DMARC(Domain-based Message Authentication, Reporting and Conformance)
よみ: ディーエムエーアールシー
SPFと DKIMの認証結果を統合し、認証失敗時の処理(拒否・隔離・許可)をドメイン側で指定する仕組みです。DNSの TXT レコードに DMARC ポリシーを記述すると、受信側メールサーバが「認証失敗メールをどう扱うか」を判定します。レポート機能により、自社ドメインを名乗る不正送信(なりすまし)も検知できます。
押さえておきたいのは、2024 年以降、Gmail / Yahoo! が大量送信者に DMARC を必須化し、メルマガ運用では実装必須になっていることです。SPF + DKIM だけでは「認証失敗時の処理」をドメイン所有者が決められないため、DMARC で運用ポリシーを明示します。
DMARC の 3 つのポリシー(段階的移行が定石)
DMARC では、認証に失敗したメールをどう扱うか(ポリシー)を以下の 3 段階で設定します。DNS の TXT レコードに「p=」というタグを使って記述します。
p=none(観測モード)：認証失敗してもそのまま通し、レポートだけを受け取る。※導入直後は必ずここからスタートします。p=quarantine(隔離モード)：認証失敗したメールを迷惑メールフォルダへ入れる。p=reject(拒否モード)：認証失敗したメールを完全にブロックする(最強の保護)。
実務での落とし穴(よくある失敗例)
- いきなり「拒否(
p=reject)」にしてしまう：社内で使っているメルマガツールや各種システムのメール(SPF / DKIM 未設定のもの)まで届かなくなる大事故が起きます。 - レポート(
rua=)の死蔵：レポートを受け取る設定にしたものの、誰も中身を見ないケース。レポートは暗号のような形式(XML 等)で届くため、専用の「DMARC 集計ツール」を導入して可視化・分析する体制づくりがセットで必要です。 - 「観測(
p=none)」のまま放置：長期的に運用しているのに次のステップへ進まず、結局なりすましを防げていないケース。 - サブドメインの設定漏れ：親ドメインだけでなく、サブドメイン用のポリシー(
sp=)がどうなっているかを意識し忘れるケース。
言葉をよく利用する人
- インフラエンジニア
- 情シス
- 法務 / 契約担当
- Web 担当者(発注側)
- 広報
会話上での使用例
なりすまし対策のポリシーを初めて設定する場面
-
Web 担当者
DMARCを初めて入れるんですが、いきなり一番強い拒否設定にして大丈夫でしょうか。
-
インフラエンジニア
それは危険です。まずは何も拒否せずレポートだけ取る観測モードで一、二ヶ月運用しましょう。レポートで認証が通っていない正規の送信元を洗い出して、全部対応してから隔離、安定したら拒否、と段階的に上げるのが安全です。レポートの送り先も設定して必ず目を通してください。
自社ドメインのなりすましメールを検知した場面
-
Web 担当者
DMARCのレポートで、当社を名乗る不正な送信が見つかりました。
-
広報
すぐにお客様向けに正規メールの見分け方をご案内しましょう。あわせて関係機関への被害報告も進めます。設定は拒否に切り替えてなりすましを止めて、社内向けにはフィッシングの注意喚起も同時に出しておきたいです。