日本における主要なDMARCソリューション（2026年）

日本におけるフィッシング被害は増加の一途をたどっている。「アンチフィッシング・ジャパン協議会」には 2,454,297件の通報 を受け付け、これは2024年の総件数の約1.43倍に相当する。DMARCレコードを公開するだけではもはや不十分です。規制当局や業界団体は、ドメインが「p=reject」の状態に達することを求めているからです。これにはツール、レポート分析、そして多くの場合外部の支援が必要となります。では、日本で候補に挙げる価値のあるDMARCソリューションはどれでしょうか？本ガイドでは、購入モデルごとに分類しています。具体的には、日本の販売代理店を持つグローバルプラットフォーム、国内プラットフォーム、そしてマネージドサービスです。 2026年10月時点で、各ベンダーの公式ページ、プレスリリース、日本のレビューサイトを基に調査を行い、確認できなかった点についてはその旨を明記しています。

2026年、なぜ日本の組織にはDMARCソリューションが必要なのか？

DMARC（Domain-based Message Authentication, Reporting and Conformance）は、SPF（Sender Policy Framework）およびDKIM（DomainKeys Identified Mail）の技術的な認証結果を、メールの受信者が目にする「From:」ヘッダーに直接紐づけることで、ドメインの一致を確認するメール認証プロトコルです。 ドメイン所有者は、DMARCの一致に失敗したメールに対して受信サーバーがどのように処理すべきか（無視、隔離、または拒否）を指定するポリシーをDNSに公開します。2025年9月以降に起きた3つの出来事がきっかけとなり、このポリシーは日本で経営陣レベルでの議題となりました。

• MIC、2025年9月1日。 同省は、4つの通信業界団体に対し、送信側および受信側の双方において、DMARCの設定を「検疫（quarantine）」または「拒否（reject）」に設定するよう会員企業に働きかけ、2026年8月まで3ヶ月ごとに進捗状況を報告するよう要請した。これは行政上の指針であり、法律ではない（ScanNetSecurity）。 
• JSDA、2025年10月15日。 証券口座の乗っ取り事件が急増したことを受け、同協会はインターネット取引ガイドラインを改定した。会員企業は、顧客へのメール送信に使用するドメインを特定し、DMARCレポートを確認した上で、拒否する設定を行う必要がある（ITリーダー）。
• 日本アンチフィッシング協議会、2026年6月1日。 2026年のガイドラインでは、送信者認証を必須項目として扱い、最終状態として「p=reject」を推奨している（ScanNetSecurity）。

日本におけるDMARCの導入率は高いものの、厳格な適用率は依然として極めて低い。によると PowerDMARCの 『日本におけるメールセキュリティおよびDMARC導入レポート』によると、 74.6% の日本国内ドメインがDMARCレコードを公開しているものの、実際に 9.2% のみが実際に厳格な p=reject ポリシーを適用してなりすましメールをブロックしている。実に 55.0% のドメインが依然として監視モード（p=none）の状態で、ドメインの利用状況を可視化しつつ攻撃を阻止することなく、監視モードに留まっています。SPFの導入率が基準を満たす）の状態で、攻撃を阻止することなくドメインの使用状況を可視化しています。SPFの導入率が 95.0％に達しているものの、と高い水準にあるものの、日本の組織の大多数は、監視段階から完全な適用へと移行できていない。 

日本でDMARCソリューションを購入するには？ 3つのモデル

国内のプラットフォーム には、DMARC/25 Analyze、Baremail、DNSJPなどがあり、これらは日本のベンダーが提供するもので、インターフェースも日本語対応しています。 セキュリティ企業やSIベンダーが提供する セキュリティ企業やSIベンダーが提供するマネージドサービスでは、導入時にエンジニアが割り当てられるため、ソフトウェア代に加えて人件費も支払うことになります。 PowerDMARC、Proofpoint、Red Sift、Valimail、dmarcian、DMARCeyeなどの であるPowerDMARC、Proofpoint、Red Sift、Valimail、dmarcian、DMARCeyeは、いずれも日本で販売されています。検討すべき点は、価格、言語、対応プロトコル、そしてDNS作業を誰が担当するかです。

日本でDMARCソリューションを選ぶ際、どのような点に注目すべきでしょうか？

• 日本語のインターフェースとレポート。 マーケティングサイトだけでなく、ダッシュボード自体も確認してください。例えば、DMARCeyeのウェブサイトは日本語ですが、ITreviewの掲載情報によると、管理画面は英語であるとのことです。
• レポートの処理。 集計レポート（RUA）および障害レポート（RUF）の分析に加え、送信者の氏名による特定が必要です。
• ホストされたレコード。 SPFの10件のルックアップ制限と、DKIMに対応していない送信システムは、「p=reject」となる最も一般的な要因です。
• ドメインの検出。 JSDAは、各企業が送信元となるすべてのドメインを特定することを求めています。dmarcianでは、ドメイン検出機能はエンタープライズプランに限定されています。
• データの保管場所と認証。 dmarcianは、データを日本国内に保管する日本向けインスタンスを運用しています。PowerDMARCはSOC 2 Type 2およびISO 27001の認証を取得しており、DMARC/25 AnalyzeはISO/IEC 27017の認証を取得しています。
• BIMIとVMC。 BIMI（Brand Indicators for Message Identification）では、Verified Mark Certificate（VMC）を取得する前に、DMARCの設定を「quarantine」または「reject」に設定する必要があります。

日本におけるグローバルDMARCソリューション 

PowerDMARC

PowerDMARCは、DMARC、SPF、DKIM、MTA-STS（Mail Transfer Agent Strict Transport Security）、TLS-RPT（TLSレポート）、およびBIMIレコードをホストし、集計レポートやエラーレポートを処理します。PowerDMARCは、日本国内に現地代理店を置き、現地の専門知識を提供しているほか、完全に日本語化されたインターフェースと24時間365日の日本語サポートも提供しています。 

プラットフォームの最新機能は以下の通りです：

• DNSセキュリティ監視：ネームサーバーの稼働状況、DNSSEC、CAAレコード、ダングリングCNAME、SSL証明書の有効期限、ドメイン登録状況、および類似ドメインについて、毎日自動チェックが実行されます。0～100のスコア、A～Fの評価、および変更前後の値が記載された変更履歴が提供されます。 
• 配信テスト: Gmail、Outlook、Yahoo、iCloud、AWS SES、Zoho Mailにおける受信トレイへの配信状況、RFC 8058に準拠したワンクリック配信停止機能の検証、メールコンテンツの包括的な分析、およびGoogle Postmaster Toolsとの連携。
• 組み込みAIエージェント: 「Basic」および「Enterprise」プランで利用可能なダッシュボード内アシスタント。プロトコルの障害を診断し、即座にガイダンスと修復策を提供します。 
• 統合型MCPサーバー: モデルコンテキストプロトコル（MCP）サーバーは、APIキーを使用して、Claude、Cursor、またはMCP互換のクライアントを、読み取りおよび書き込みアクセス権を持つアカウントに接続します。

当社の 日本におけるDMARCサービス。

プルーフポイント メール詐欺防御

Proofpoint Email Fraud Defense（EFD）は、DMARCレポートを読みやすいダッシュボードに変換し、類似ドメインを検知するほか、マネージドサポートも提供しています。価格については公表されていません。日本では3社のパートナーが販売しています。NRI SecureはProofpointのプラチナパートナーであり、NECはDNS設定の変更だけで利用できるクラウドサービスとして提供しています。また、日商エレクトロニクスはProofpointの運用レポートを日本語に翻訳し、定期的な会議でその内容を確認しています。

レッド・シフティング OnDMARC

Red Sift OnDMARCは、1つのコンソールからDMARC、SPF、DKIM、BIMI、MTA-STSを管理します。一度だけDNS設定を変更すれば、その「Dynamic DMARC」機能により、以降DNSに手を加えることなく、プラットフォーム内でレコードを更新できます。Soliton Systemsは日本で本製品を販売しており、シスコのDMARC可視化ソリューションとして位置付けています。 

バリメール

Valimailは、手動によるXMLレポートの分析を不要にする、自動化されたIDベースのアプローチを通じて、DMARCの適用とBIMIへの対応を自動化します。独自の「Instant SPF」テクノロジーにより、従来のDNSルックアップ10回という制限を回避し、大企業がSPF検証に失敗することなく、サードパーティの送信者を継続的に認証できるようにします。 日本においては、Valimailはサイバネットシステムズ株式会社などの現地販売パートナーを通じて事業を展開しており、組織に対して現地語によるサポートや円建ての請求を提供しています。Valimail Monitorでは、基本的なドメイン可視化機能を提供する無料のエントリーレベルプランが用意されていますが、Valimail Enforceによる完全な適用については、企業向けの個別見積もりに基づいて提供されます。 

ドマルシャン

dmarcianは、日本語サイトとアジア太平洋地域向けページを通じて、日本で直接販売を行っています。同社の日本向けシステムでは、日本の顧客データを日本国内に保管しており、これにより「個人情報の保護に関する法律（APPI）」に基づく越境データ移転の問題に対応しています。 

DMARCeye

DMARCeyeは、2024年に設立されたプラハを拠点とするベンダーで、DMARCモニタリングにAIレポート分析機能とアプリ内AIチャットを追加しています。ウェブサイトとブログは日本語ですが、ITreviewの掲載情報によるとダッシュボードは英語となっているため、試用版で現在の対応言語を確認してください。

日本のDMARCソリューション：国内プラットフォーム

DMARC/25 分析 (TwoFive)

「DMARC/25 Analyze」は、TwoFiveが提供するDMARCレポートの収集・可視化を行うクラウドサービスです。このサービスには、日次アラートやポリシーシミュレーターが含まれており、TwoFiveは2026年6月24日、同サービスがISO/IEC 27017の認証を取得したことを発表しました。料金については公表されていません。 

最適な対象：日常的なDMARCレポートの管理を行っている組織。

Baremail DMARC 分析（LINK Inc.）

Baremailは、スパムスコアリングサービスの一環としてDMARC分析を提供しています。ダッシュボードでは、レポートを集約し、送信元IP、認証結果、リバースルックアップごとにフィルタリングできます。自動アラートにより問題点を通知し、テストメールによる診断では、DNS設定、メッセージ形式、Message-ID、送信元IP、本文を確認します。 すべての顧客はサービス開始時に利用方法の説明を受け、有料のプレミアムサポートではポリシーの厳格化にも対応しています。ITreviewによると、プランやドメイン数に応じて月額24,000円から65,000円のプランが用意されており、iMitsuによると、スパムスコアリングサービスのセットアップ費用は50,000円となっています。ITreviewのあるレビュアーは、このアドオンの価格体系が分かりにくいと感じていました。 

最適な対象：DMARCレポートに加えて配信状況の診断機能も必要とするチーム。

DNSJP

DNSJPは、日本のDNSおよびメール認証診断サービスです。「Starter」プランは月額980円で、1つのドメインに対してDNS、DMARC、SSLの daily モニタリングを提供します。「Pro」プランは月額4,980円で、DMARC RUAレポートの分析、20ドメインに対する1時間ごとのモニタリング、および60日分の履歴が追加されます。「Enterprise」プランはドメイン数無制限で15分ごとのチェックが可能ですが、料金は要見積もりです。RUA分析は「Pro」プランから利用可能ですが、ITreviewにはまだレビューが掲載されていません。 

おすすめ：低コストの監視機能を求める小規模チーム。

日本におけるDMARC管理サービス

NRI Secure

DMARCの導入および運用サポートを提供しており、ソリューションページには別のDMARCレポート可視化サービスも掲載されています。

日立ソリューションズ

以下のサービスを立ち上げました DMARC導入支援サービス を立ち上げました。このサービスは、Hornetsecurity社のDMARC Managerを基盤としており、なりすまし攻撃の試みや正規メールのDMARC結果を可視化し、BIMIにも対応しています。

小規模なアドバイザリーサービス

2025年10月28日に開始されたFeedtailorのDMARCアドバイザリーサービスの料金は 3ヶ月間で198,000円 で、月額料金はかかりません。また、p=rejectの実現を目指しています。Fortience ConsultingとTwoFiveは、複数のチームや外部委託業者が1つのドメインを共有している組織向けに、DMARC導入支援を共同で提供しています。

日本におけるDMARCソリューションの比較

日本でDMARCを導入するには？ p=noneからp=rejectへ

1. すべてのドメインを棚卸ししてください。 パークドメインやメール送信を行っていないドメインも含めること。JSDAは、各企業が顧客へのメール送信に使用しているドメインを特定することを求めています。
2. 公開 p=なし レポート機能付きで。 RUAアドレスを追加し、すべての送信者を特定できるまでレポートを収集してください。
3. SPFとDKIMの整合性を修正してください。 各メールサービスプロバイダー（ESP）およびSaaS送信者を順に確認してください。SPFの照会制限や、DKIMによる署名ができない送信者が、よくある問題点です。
4. 隔離フォルダに移動。 正当なメールがスパムフォルダに振り分けられていないか確認し、まずはそれらの送信者を修正してください。
5. 却下する方向で進めてください。 レポートに問題がないことが確認できたら、この操作を行ってください。また、DMARCは2026年5月にRFC 9989として改訂されましたので、ベンダーにこの更新への対応について確認してください。

まとめ

日本におけるDMARCソリューションは3つのタイプに分類され、適切な選択は誰が運用を担当するかによって決まります。日本国内の契約の場合は国内プラットフォームを、チーム内にDNSやメールの管理担当者がいない場合はマネージドサービスを選択し、ホスト型レコードやより広範なプロトコル対応が必要な場合はグローバルプラットフォームを選択してください。いずれを選択する場合でも、p=noneではなくp=rejectを想定して計画を立ててください。PowerDMARCをお試しになりたい場合は、15日間の無料トライアルを開始するか、デモをご予約ください。 

詳細については、当社の おすすめのDMARCプロバイダー一覧をご覧ください。

よくあるご質問

日本ではDMARCは義務付けられていますか？

はい。Google、Yahoo（2024年2月以降）、およびMicrosoft（2025年5月以降）は、大量送信者に対してDMARCの導入を義務付けているため、大量のメールを送信する者は誰でもこれを実装する必要があります。 

ただし、MICの要請は通信事業者に対する行政上の指針であるのに対し、JSDAのガイドラインは加盟証券会社に適用されるものであり、フィッシング対策協議会のガイドラインは勧告である。 

日本の規制当局は、どのDMARCポリシーを推奨しているのでしょうか？

最終的な目標は p=reject です。JSDA は加盟企業に対し、レポートを確認した上で「拒否」に移行するよう指示しており、フィッシング対策協議会のガイドラインでもこれが推奨されています。MIC の要請は若干柔軟性があり、通信事業者に対して「隔離」または「拒否」の方針を求めるものです。最初は p=none から始めますが、最終的には「拒否」に移行できるよう準備してください。

DMARCツールは、直接購入すべきか、それとも日本の販売代理店を通じて購入すべきでしょうか？

直接購入は、導入するための最も迅速かつ直接的な方法です。日本の販売代理店が必要となるのは、調達プロセスにおいて、日本国内での契約、円建ての請求書発行、または現地に合わせた導入手続きが特に求められる場合に限られます。

どのDMARCソリューションが日本語対応していますか？

PowerDMARC（24時間日本語サポート）、Baremail（利用方法の解説およびオプションのプレミアムサポート）、TwoFive社のDMARC/25 Analyze、およびNRI Secure、NEC、または日商エレクトロニクスを通じて提供されるProofpoint EFD。dmarcianとDMARCeyeには日本語のウェブサイトがありますが、DMARCeyeのダッシュボードは英語で表示されるため、インターフェースを確認してください。

日本では、DMARCソリューションの費用はどれくらいかかりますか？

価格は無料から見積もり制までさまざまです。PowerDMARCは、無料のパーソナルプランと、世界中で月額約1,200円のベーシックプランを提供しています。DMARCEyeはドメインあたり約600円、Baremailは月額24,000円から65,000円、Feedtailorのコンサルティングは3ヶ月で198,000円です。 Proofpoint、Valimail、DMARC/25については、見積もり制となっています。

p=reject に到達するまでどれくらいかかりますか？

p=reject に到達するまでの時間は、運用している送信システムの数や、送信環境の複雑さによって異なります。PowerDMARC によるガイド付き適用を通じて、ほとんどの組織はわずか数週間でポリシー目標を達成しています。