DMARCの導入で確認したい効果と限界

DMARCは、メールのFrom欄に表示されるドメインと、SPFまたはDKIMで認証されたドメインとの整合性を確認します。整合したSPFまたはDKIMのどちらかが成功すれば、DMARCは成功します。ただし、認証に成功しても受信トレイへの配信が保証されるわけではありません。

p=noneは、認証失敗時の扱いについて送信側の希望を示さない設定です。p=quarantineは不審なメールとしての扱い、p=rejectはドメインの使用が正当でないという判断を伝えます。最終的な処理は受信側が決めます。転送やメーリングリストの影響も確認してください。2026年5月のRFC 9989では、従来のpctタグが削除されています。

GoogleとYahooの大量送信者向け要件では、DMARCの最低限のポリシーとしてp=noneが認められています。Microsoftの2025年5月からの要件は、Outlook.comなどの個人向けサービスに大量送信するドメインが対象です。これらを、日本のすべての企業にp=rejectを義務付ける規制と混同しないことが大切です。

ドメイン、サブドメイン、業務システム、外部の配信サービスを棚卸しし、それぞれの管理担当者を決めます。SPFやDKIMの整合性と認証失敗の原因を確認してから、ポリシーを見直します。類似ドメインへの対策、アカウント保護、振込先変更の確認手順なども、別の対策として整備します。

防げません。DMARCの対象は、From欄のドメインの認証です。類似ドメインや乗っ取られたアカウントからの攻撃には、別の対策が必要です。最終的な処理も受信側が判断します。

引用したGoogle、Yahoo、Microsoftの個人向けサービスの要件では、最低限のDMARCポリシーとしてp=noneが認められています。対象となる送信量や、SPF・DKIM、アライメントなどの要件は別途確認してください。