DMARCとは？設定方法・ポリシー・レポートの見方を解説

DMARC（ディーマーク）とは、SPFやDKIMの認証結果を使って、なりすましメールを受信側でどう扱うかを送信ドメイン側が指定する仕組みです。 「認証に失敗したメールをそのまま受け取るのか、迷惑メール扱いにするのか、拒否するのか」をDNS上のポリシーで示し、さらに認証結果のレポートを受け取ることもできます。

独自ドメインのメールを使っている会社や、メルマガ・通知メールを送るサイトでは、SPF・DKIMだけで終わらせず、DMARCまで設定しておくことが重要です。 ただし、最初から強い拒否設定にすると正規メールまで届かなくなる可能性があるため、段階的に導入します。

DMARCとは？

DMARCは「Domain-based Message Authentication, Reporting and Conformance」の略称です。 SPFとDKIMという既存のメール認証を組み合わせて、送信者のドメインが正しく使われているかを確認し、認証に失敗したメールの扱いを受信側へ伝えます。

たとえば、会社が example.com をメールアドレスに使っているとします。 第三者が「staff@example.com」を名乗るメールを送っても、SPF・DKIMとFromドメインの関係がDMARCの条件を満たさなければ、受信側はDMARC失敗として判定できます。

ここで重要なのは、DMARC自体がメール本文を暗号化する仕組みではないことです。 通信経路の暗号化はTLS、送信元サーバーの許可はSPF、電子署名による認証はDKIMが担当します。

SPF・DKIM・DMARCの違い

「SPFを設定したからDMARCも自動的に有効になる」というわけではありません。 DMARC用のDNSレコードを別途公開する必要があります。

DMARCで重要な「アライメント」とは？

DMARCでは、SPFやDKIMが単純にPASSしたかだけでなく、ユーザーがメール画面で見るFromドメインと、認証に使われたドメインがそろっているかを確認します。 この関係をアライメント（alignment）と呼びます。

送信代行サービス、問い合わせフォーム、予約システム、メルマガ配信サービスなどを使うと、見た目のFromと実際の送信経路が異なることがあります。 DMARC導入時に正規メールまで失敗する代表的な原因です。

DMARCの3つのポリシー

DMARCでは、認証に失敗したメールを受信側にどう扱ってほしいかを p= で指定します。 基本は次の3種類です。

p=none

DMARCに失敗しても、DMARCポリシーを理由に配信処理を変更しないよう要求する監視向けの設定です。 まずレポートを集め、正規の送信サービスがSPF・DKIM・アライメントを満たしているか確認するときに使います。

SMTP認証とは？仕組みと必要性をわかりやすく解説

SMTP認証とは、メールを送信するときに「この利用者は、このSMTPサーバーを使って送信してよい人か」を確認する仕組みです。メールソフトやスマートフォンから独自ドメインメールを送る場合、一般的にはユーザー名・パスワードなどで認証してからSMTPサーバーへメールを渡します。SMTP認証は「SMTP AUTH」とも呼ばれます。単にSMTPサーバー名を設定するだけではなく、認証情報と暗号化方式、ポート番号を正しく組み合わせることが重要です。30秒でわかる結論SMTP認証は、メール送信者がSMTPサーバーを利用する権限を持つか確認する仕組...

p=quarantine

DMARCに失敗したメールを迷惑メールフォルダなどへ隔離するよう受信側に要求します。 完全拒否より一段弱いため、監視から拒否へ移る途中で使われます。

p=reject

DMARCに失敗したメールを受信しないよう要求する、最も強いポリシーです。 自社ドメインを騙るメールへの対策を強められますが、設定漏れの正規メールまで拒否される可能性があります。

DMARCの設定方法

DMARCは、ドメインを管理しているDNSにTXTレコードとして登録します。 Webサーバーの管理画面ではなく、実際にそのドメインのDNSを管理しているサービス側で設定してください。

最初の設定例

ドメインが example.com なら、レコードは通常 _dmarc.example.com に公開されます。 DNS管理画面によってはホスト名へ「_dmarc」だけ入力する場合と、完全なドメイン名まで入力する場合があります。

DMARCレコードでよく使うタグ

初心者が最初に覚えるべきなのは、v・p・rua の3つです。 aspfやadkimを指定しなければ、標準ではrelaxedモードが使われます。

DMARCレポートでは何が分かる？

ruaを設定すると、DMARCに対応した受信事業者から集約レポートが送られてくることがあります。 一般的にはXML形式で、日々のメール運用を確認するための集計情報が含まれます。

レポートを読む目的は、「FAILが何件あったか」だけを見ることではありません。 その送信元IPやサービスが、自社で使っている正規の送信元かどうかを確認することが重要です。

正規サービスなのにFAILしている場合

自社が使っているメール配信サービスやフォーム送信がFAILしているなら、SPF・DKIMまたはアライメント設定を見直します。 p=rejectへ進む前に解消しておく必要があります。

DNS・ネームサーバー完全ガイド

DNSやネームサーバーは、ドメインを取得したあとにWebサイトやメールを正しく接続するために使う仕組みです。初心者が迷いやすいのは、「DNSとネームサーバーは同じなのか」「A・CNAME・MX・TXTは何が違うのか」「変更したのにすぐ反映されないのはなぜか」という点です。このページでは、DNS・ネームサーバーの全体像を整理し、必要な一般記事へ進めるように案内します。30秒でわかる結論DNSは、ドメイン名と接続先情報を結び付ける仕組みネームサーバーは、そのDNS情報を管理・回答するサーバーWebサイトの接続先にはAレコードやCNAM...

知らない送信元が大量にある場合

自社で使っていないIPアドレスやサービスから、自社ドメインを名乗るメールが送信されている可能性があります。 ただし、転送などで認証結果が変わる場合もあるため、1件のFAILだけで攻撃と断定しないでください。

p=noneからrejectへ進める目安

DMARCは「設定したら終わり」ではなく、監視しながら強化する仕組みとして考えると分かりやすくなります。

1. p=noneでDMARCを公開する
2. 数日～数週間程度、普段の送信経路をレポートで確認する
3. 正規サービスのSPF・DKIM・アライメント不備を修正する
4. 必要に応じてquarantineで影響を見る
5. 正規メールが問題なく認証されていることを確認してrejectを検討する

確認期間はメール量や送信サービス数によって変わります。 毎日複数の外部サービスからメールを送る会社と、1つのメールサーバーだけを使う小規模事業者では、必要な監視期間が同じとは限りません。

Gmailなど大量送信者ではDMARCの重要度が高い

Gmailは、個人向けGmailアカウントへ大量にメールを送る送信者に対し、SPF・DKIM・DMARCの設定を求めています。 目安となる大量送信者は、同一の主要ドメインから個人向けGmailへ1日あたり約5,000通以上送る送信者です。

この場合でもDMARCポリシーはp=noneから開始できますが、DMARCアライメントを満たす必要があります。 大量配信では、単にTXTレコードを追加するだけでなく、実際の配信経路が認証条件を満たしているか確認してください。

DMARC設定でよくある失敗

SPF・DKIMを確認せずrejectにする

正規メールまでDMARC失敗になると、受信側で拒否される可能性があります。先にp=noneで実態を確認します。

DKIMとは？仕組み・設定方法・確認方法を初心者向けに解説

DKIM（ディーキム）とは、送信するメールに電子署名を付け、受信側が「そのドメインから送られたメールか」「送信後に内容が改ざんされていないか」を確認できるようにする仕組みです。独自ドメインのメールを使う会社や店舗では、なりすまし対策とメール認証の基本として理解しておきたい設定です。30秒でわかる結論30秒でわかる結論DKIMは、送信メールに電子署名を付けて送信元と改ざんの有無を確認する仕組み送信側は秘密鍵で署名し、受信側はDNSに公開された公開鍵で検証する公開鍵は通常、セレクタ._domainkey.ドメイン名という名...

SPFとは？設定方法と確認方法を初心者向けに解説

SPFとは、「このドメインのメールを、どのメールサーバーから送信してよいか」をDNSで公開する仕組みです。独自ドメインのメールを使っていると、「SPFを設定してください」「SPFがpassしているか確認してください」と案内されることがあります。SPFは迷惑メール対策や送信ドメイン認証の基本ですが、設定値を適当に作るものではありません。利用しているメールサーバーやメール配信サービスが指定する値を確認し、DNSへ正しく登録することが重要です。30秒でわかる結論SPFは、ドメインからメールを送信してよいサーバーをDNSで示す仕...

Webサイトのメール送信を忘れる

WordPressのお問い合わせフォーム、ECサイト、予約システムなどが自社ドメインをFromにしている場合、通常のメールソフトとは別経路です。これらも認証対象として確認します。

メールが迷惑メールに入る原因と対策

自分では普通のメールを送っているつもりでも、相手から「迷惑メールフォルダに入っていた」と言われることがあります。原因はメール本文だけとは限りません。SPF・DKIMなどの送信ドメイン認証、送信元の評価、迷惑メール報告、DNS設定、送信量、配信先の管理など、複数の要素が関係します。重要なのは、件名や本文を闇雲に書き換えることではありません。まず「特定の1人だけで起きるのか」「Gmailなど特定サービスで起きるのか」「多くの宛先で起きるのか」を切り分け、送信環境から順番に確認します。30秒でわかる結論迷惑メールに...

ruaの受信先を確認しない

存在しないメールアドレスを設定したり、レポートが大量に届いて放置したりすると、監視の意味が薄れます。

外部ドメインのレポート先を勝手に指定する

ruaに自社ドメイン外のメールアドレスを使う場合、受信先ドメイン側の追加認証が必要になることがあります。DMARC解析サービスを使う場合は、そのサービスの指定手順に従ってください。

どんな場合にDMARCが必要？

教科書判定

FAQ

まとめ