DMARCとは？仕組み・SPFやDKIMとの違い・レコードの書き方を解説【2026年版】

DMARC（ディーマーク）は、自社ドメインを装ったなりすましメールを受信側で拒否・隔離させる送信ドメイン認証の仕組みです。GoogleとYahooが2024年2月、Microsoftが2025年5月に大量送信者へDMARC設定を義務付けて以降、メールを確実に届けるための前提条件になりました。この記事では、DMARCの読み方と役割、SPFやDKIMとの違い、レコード（タグ）の書き方、DNSでの設定と確認、レポートの読み方、そしてポリシーの段階運用までを順に整理します。

まとめ｜DMARCの要点

• DMARCは送信元ドメインのなりすましを検知し、SPF・DKIMの認証結果をもとに受信側のポリシー（none／quarantine／reject）を指示する仕組み。読み方は「ディーマーク」。
• SPFは送信元IPを、DKIMは電子署名を検証する。DMARCは両者を束ね、Fromドメインとの一致（アライメント）を判定し、認証失敗時の扱いとレポート送付先を定める。
• レコードはDNSに _dmarc.ドメイン名 のTXTとして1本公開する。まず p=none で観測し、レポートを集めてから quarantine → reject へ段階的に強化する。
• 2024年のGoogle・Yahoo、2025年のMicrosoftの一括送信者要件で、1日5,000通以上の送信者はDMARC公開が事実上必須。2026年にはDMARCbis（RFC 9989）が標準化され、pctタグ廃止などの変更が入った。

以下、定義から設定・運用までを具体的に見ていきます。

DMARCとは？読み方となりすまし対策における役割

DMARCは Domain-based Message Authentication, Reporting and Conformance の略で、読み方は「ディーマーク」です。送信元ドメインの詐称を受信側が検知し、ドメイン所有者が事前に指定したポリシーに従って、なりすましメールを拒否・隔離します。

攻撃者が正規の企業ドメインを騙って送るフィッシングは、SPFやDKIMだけでは止めきれません。この2つは「認証に失敗したメールをどう扱うか」を送信側が指示できず、受信側の裁量に委ねられるためです。DMARCを p=reject で運用すると、認証に失敗したなりすましメールは受信側で配送前に拒否されます。DMARCは送信ドメイン認証の最終判断とレポートを担う、なりすまし対策の要と言えます。

SPF・DKIMとDMARCの関係｜3つの送信ドメイン認証の役割分担

DMARCはSPFとDKIMを土台にした上位の仕組みで、単独では機能しません。3つの違いを押さえると、設定すべき順序が見えてきます。

SPFとDKIMは「認証が通ったか」を判定するだけで、失敗時の扱いは受信側任せです。DMARCが加わると、FromヘッダのドメインとSPF／DKIMの認証ドメインが一致するか（アライメント）まで見て、ドメイン所有者の指示どおりに処理します。SPF側の設定判断はSPFとは？メール認証の仕組み・SPFレコードの書き方と設定の判断基準を解説で詳しく扱っています。

DMARCの仕組み｜認証フローとアライメントの判定

受信サーバーがメールを受け取ってからDMARCで処理するまでは、次の流れで進みます。

• Fromヘッダのドメインから _dmarc.ドメイン名 のTXTレコードを取得する。
• SPF（Return-Pathドメイン）とDKIM（署名のd=ドメイン）の認証結果を確認する。
• 認証ドメインがFrom表示ドメインと一致するか（アライメント）を判定する。SPFかDKIMのどちらか一方でもアライメントが取れれば、DMARCはpassとなる。
• 失敗した場合、レコードの p= に従って none（何もしない）／quarantine（迷惑メール送り）／reject（拒否）を適用する。
• 集計結果を rua で指定したアドレスへレポート送信する。

アライメントには relaxed（組織ドメインが一致すればよい・既定）と strict（完全一致）があり、adkim・aspf で切り替えます。転送メールはSPFのアライメントが崩れやすいため、DKIMアライメントが通る状態にしておくと、正規メールの誤判定を減らせます。

DMARCレコードの書き方｜主要タグ一覧と記述例

DMARCレコードは、DNSに _dmarc.example.com のTXTとして1本公開します。観測から始める実用的な例は次のとおりです。

_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:[email protected]; adkim=r; aspf=r"

主要タグの意味を整理します。

サブドメインを本体と別扱いにするなら sp を明示します。pct は一部のメールにだけポリシーを適用する移行用タグですが、後述のDMARCbis（RFC 9989）で廃止されたため、新規運用で頼らない方が無難です。rua を入れておかないとレポートが届かず、次の段階へ進む判断ができません。

DMARCの設定と確認の手順｜DNS登録から検証まで

導入は順序を守ると、正規メールを弾く事故を避けられます。

• 先にSPFとDKIMを正しく設定し、主要な送信経路すべてで認証が通る状態にする。
• p=none ＋ rua付きのDMARCレコードをDNSに登録し、まず観測モードで公開する。
• 1〜4週間レポートを集め、自社の正規メールがすべて認証を通っているかを確認する。
• 問題がなければ p=quarantine、さらに p=reject へ引き上げる。

公開したレコードは dig txt _dmarc.example.com やオンラインのDMARCチェッカーで確認できます。受信したメールがDMARCを通ったかは、GmailやOutlookでメッセージのソース（ヘッダ）を開き、Authentication-Results の dmarc=pass／dmarc=fail を見れば判定できます。

DMARCレポート（rua／ruf）の読み方と送信元の分析

rua で届く集計レポートはXML形式で、送信元IPごとに「何通が送られ、SPF・DKIM・DMARCをいくつ通過したか」が並びます。ここに、自社が把握していない送信元（メール配信SaaS・転送・なりすまし）が浮かび上がります。

正規の送信元なのに失敗しているものはSPF／DKIMの設定漏れ、正規でない送信元からの大量送信はなりすましの兆候です。XMLは可読性が低いため、可視化ツールに取り込むと送信元別の傾向を追いやすくなります。ruf（失敗レポート）は個別メール単位で詳細ですが、プライバシー配慮で送信する受信側が減っており、実務では rua を中心に運用します。

ポリシーはnoneからrejectへ｜導入メリットと段階運用

DMARCのメリットは、なりすましの拒否によるブランド保護と、認証を整えることによる正規メールの到達率向上の両面にあります。ただし p=none は「観測するだけ」で、なりすましは1通も止まりません。防御効果が出るのは quarantine 以上、確実に止めるなら reject です。

いきなり reject にすると、自社のメール配信SaaSや部門サーバーから出る正規メールまで弾く事故が起きるため、none → quarantine → reject と段階を踏みます。日本企業のポリシー適用状況とrejectへ移行する実務手順はDMARCの仕組みとnone・quarantine・rejectが分けるなりすまし防御の差で数値付きに解説しています。フィッシング対策ガイドラインが求める強化水準はフィッシング対策ガイドライン2026年度版が示すDMARC強化の全体像を参照してください。

【2026年版】DMARC導入でつまずくポイントと最新動向

最もつまずきやすいのは、SPFの参照（DNSルックアップ）が10回上限を超えてSPF自体が恒久エラーになり、DMARCまで失敗するケースです。これに次いで多いのが、メール配信SaaSや外部ツールを認証設定に含め忘れ、reject移行時に正規メールが拒否される事故。さらにサブドメインからの送信を sp で制御し忘れると、想定外の経路が無防備なまま残ります。

制度と仕様も動いています。GoogleとYahooは2024年2月、Microsoftは2025年5月から、1日5,000通以上の送信者にSPF・DKIM・DMARC（最低でも p=none）を要求し、非対応メールは拒否されるようになりました。さらに2026年には、DMARCの改訂版であるDMARCbisが RFC 9989〜9991 として標準化され、コア仕様の RFC 9989 が従来の RFC 7489 を置き換えています。組織ドメインの判定は公開サフィックスリストからDNSツリーウォーク方式に変わり、pct タグは廃止されました。2026年のメール環境では、p=none のまま放置する運用はセキュリティ面でも到達率の面でも不十分で、レポートを見ながら reject まで進めることが前提になっています。タグの最新対応状況は公式仕様や利用する受信側のドキュメントで確認してください。

よくある質問

DMARCの読み方は？

「ディーマーク」と読みます。Domain-based Message Authentication, Reporting and Conformance の頭字語で、SPF・DKIMと並ぶ送信ドメイン認証の1つです。

SPFとDKIMを設定していればDMARCは不要ですか？

不要ではありません。SPFとDKIMは認証失敗時の扱いを送信側から指示できず、Fromの表示ドメインの詐称も直接は防げません。DMARCがアライメント判定とポリシー適用、レポートを担うため、3つをセットで運用して初めてなりすまし対策として機能します。

DMARCはp=noneのままでも効果がありますか？

なりすましを止める効果はありません。p=none はレポートを集めるための観測専用です。ただしGoogleなどの一括送信者要件は p=none でも満たせます。防御効果を得るには quarantine か reject へ引き上げる必要があります。

DMARCは無料で導入できますか？

DNSにTXTレコードを1本追加するだけなので、追加費用なしで始められます。レポート解析を効率化する有償ツールもありますが、導入自体に必須ではありません。

DMARCbis（RFC 9989）で何が変わりましたか？

2026年に標準化された改訂版で、組織ドメイン判定がDNSツリーウォークに変わり、pct タグが廃止されました。ただし「p=noneで観測しrejectへ進める」という基本的な運用の考え方は変わっていません。

関連記事

• SPFとは？メール認証の仕組み・SPFレコードの書き方と設定の判断基準を解説
• DMARCの仕組みとnone・quarantine・rejectが分けるなりすまし防御の差
• フィッシング対策ガイドライン2026年度版が示すDMARC強化の全体像