DMARCレポートの読み方は？担当者が月1回⁠で確認する所を絞って解説

DMARCレポートとは、自社のドメインで送られたメールの認証結果を、受信側のサーバーがまとめて送ってくる報告です。

運用が安定した後は、全部を読む必要はありません。月に1回⁠、新しい送信元、正規の送信元の不合格、件数の急変の3つ⁠を見ます。

今日やることは、レポートの宛先を確かめることです。DMARCレコードのruaに担当者個人のアドレスが入っていたら、専用のアドレスに替えます。GoogleもMicrosoftも、個人のメールボックスで受けないよう勧めています。

メールセキュリティの解説⁠の中では、自社名のなりすましを見張る部分です。

レポートには何が書いてある？

Googleのヘルプによれば、レポートは通常1日1回メールで届きます。形式はXMLで、Microsoftの解説によれば多くはGZIPで圧縮された添付ファイルです。

メールの量によっては、1日⁠に最大で数百件届く場合がある⁠とGoogleは書いています。送信先の受信サーバーごとに届くためです。1通ずつ開いて読む運用は、続きません。

1つ⁠のレコードに入っているのは次の情報です。

Microsoftの解説によれば、集計レポートにはIPアドレスと件数が入り、メールの本文は入りません。形式は、2026年5月に出たRFC 9990⁠で定められました。期間は通常、協定世界時の1日単位です。

月に1回⁠、どこを見る？

見る所は、次の3つです。どれも1通ずつではなく、1か月分を送信元ごとに集計してから見ます。

新しい送信元

見るのは、自社で使う送信元の一覧との差です。一覧がなければ、最初の月に作ります。新しい送信元が見つかったら、社内の担当者に使っているか聞きます。たとえば、別の部署が配信サービスを新しく契約していた場合です。

正規の送信元の不合格

ここがいちばん手を動かす所です。放っておくと、ポリシーを強めたときにそのメールが届かなくなるおそれがあります。原因の切り分けと直す順番は、DMARC failの原因と直す順番⁠にまとめました。

件数の急変

Microsoftの解説は、知らないIPからの多い通数をなりすましの可能性として挙げています。送信元の設定で直すものではありません。

ただし、確かめることが1つあります。自社のポリシーがnoneのままなら、受信側に隔離や拒否を求められません。フィッシング対策協議会の2026年9月の報告は、なりすましにp=noneのドメインが使われ続ける傾向を指摘しています。件数が増えたら、ポリシーを上げる計画を前倒しする材料にします。

月に1回⁠で足りない時期は？

Microsoftの解説は、導入の初期は毎週確認し、安定したら月1回という運用を示しています。私たちは次の時期を、週1回⁠に戻す時期と考えます。

• DMARCを始めてから、正規の送信元を洗い出すまで
• ポリシーをquarantineやrejectへ上げる前後
• 新しいメール配信サービスや基幹システムを入れた直後
• 取引先から「メールが届かない」「迷惑メールに入る」⁠と連絡が来たとき

ポリシーを上げた直後は、dispositionも見ます。受信側がポリシーどおりに処理しているかが分かります。

読まなくてよい所は？

次のものは、毎月は追わなくてかまいません。

• 知らない送信元のfail：なりすましをDMARCが見分けている状態で、Microsoftは設定の修正は不要としています
• 転送やメーリングリストらしいIPのfail：転送で認証が崩れるのは起こり得ることで、正規の送信元の問題とは分けます
• 少ない通数の一時的な変化：Microsoftの解説も、休日やイベントでメールの量が変わると説明しています
• 失敗レポート（ruf）：Gmailは対応しておらず、Microsoft 365も送りません。Microsoftは、ruaだけで始めるよう示しています

逆に、レポートに載っていない分もあります。Microsoftの解説によれば、すべての受信者がレポートを送るわけではなく、通常は総メール量の70〜90%⁠が対象です。レポートで0件だった相手にも、メールが届いていないとは言えません。

解析ツールはいる？

必須ではありません。ただ、RFC 9989は、人が読むこともできるが機械で処理する形式だと説明しています。Googleも、受信、保存、分析に特化した外部サービスの利用を勧めています。

選択肢は3つです。

Microsoftの解説は、自動化と外部サービスの両方を選択肢として挙げています。Googleも、外部サービスを使わないなら、専用のグループかメールボックスで受けるよう示しています。

判断の線は、月1回⁠の確認にかかる時間です。私たちは、1か月分の集計に半日かかるようなら、解析サービスを比べ始める時期と考えます。比べるときは、DMARCレポート解析サービスの比較で、送信元の識別、月次の集計、通知の機能を見ます。

外部のサービスへ送る場合の設定にも注意します。Microsoftの解説によれば、ruaの宛先が別のドメインなら、受け取る側のドメインに許可のTXTレコードが必要です。これがないと、受信側は外部へレポートを送りません。サービスの案内どおりに設定されているかを、最初に確かめます。

レポートをほかのログと一緒に長く残したい会社は、統合ログ管理ツールの比較も参考になります。ただ、DMARCのためだけに入れる必要はありません。

たとえば、本社と工場でメールの送り方が違う場合

本社はクラウドのメールサービス、工場は設備の通知を別のサーバーから送るメーカーを考えます。この場合の月次の記録は、次のような1枚⁠で足ります。

工場の担当が設備を入れ替えると、送信元の一覧も変わります。月次の確認で新しい送信元が出たときに聞ける相手を、工場ごとに決めておくと止まりません。

確認の後、何につなげる？

目的はレポートを読むことではなく、ポリシーを上げて自社名のなりすましを受信側で止めることです。協議会のガイドライン2026年度版は、ウェブサイト運営者の監視の例にDMARCレポートを挙げ、最終的にp=rejectを目指すよう示しています。

DMARCが守るのは、主に自社名をかたる送信です。自社に届くフィッシングメールは別の対策で、フィッシングメールの対策と社員に伝える見分け方⁠、受信側のメールセキュリティ製品の比較で扱います。