DMARCの導入方法：ステップバイステップ導入ガイド

ブランドを装おうとする際、ほとんどの攻撃者が真っ先に利用するのが依然として電子メールです。ドメインに適切な保護対策が講じられていない場合、誰でも貴社からのメールを装って送信することが可能となり、顧客はその違いを見分ける確実な手段を持ちません。 DMARCを導入する方法を学ぶことが、この問題を解決する最も直接的な手段です。このガイドでは、Google Workspace、Microsoft 365、GoDaddy、CloudflareにおけるDNS設定を含め、DMARCの導入手順を段階的に解説します。また、監視段階から完全な適用段階へ安全に移行する方法についても説明します。

DMARCは、DNSレコードを自分で編集して手動で実装することもできますし、PowerDMARCを使ってプロセス全体を自動化し、1つのダッシュボードからすべてのポリシーを管理することもできます。このガイドでは、手動での実装方法を詳しく解説するとともに、自動化によって時間を節約できるポイントについても説明します。

関連記事：DMARC設定ガイド

DMARCを導入する前に必要なもの

DMARC自体はメールの認証を行いません。DMARCはSPFおよびDKIMの上に構築されており、これら少なくとも1つが検証に合格し、かつ「From」アドレスのドメインと一致しているかどうかを確認します。そのため、ポリシーを公開する前に、以下の3つの要件を満たしておく必要があります。

• DNSへのアクセス：DMARCレコードはDNSのTXTレコードとして公開するため、レジストラ、ホスティングプロバイダー、あるいはCloudflareのようなサービスなど、DNSを管理している場所へのログインアクセス権が必要です。
• 有効なSPFレコード：SPFには、そのドメインからメールを送信することが許可されているサーバーやサービスが記載されています。たとえば、Google Workspace経由でメールを送信する場合、レコードには_spf.google.comが含まれます。
• DKIM署名が有効になっています：DKIMは送信メールに暗号署名を付加するため、受信者はメールが転送中に改ざんされておらず、実際にあなたのドメインから送信されたものであることを確認できます。

これらを組み合わせることで、SPF、DKIM、DMARCを包括的な認証スタックとして実装できます。SPFとDKIMによるメールの署名が数日間問題なく行われていることを確認できたら、その上にDMARCを追加する準備が整います。

DMARCを段階的に導入する方法

どのプラットフォームでも、中核となるプロセスは同じです。以下に、ゼロから監視・適用されるポリシーを構築するための7つの手順を説明します。

手順 1：SPF および DKIM が有効になっていることを確認する

SPFレコードが存在し、メールを送信するすべてのサービスが記載されていること、およびDKIMが有効化され署名が行われていることを確認してください。これらについては、当社のSPF チェッカーおよびDKIMチェッカーツールを使用して確認できます。DMARCを有効化する前に、少なくとも48時間は正常な署名が行われている状態を維持してください。そうすることで、受信側は、新たに認識したばかりのレコードではなく、すでに認証済みのメールを評価できるようになります。

ステップ2：レポートの保存先を決める

DMARCは、集計レポートをXMLファイルとして送信します。これらのレポートを、未読のまま溜まってしまう個人の受信箱に転送するのではなく、[email protected] のような専用のメールボックスやグループに集約するように設定してください。このアドレスは、レコードの rua タグに指定します。

ステップ 3: DMARC レコードを生成する

当社の無料DMARCレコード生成ツールを使って、レコードを作成してください。

初心者の記録は次のようなものです：

v=DMARC1; p=none; rua=mailto:[email protected]; adkim=r; aspf=r

各タグの機能は以下の通りです：

• v=DMARC1 はバージョンを示すものであり、常に先頭に記述する必要があります。
• p=none を指定すると、受信側は現時点では何のアクションも取らず、レポートのみを送信するよう指示されます。これが監視ポリシーとなります。
• rua= は、集計レポートが配信される場所です。
• adkim=r および aspf=r を設定すると、緩やかな整合性が適用され、サブドメインがメインドメインと整合するようになります。「緩やか」はほとんどの環境に適していますが、「厳格 (s)」では完全一致が要求されるため、サードパーティの送信者で問題が発生することがよくあります。

新しいレコードに関する注意事項

The pct, rf and ri tags that older guides show have been deprecated by RFC 9989, the updated DMARC standard published in May 2026. Existing records that still use them keep working, because receivers ignore unknown tags, but you should leave them out of new records. To roll out a policy gradually under the new standard, use test mode (t=y) instead of pct. More on that in the roadmap section below.

ステップ 4: DNS にレコードを登録する

生成されたレコードを、ホスト名「_dmarc」（つまり、_dmarc.yourdomain.com に解決されるもの）として TXT レコードとして追加します。「値」または「内容」フィールドにポリシー文字列全体を貼り付け、保存します。プロバイダごとの具体的な手順については、次のセクションで説明します。

ステップ 5：レコードが公開されていることを確認する

DNSの変更が反映されるまでには、数分から48時間ほどかかる場合があります。反映されたら、当社のDMARCチェッカーを実行し、レコードが正しく公開されており、構文エラーが発生していないことを確認してください。

ステップ6：レポートを監視・確認する

p=none を設定すると、集計レポートが RUA アドレスに届き始めます。これらのレポートには、お客様のドメイン名を使用してメールを送信しているすべての送信元と、それぞれが SPF および DKIM の検証に合格しているかどうかが記載されています。生の XML データは読み取りにくいため、PowerDMARC はこれを解析し、DMARC レポートアナライザーのダッシュボード上で読みやすい表やグラフとして表示します。これにより、配信の問題や認証の失敗をはるかに簡単に特定できるようになります。

ステップ7：実施に向けて進む

レポートで、正当な送信者すべてが認証を通過していることが一貫して確認できたら、ポリシーを「なし」から「隔離」へ、そして最終的には「拒否」へと段階的に厳格化してください。ホスト型DMARCソリューションに加入することで、メールの配信率を損なうことなく、ポリシーの適用プロセスを簡素化・自動化できます。その後もDMARCアナライザーを稼働させ続け、新たな送信元やなりすまし試みが発生した際に即座に検知できるようにしましょう。

主要プロバイダーでのDMARCの実装方法

レコード自体の内容はどこでも同じです。異なるのは、それを貼り付ける場所と、一部のプロバイダーではDKIMが配置される場所です。ここでは、最も一般的な4つのプラットフォームについて、その概要を簡単に説明します。

Google Workspace（Gmail）

Google 管理コンソール内では DMARC は設定されません。同コンソールでは DKIM を有効にできますが、レコード自体はドメインホストで公開されます。

• 管理コンソールで、[アプリ] > [Google Workspace] > [Gmail] > [メールの認証]の順に選択し、DKIMを有効にしてください。
• SPFレコードに「_spf.google.com」が含まれていることを確認してください。
• ドメインホストにログインし、_dmarc という名前の TXT レコードを追加し、その値としてポリシー文字列を設定してください。
• レコードを保存し、DMARCチェッカーで検証してください。

詳しい手順については、「Google Workspace（Gmail）での DMARC の設定方法」をご覧ください。

Microsoft 365 / Outlook

Microsoftでは、DKIMをTXTレコードではなく2つのCNAMEレコードを通じて処理するため、ここでは手順の順序が重要になります。

• SPFレコードに「spf.protection.outlook.com」が含まれていることを確認してください。
• 2つのDKIM CNAMEレコードを公開し、解決されるまで待ちます。
• Microsoft Defender ポータルの[メールとコラボレーション] > [ポリシーとルール] > [脅威ポリシー] > [DKIM] で、DKIM 署名を有効にします。CNAME の反映が完了してからトグルを切り替えてください。早すぎると検証エラーが発生します。
• ご利用のDNSホストに、「_dmarc」という名前のDMARC TXTレコードを追加してください。
• DMARCチェッカーでレコードを確認してください。

詳細な手順については、「Microsoft 365 での DMARC の設定方法」をご覧ください。

ゴーダディ

• GoDaddy にログインし、「マイプロダクト」を開きます。
• ドメインの「DNS」または「DNSの管理」を選択してください。
• 「レコード」セクションで、「追加」をクリックし、タイプとして「TXT」を選択します。
• 「名前」に「_dmarc」と入力し、「値」の欄にポリシーを貼り付けてください。
• 保存し、反映されるまで最大48時間お待ちください。

DMARCレコードがすでに存在する場合は、2つ目を追加するのではなく、既存のレコードを編集してください。ドメインごとにDMARCレコードは1つだけ存在しなければならないためです。

詳しい手順については、「GoDaddyでのDMARCの設定方法」をご覧ください。

クラウドフレア

• Cloudflareのダッシュボードにログインし、ドメインを選択してください。
• 「DNS」タブを開き、「レコードの追加」をクリックします。
• タイプとして「TXT」を選択し、名前として「_dmarc」を入力してください。
• ポリシーをコンテンツ欄に貼り付けて、保存してください。

Cloudflareの反映は通常速く、多くの場合5分以内です。

詳しい手順については、「CloudflareでのDMARCの設定方法」をご覧ください。

DMARCの導入が完了しました。次は何をすべきでしょうか？

レコードの公開は始まりであって、終わりではありません。p=reject に到達するための最も安全な方法は、段階的な展開を行い、各段階で十分な監視時間を確保し、正当な送信者がブロックされる前に見つけ出すことです。

RFC 9989 に基づき、pct タグの値を 25 から 100 へと段階的に引き上げるという従来の方法は廃止されました。失敗時にまだ措置を講じずに、より厳格なポリシーをテストしたい場合は、テストモードタグ t=y を付けて対象のポリシーを公開し、レポートを確認した後、実際にポリシーを適用する準備が整ったら、タグを削除するか、t=n に設定してください。

DMARC実装のベストプラクティス

• 適用する前に監視を行う：決していきなり拒否してはいけません。p=none の状態で十分な時間をかけ、まず正当な送信者をすべて特定するようにしてください。
• 単に「合格」か「不合格」かだけでなく、一致状況にも注目してください。認証されたドメインが「From」ドメインと一致しない場合、送信元がSPFやDKIMの検証に合格していても、DMARCの検証には不合格となる可能性があります。レポートにはその両方が表示されます。
• サブドメインのポリシーを設定する：サブドメインにメインドメインとは異なるポリシーを適用したい場合は、spタグを使用してください。このタグを指定しない場合、サブドメインは親ドメインのポリシーを継承します。
• 報告専用のメールアドレスを使用する：報告が実際に確認されるよう、個人の受信箱には保存しないようにしてください。
• 導入後も継続的な監視を行う：新しいマーケティングツール、CRM、ベンダーが随時追加されていきますが、それらはそれぞれ、認証が必要な新たな送信元となります。

DMARC導入における一般的な課題（およびその解決策）

DMARCを導入したからといって、今後ずっとすべてが円滑に動作することが自動的に保証されるわけではありません。以下に、DMARC導入における一般的な課題と、技術的な専門知識がなくても解決できる簡単な方法をいくつか紹介します。

1. SPF 10の検索制限を超過しました

原因：SPFではDNSルックアップの最大回数が10回に制限されており、複数の`include:`ステートメントを連鎖させるとこの制限を超えてしまうため、PermErrorが発生します。

解決策：PowerDMARCのホステッドSPFソリューションを使用してレコードを最適化し、制限範囲内で動的に解決されるようにしてください。

2. 転送を行うとSPFが破られる

原因：メールが転送されると、送信元のIPアドレスが変更され、受信側でSPF検証に失敗する。

対策：SPFに加えてDKIMも併用してください。有効なDKIM署名は通常、転送後も維持され、DMARCの「pass」状態を維持できるためです。

3. DKIMのアライメント不一致

原因：サードパーティの送信者が、あなたのドメインではなく自身のドメインで署名しているため、署名は有効とみなされますが、送信元ドメインと一致しません。

解決策：ベンダーと連携してカスタムDKIMを設定し、署名ドメインが自社ドメインと一致するようにしてください。

4. 強制が早すぎる

原因：レポートがクリーンになる前に「拒否」に設定すると、まだ確認されていない正当な送信者がブロックされてしまいます。

対策：段階的なスケジュールを厳守し、正当なメールがすべて通過していることがレポートで確認されてから初めて、ポリシーを厳格化してください。

5. 複数のSPFまたはDMARCレコード

原因：1つのドメインにつき、SPFレコードとDMARCレコードはそれぞれ1つずつしか設定できません。重複があると、認証に失敗します。

修正：複数のSPFレコードを1つに統合し、DMARCレコードは1つだけ残す。

PowerDMARCでDMARCの導入を迅速化

レコードの公開は、あくまで第一歩に過ぎません。レポートを常に把握し、新しい送信元を特定し、確実に法執行機関に連絡を取ること――これらこそが継続的な作業の大部分を占めており、PowerDMARCがお客様に代わってこれらを処理いたします。

• 集計レポートは、複雑なXMLから読みやすい表やグラフに変換されるため、状況を一目で把握することができます。
• フォレンジックレポートは、当社でさえアクセスできないお客様自身の秘密鍵で暗号化されています。
• スケジュールされたPDFレポートは、自動的に、または必要に応じて生成し、チームと共有することができます。
• このプラットフォームは、標準的な認証に加え、BIMI、MTA-STS、TLS-RPTを統合しています。
• SPFのフラット化とエラー処理により、10回のルックアップ制限やその他のよくある設定ミスを回避できます。

ドメインの保護を始めませんか？PowerDMARCの無料トライアルを開始するか、デモを予約して、正当なメールを1通もブロックすることなく、保護対策を開始しましょう。

よくあるご質問

DMARCの設定や管理は難しいですか？

DMARCの場合、初期設定は簡単です。SPFとDKIMを確認し、レコードを生成して、DNSに1つのTXTエントリを登録するだけです。難しいのは、継続的な管理やレポートの確認、そして安全に強制適用に至るまでのプロセスですが、この部分において、自動化ツールを使用することで手作業の負担の大部分を軽減できます。

DMARCは、簡単に言うとどのように機能するのでしょうか？

DMARCは、受信メールがSPFまたはDKIMの検証に合格しているか、および認証されたドメインが「From」アドレスに記載されているドメインと一致しているかを確認します。いずれにも一致しない場合、DMARCは、設定されたポリシーに基づいて、受信側にそのメッセージを監視、隔離、または拒否するよう指示します。

DMARCの実装にはどのくらい時間がかかりますか？

DMARCレコードの公開には数分しかかかりませんが、DNSの反映には最大48時間かかる場合があります。すべての正当な送信者が正常に通過することを確認するために十分な監視期間が必要であるため、安全に完全な適用に至るまでには通常4～12週間かかります。

DMARCは自分で実装できますか？

はい。DNSへのアクセス権があり、SPFおよびDKIMレコードが正常に機能している場合は、上記の手順に従って、ご自身でDMARCレコードを公開することができます。多くの組織では、最初は手動で開始し、レポートの量が増加した段階でマネージドツールに移行しています。

• について
• 最新記事

Ahona Rudra

ドメインおよびメールセキュリティの専門家（所属： PowerDMARC

AhonaはPowerDMARCのマーケティングマネージャーで、サイバーセキュリティのトピックについて5年以上の執筆経験があり、ドメインと電子メールのセキュリティを専門としている。ジャーナリズムとコミュニケーションの卒業後学位を取得し、2019年からセキュリティ分野でキャリアを固めている。

最新記事 by Ahona Rudra(全て見る)

• FAXのセキュリティ：2026年に機密文書を保護するための完全ガイド - 2026年7月30日
• メールフィルタリングサービスとは？ - 2026年7月29日
• メールのなりすまし：その仕組みと対策 - 2026年7月29日