DMARCの設定方法は？none から始めて強めるレコードの書き方

DMARCは、DNSの _dmarc にTXTレコードを追加して設定し、p=none でメールの流れを見てから quarantine、reject へ順に強めます。正規のメールを止めないために、レポートで自社の送信元を確かめてから上げます。

今日やることは、自社のドメインから出ているメールを一覧にすることです。社員のメールだけでなく、受注の自動通知、請求書のサービス、問い合わせフォーム、配信サービス、複合機のスキャン送信まで書き出します。レコードを書く前に、この一覧を作っておくと後の作業が楽になります。

この記事は公開情報を整理したものです。私たちが各サービスを導入や検証したわけではありません。関連する対策はメールセキュリティのカテゴリ⁠にまとめています。

始める前にそろえるものは？

DMARCは、SPFかDKIMの結果を使う仕組みです。Googleの推奨手順では、DMARCを設定する48時間以上前にSPFとDKIMを設定するよう案内しています。DKIMがまだなら、先にMicrosoft 365とGoogle WorkspaceのDKIM設定⁠を済ませてください。

用意するものは4つです。

• DNSを変更できる人。自社か、制作会社か、メールの管理会社か
• レポートを受け取るメールボックスかグループ
• 送信元の一覧
• 上げる時期と、問題が出た時に戻す担当

レポートの受け取り先には注意が要ります。Googleの設定の説明では、毎日多くのレポートが届く可能性があるとして、個人のアドレスは避け、専用のメールボックスやグループ、レポート専門のサービスの利用を挙げています。

レコードはどう書く？

追加するのは1行⁠のTXTレコードです。example.comの場合は次のようになります。

タグの意味は次のとおりです。

adkim と aspf は一致の厳しさを決めるタグで、省略すると緩やかな一致になります。最初は書かなくて構いません。厳しい s にすると、サブドメインから送るメールが失敗することがあるので、一覧を確かめてから判断します。

別のドメインのアドレスでレポートを受けるには、受け取る側のドメインにもDNSの追加が要ります。サービスに任せる場合は、案内された値をそのまま使います。

3つ⁠の値は何が違う？

Microsoftの説明⁠にあるとおり、実際の扱いは受信側のシステムが決めます。reject を設定しても、全受信者で同じ結果になると約束されるわけではありません。

noneの間は何を見る？

Googleは、まず1週間は none にして、レポートを毎日確認するよう案内しています。通常は1週間で代表的なデータがそろうとしていますが、月に1度の請求や四半期の案内を送る会社は、それが1周するまで待つほうが安全です。

見るのは3点です。

1. 一覧にない送信元が出ていないか。社内の誰かが契約した配信サービスの場合も、なりすましの場合もあります
2. 一覧にある送信元が、認証を通っているか。SPFかDKIMが通り、そのドメインが差出人のドメインと一致している必要があります
3. 失敗が多い送信元を、誰が直すか

レポートはRFC 9990⁠が定めるXML文書で、そのまま読むのは大変です。件数が多いなら、DMARCレポートの分析サービスの比較を確かめます。

製造業なら、たとえば基幹システムや受発注のシステムが自社のドメインで注文書のメールを自動送信している場合が要注意です。古い仕組みには認証の設定が入っていないことがあり、reject にしたとたん、取引先に注文書が届かない形で表面化しかねません。担当の事業者に、SPFとDKIMの設定方法を聞いて直します。

どの順番で強める？

Microsoftは、送信量が少なく送信元も少ないドメインやサブドメインから始めるよう案内しています。中小企業なら次の順番が扱いやすいでしょう。

Googleの案内では、DMARCに合格しないメールはquarantineで迷惑メールフォルダへ振り分けられ、受信者は確かめられます。rejectは配信されなくなるので、この段階を挟む意味があります。上げた後は、取引先から「届かない」「迷惑メールに入った」⁠と連絡が来る窓口を決めておきます。戻す時はレコードを前の値に変えます。DNSの反映には時間がかかる場合があるので、月末の請求の直前などは避けます。

pctタグはどう考える？

段階の付け方は、2026年⁠に変わりました。RFC 9989⁠が2026年5月⁠に発行され、RFC 7489を置き換えています。RFC 9989の付録によると、pct は0か100以外の値が正確に適用されないことが多かったため、削除されました。

ただし、Googleの案内には2026年10月更新の版でも v=DMARC1; p=quarantine; pct=5; ... の例が残り、Microsoftにも pct の記載があります。つまり手順書と新しい仕様の間に、今は差があります。

代わりに新しい仕様では t タグが定められました。t=y はテスト中という印で、p=quarantine; t=y なら失敗したメールに none を、p=reject; t=y なら quarantine を適用するよう求めます。各社の受信サーバーがどこまで対応しているかは、私たちは確かめられていません。

実務では、次のように考えます。

• pct を書いても、書いた割合どおりになるとは考えない
• 少しずつ確かめたいなら、サブドメインから先に強める
• 見るのは割合ではなくレポートと取引先からの連絡

メールを送らないドメインはどうする？

Microsoftは、メールに使っていない登録済みのドメインにも、メールを送らないことを示すDMARCを設定するよう案内しています。値は v=DMARC1; p=reject です。古い社名のドメインや、製品ごとに取ったドメインが残っていないか確かめます。

DNSを誰が変更できるかも、ここで見直します。レコードを書き換えられるとメールの扱いごと変えられるので、DNSの管理アカウントの守りも併せて確認してください。DNSセキュリティの製品比較も参考になります。

大量に送らない会社にも関係する？

Googleのメール送信者のガイドラインでは、Gmailのアカウントへ1日5,000件⁠を超えて送る送信者にDMARCの設定を求めており、ポリシーは none でもよいとしています。この件数に届かない会社には、DMARCまでは必須とされていません。

それでも、IPAの2026年8月の資料は、送信元がSPFやDMARCなどの対策を適切に行っていない場合、差出人の表示は偽装できると説明しています。自社の名前で偽のメールが取引先へ届くのを減らすために、件数にかかわらず検討する価値があります。ただしDMARCで止められるのは自社のドメインそのものを名乗るメールで、よく似た別のドメインは対象外です。受信の守りはメールセキュリティの比較で別に考えます。