `MAIL FROM` は改変されないが、転送サーバが **SRS (Sender Rewriting Scheme)** を導入している場合は書き換えられる。

2. SPF と転送の関係

• 転送サーバが `MAIL FROM` をそのまま流すと、最終受信 MTAから見ると「転送サーバの IP とオリジナルドメイン」の組合せになる。
• その IP が SPF レコードに載っていなければ Fail。
• これを解決するのが **SRS**。転送サーバのドメインに書き換えることで SPF Pass が成立する。

3. DKIM の役割

• **`d=` タグは署名ドメイン**。MAIL FROM とは関係なく、署名者が主張するドメインを示す。
• メッセージヘッダや本文に署名をかけることで「改ざん検知」を可能にする。
• メーリングリストが Subject 追加やフッタ挿入をすると DKIM 署名は壊れる。

4. DMARC の位置づけ

• DMARC は **RFC5322.From ヘッダのドメイン**を基準に、SPF/DKIM の結果との alignment を確認する。
• SPF/DKIM いずれかが Pass かつ alignment していれば DMARC Pass。
• メーリングリストが From を書き換えない場合、SPF/DKIM が壊れて DMARC Fail になる。
• 実務上は **From 書換（From munging）** を行い、ML ドメインで DKIM 再署名することで DMARC Pass を成立させるケースが多い。

5. ARC の役割

• ARC は **前段での SPF/DKIM/DMARC の結果を署名付きで引き継ぐ仕組み**。
• これにより「ML で署名が壊れても、オリジナルでは Pass だった」ことを最終受信者が確認できる。
• ただし ARC の信頼性は「中継者を信用できるか」に依存するため、単独では不十分。
• 現状では Gmail や Microsoft 365 が導入しており、将来的には From 書換を減らせる可能性がある。