DMARCの隔離とは？ p=quarantine ポリシーの解説
by
最終更新日: 6 読了時間：約6分
主なポイント
- p=quarantine は、DMARC の強制適用中に、正当なメールを永久に失うリスクを負うことなく、不審なメールを審査するために使用されます。
- 隔離されたメールは、通常、受信者のスパムフォルダや迷惑メールフォルダに振り分けられます。
- この段階では、正当な送信元が適切に認証されていることを確認するため、DMARCレポートを定期的に確認することが不可欠です。
- スプーフィングに対する最大限の防御を実現するためには、常に「p=reject」ポリシーへと移行することを目標とすべきである。
DMARCの隔離（p=quarantine）とは、DMARC認証に失敗したメッセージを、受信トレイ以外の場所に配信するよう受信メールサーバーに指示するDMARCポリシーです。通常、これはメッセージを完全にブロックするのではなく、スパムや迷惑メールフォルダに振り分けることを意味します。
DMARCの隔離とは何ですか？
DMARCの隔離（quarantine）は、ドメインのDMARCレコード内で指定される適用ポリシーです。送信者がそのドメインを名乗ってメールを送信すると、受信側のメールサーバーは、公開されているSPF（Sender Policy Framework）およびDKIM（DomainKeys Identified Mail）レコードと照合してメッセージを検証します。メールがこれらの認証チェックに失敗し、かつDMARCポリシーが「p=quarantine」に設定されている場合、受信側に対してそのメールを不審なものとして扱うよう指示されます。
受信者は、そのメールを完全に拒否したり、通常通り受信トレイに配信したりする代わりに、隔離します。この措置により、受信者はフィッシングやなりすまし攻撃の脅威から保護されると同時に、メッセージを別のフォルダに配信することも可能になります。
DMARCの隔離ポリシーはどのように実行されるのか？
DMARC隔離ポリシーの実行には、送信者が公開しているDNSレコードと受信側のメール転送エージェントとの間の連携プロセスが必要です。
- ポリシーの公開：ドメイン所有者は、p=quarantine タグを含む DMARC TXT レコードを自身の DNS に公開します。
- 認証チェック：そのドメインから送信されたと主張するメールを受信すると、受信者のメールサーバーはSPFおよびDKIMの署名を検証します。
- DMARC の整合性：受信側は DMARC の整合性を確認します。SPF または DKIM の検証に使用されるドメインは、表示されている「From」アドレスに記載されているドメインと一致している必要があります。
- ポリシーの適用：SPFとDKIMの両方が失敗した場合、あるいは両方が成功したものの「From」ドメインと一致しない場合、DMARCチェックは失敗となります。受信サーバーはDMARCレコードを参照し、p=quarantineと確認すると、指定されたアクションを適用します。
- レポート：受信サーバーは、認証結果を詳細に記した集計XMLレポートを生成し、DMARCレコードのruaタグで指定されたメールアドレス宛てに送信します。
隔離されたメールはどこへ行くのか？
DMARCポリシーにより受信側にメールの隔離が指示された場合、具体的な隔離先は、受信側のメールプロバイダーがどのような手順を実装しているかによって異なります。隔離は推奨事項であり、プロバイダーによってその扱いは異なります。
- Google Workspace / Gmail：隔離されたメールは通常、ユーザーの「スパム」フォルダに直接配信されます。多くの場合、そのメールが確認できなかったことを示す警告バナーがユーザーに表示されます。
- Microsoft 365 / Outlook：Microsoft では、組織の設定に応じて隔離の処理方法が異なります。デフォルトでは、隔離されたメッセージは多くの場合、ユーザーの「迷惑メール」フォルダーに振り分けられます。また、管理者は Microsoft Defender for Office 365 を設定して、これらのメッセージを一元化された Microsoft 365 隔離ポータルに転送するようにすることもできます。この場合、エンドユーザーがメッセージにアクセスするには、管理者がそのメッセージを確認して解放する必要があります。
- Yahoo：Googleと同様に、Yahooでは通常、DMARCの検証に失敗したメールを、隔離ポリシーに基づきユーザーのスパムフォルダに振り分けます。
DMARC隔離ポリシーの動作に関する段階的な分析
検疫ポリシーの運用は、継続的な監視と調整に大きく依存しています。検疫状態に移行した際は、受信機によって生成されたXMLレポートを積極的に分析する必要があります。
これらのレポートでは、認証に失敗している送信元IPアドレスが特定されます。おそらく、CRMやマーケティングプラットフォーム、サポートチケットシステムなど、正当なサードパーティの送信元であっても、設定が不適切だったケースが見つかるでしょう。隔離期間を設けることで、これらの送信元を特定し、SPFやDKIMの設定を修正した上で、その後のレポートで変更内容を確認することができます。これにより、メールを即座にバウンスさせてしまうような深刻な影響を避けることができます。
DMARC検疫ポリシーの重要性
p=隔離ポリシーは、極めて重要なセーフティネットとしての役割を果たします。監視フェーズから直接完全な適用に移行することは、非常にリスクが高いです。もし未発見の正当な送信元が存在する場合、拒否ポリシーを適用すると、それらの重要なメールが気づかれることなく配信に失敗し、業務に支障をきたすことになります。
「検疫」機能を使用すると、実環境においてメール認証の状況を検証することができます。この機能は、なりすましメールを受信トレイから排除することでドメインの評判を保護し始めますが、設定ミスによる正当なメールであっても、必要に応じて受信者が取得できるよう、十分な柔軟性を備えています。これにより、最終的に拒否措置に移行する前に、信頼性を高めることができます。
DMARCの隔離措置の例
以下に、隔離ポリシーを設定したDMARCレコードの一般的な例を示します。これらのレコードを作成するには、当社のDMARCレコード生成ツールをご利用いただけます。また、公開後にその有効性を確認するには、当社のDMARCレコードチェッカーをご利用ください。
v=DMARC1; p=quarantine; rua=mailto:[email protected];
指定されたアドレスに集計レポートを送信する、標準的な検疫ポリシーです。
v=DMARC1; p=quarantine; t=y; rua=mailto:[email protected];
新しいDMARCテストタグ（t=y）を使用するポリシーです。これにより、設定のテスト中は、受信側に対して、検証に失敗したメールを、ポリシーが1段階低いレベル（監視のみ）であるかのように扱うよう指示します。
v=DMARC1; p=quarantine; sp=reject; rua=mailto:[email protected];
メインドメインには検疫を適用するが、サブドメインからのものだと主張する送信に失敗したメールは拒否するポリシー。
「pct=」タグ：メールをどれくらい隔離すべきか？
従来、pctタグは、ポリシーの適用を段階的に行うために使用されていました。ドメイン所有者は、ポリシーに違反するすべてのメールにポリシーを適用する代わりに、適用対象の割合を指定することができました。
ベストプラクティスとしては、pct=10 といった低い割合から始め、段階的に導入を進めることが挙げられます。管理者は集計レポートを監視してその影響を確認します。正当なメールが認証を通過しているという確信が持てるようになったら、割合を段階的に（例えば 25、50、75 の順に）引き上げ、100 に達するまで続けます。その時点で初めて、拒否ポリシーへの移行を検討することになります。 pct値を恒久的に低く設定したままにすると、なりすましメールの相当な割合が規制の対象外となり、DMARCの本来の目的が達成できなくなります。
重要なお知らせ：の廃止について
pctDMARC仕様は、以下の公開に伴い正式に更新されました。 RFC 9989. この新しい基準の下では、
pctこのタグは非推奨となりました。これまでの経験から、このタグは受信側によって実装が統一されておらず、恒久的な安全策として不適切に使用されることが多かったことが判明しました。DMARCbisは、このタグに代わってpctより単純なバイナリテストタグでタグ付けする：t=yテストモードの場合、またはt=n執行のために。
t=y: 受信者に対し、配信に失敗したメールについては、ポリシーが1段階低いものとして扱うよう指示します。たとえば、次のような検疫ポリシーを公開した場合、t=y, 受信側はこれを単なる監視として扱います。これにより、段階的な展開が事実上置き換えられます。t=n: 受信側にポリシーを完全に適用するよう指示します。タグが省略された場合のデフォルトの動作です。今日、DMARCの設定を行う場合は、以下のことを避けるべきです。
pctテスト用タグを使用して、DMARCbisへの準拠に向けた準備を行ってください。
おすすめ記事： DMARC RFC 9989、9990、および9991はRFC 7489に取って代わる
p=quarantine をいつ使用すべきか（そして、いつ次の段階に進むべきか）
p=none に設定した状態でレポートを十分に分析した上で、検疫ポリシーを導入すべきです。検疫に移行すべき判断基準は、レポートにおいて、既知の正当な送信元がすべて一貫して DMARC アラインメントに合格していることが確認できた場合です。DMARC ポリシーを有効にしないままにしておくと、なりすまし攻撃に対する脆弱性が残ったままとなります。
「検疫」は、監視と強制措置の間の重要な中間段階です。ただし、検疫の状態を無期限に放置してはいけません。検疫の状態を継続することのリスクは、なりすましメールが依然として受信者のスパムフォルダに届いてしまい、ユーザーが誤ってメールを開いたり、悪意のあるリンクをクリックしたりしてしまう可能性があることです。
p=quarantine からp=rejectへ移行する準備が整ったことを示す兆候は、検疫フォルダへの振り分け率が低下し、集計レポートで承認済み送信者に対するコンプライアンス率がほぼ 100% となっている場合です。移行を行う前に、正当なトラフィックに対するメッセージの拒否はごくまれであるべきです。
p=なし 対 p=隔離 対 p=拒否
これら3つのDMARCポリシーは、メールセキュリティ対策の各段階を表しています。「p=none」のポリシーは、トラフィックの監視のみを目的としたものです。一方、「p=quarantine」は、基準を満たさないメールをスパムフォルダに振り分ける、中間的な措置となります。最終的な目標は「p=reject」であり、これにより、不正なメールが配信される前にブロックされます。
おすすめ記事：DMARCポリシーについて詳しく知る。
よくあるご質問
DMARCレコードにおける「p=quarantine」とはどういう意味ですか？
この仕様では、DMARC認証に失敗したメールについて、受信者が疑わしいものとして扱うよう指示しています。通常、受信者は、認証に失敗したメールをメインの受信トレイではなく、スパムや迷惑メールフォルダに振り分けることで対応します。
DMARCによって隔離されたメールはどこへ送られるのでしょうか？
GmailやYahooなどの受信メールサービスによっては、通常、受信者のスパムフォルダや迷惑メールフォルダに振り分けられます。Microsoft 365などの一部の企業環境では、Microsoft 365の管理用隔離ポータルに振り分けられる場合があります。
DMARCによる隔離は、スパムフィルタリングと同じものですか？
いいえ。スパムフィルタリングでは、メールの内容や送信者の評判を評価し、そのメールが迷惑メールであるかどうかを判断します。一方、DMARCによる隔離は、そのメールがドメイン所有者によって承認されたものであることを暗号的に証明できなかったために講じられる特定の措置です。
p=quarantine と p=reject のどちらを使うべきでしょうか？
設定を安全にテストするには、まずは隔離から始めるべきです。最終的な目標は、スプーフィングを完全に防ぐための拒否ポリシーを確立することです。
pctタグでは、何パーセントに設定すればよいでしょうか？
従来、管理者は pct=10 といった低い数値から始め、徐々に 100 まで引き上げていました。新しい DMARCbis 仕様（RFC 9989）では、pct タグは非推奨となっており、代わりに新しいテスト用タグ（t=y）の使用に移行する必要があります。
「p=quarantine」の状態から「reject」に移行するまで、どのくらいの期間その状態を維持すべきですか？
すべての正当なメール送信元が認証に合格していることが、集計レポートで一貫して確認されるようになるまで、隔離状態を維持してください。これには通常、数週間から数か月にわたる監視と調整が必要です。
ドメインおよびメールセキュリティの専門家（所属： PowerDMARC
ユネスはPowerDMARCのオペレーションチームリーダーで、メール認証とセキュリティの専門知識を持つ。マイクロソフト認定のAzureアドミニストレーターアソシエイトであり、CompTIA A+やその他多くの資格を持っています。
最新記事 by Yunes Tarada(全て見る)
- Happyfox DKIM、DMARC、およびSPF設定ガイド - 2026年8月13日
- DMARCの隔離とは？ p=quarantine ポリシーの解説 - 2026年8月12日
- Twikey SPF、DKIM、DMARC 設定ガイド - 2026年8月11日
