DMARCのquarantineとrejectの違い｜日経225企業の設定率69.8%とドメイン保護率18.5%

DMARCのポリシーは、認証に失敗したメールを受信側にどう扱ってほしいかを示す値で、none（希望を示さない）、quarantine（疑わしいメールとして扱う）、reject（ドメインの不正使用とみなす）の3段階があります。TwoFiveが2026年5月21日に発表した調査では、日経225企業の69.8%にあたる157社が少なくとも1つのドメインでquarantineかrejectを設定していました。ところがドメイン単位で数えると、強制力のあるポリシーで守られているのは18.5%しかありません。この記事では、3つのポリシーの違いを2026年5月発行のRFC 9989の定義で確認したうえで、日本企業の設定率の推移、証券会社との差、自社ドメインの確かめ方までを一次資料の数字で整理します。

まとめ｜DMARCポリシーの違いと日本企業の設定状況

• noneは監視だけ、quarantineは疑わしいメールとしての扱い（多くは迷惑メールフォルダ）、rejectは受信拒否を求める設定。ただし最終的な処理は受信側の判断で、RFC 9989は「p=rejectだけを理由に拒否してはならない」と定めている。
• 日経225企業のDMARC導入は213社（94.7%）、quarantineかrejectを持つ企業は157社（69.8%）。2023年11月の68.0%（導入率）から、Googleなどの送信者ガイドラインを境に急伸した。
• ドメイン単位では、DMARC設定済み3,627ドメインのうち強制ポリシーは1,007ドメイン（27.8%）。設定のないサブドメインまで含めた実質の保護率は18.5%で、約7割はnone、約1割はDMARCが適用されていない。
• 証券会社は日本証券業協会のガイドライン改正（2025年10月15日施行・最終的にrejectを求める）を受け、実質保護率48.7%と日経225の2.6倍に達している。
• 段階移行に使われてきたpctタグはRFC 9989で廃止され、試験運用はt=yで表す。自社の状況はdigで _dmarc のTXTレコードを引けば数分で確認できる。

以下、ポリシーの定義、日経225の推移、数字が乖離する理由、証券業界の動き、確認手順の順に見ていきます。DMARCそのものの仕組みはDMARCの仕組みとレコードの書き方の解説で扱っています。

none・quarantine・rejectの違い｜RFC 9989の定義と受信側の扱い

DMARCのpタグは、SPFまたはDKIMの認証に成功し、その認証ドメインが差出人（ヘッダーFrom）とアライメントする、という条件（既定の緩和モードでは組織ドメインの一致、厳格モードでは完全一致）を満たさなかったメールについて、ドメイン所有者の希望を受信側へ伝えます。2026年5月にRFC 7489を置き換えたRFC 9989は、3つの値を次のように定義しています。

RFC 9989の3.2.9節は、quarantineかrejectを公開したドメインについて、DMARCに参加しドメイン所有者の希望を尊重する受信側では、検証に通らないメールは受信箱に届かないと説明しています。TwoFiveの調査がquarantineとrejectを「強制力のあるポリシー」として一括りに数えるのも、この共通点によるものです。

quarantineとrejectの差｜受信側に求める処理

両者の違いは、認証に失敗したメールを受信者の手元に残す扱いを求めるか、受け取らないよう求めるかです。quarantineでは多くの受信サービスが迷惑メールフォルダへ振り分けるため、受信者がフォルダを開けば読めてしまいます。rejectは配送前の拒否を求めるので、受信側が従えば受信者の目に触れません。自社ドメインを詐称するメールへの対策を強めるなら、正規メールへの影響を確認したうえでrejectを目指します。ただし、類似ドメインや表示名を使ったなりすましはDMARCだけでは防げません。

ただし「rejectにすれば完全に遮断できる」とは言えません。RFC 9989の5.4節は、メールの最終的な扱いは常に受信側のローカルポリシーに委ねられると定め、7.4節は受信側に対してp=rejectだけを根拠に拒否してはならず、ほかの判断材料がなければquarantineとして扱うべきと求めています。メーリングリスト経由の正規メールまで落とさないための規定で、rejectは「拒否してよい」という強い意思表示であって、拒否の保証ではありません。

サブドメインに効くspとnp｜TwoFive調査が数える「継承」

pタグの値は、そのドメインと配下のサブドメインに適用されます。サブドメインに別の値を使うときはspタグ（存在するサブドメイン）とnpタグ（DNSに存在しないサブドメイン）で上書きします。npを書かなければspが、spも書かなければpが、存在しないサブドメインにも適用されます。

TwoFive調査の「実質」という数え方はこの継承を反映したものです。日経225企業のサブドメイン7,236のうち、自身にはDMARCレコードがなくても組織ドメインの設定が適用されるものが4,656あり、これを明示的に設定済みの組織ドメイン1,135とサブドメイン2,492に足した8,283ドメイン（全9,301ドメインの89.1%）を実質的な適用範囲としています。逆に言えば、組織ドメインにp=rejectを置いても sp=none を併記すれば、独自のDMARCレコードを持たないサブドメインにはnoneが適用され、保護対象から外れます。

pctタグの廃止｜RFC 9989の試験運用タグt=y

従来は pct=10 のように一部のメールだけに強いポリシーを当てて段階的に移行する方法が広く紹介されてきました。RFC 9989の付録A.6は、0と100以外の値は受信側の実装ごとにばらつき、正確に適用されないことが多かったとして、pctを廃止しました。代わりに追加されたのがtタグで、t=y を付けると、ポリシーをそのまま適用せず1段階弱い扱い（rejectならquarantine、quarantineならnone）にしてほしいという合図になります。同時にレポート関連のrfタグとriタグも廃止されました。RFC 9989は未知のタグを無視するよう定めているので、RFC 9989に準拠した受信側ではpctは効きません。一方、GoogleのWorkspace管理者ヘルプは2026年10月時点でもDMARCの展開時にpctを含めることを推奨しており、旧仕様（RFC 7489）のまま動く受信側ではpctが解釈されます。当面は、pctとtのどちらも受信側によって効いたり効かなかったりする前提で、段階移行の安全策を試験タグだけに頼らないことが大切です。

日経225企業のDMARC導入率と強制ポリシー率の推移（2022〜2026年）

TwoFiveは2022年2月から、日経225企業のドメインのDNSレコードを直接引いてDMARCの設定状況を調べ、5月と11月に結果を公表しています。各回の発表資料から、企業数ベースとドメイン数ベースの値を並べると次のとおりです。

※出典はTwoFiveの2026年5月版発表と、同ページに一覧のある過去の各回発表。数値は各版の公表値。2022年2月は2022年5月版・2023年5月版の差分記載、2022年11月と2023年11月の一部は翌年版の「1年前」の値。強制ポリシー企業の割合は全225社に対する比率。

導入率の転機は2023年10月のGoogleと米Yahoo!による送信者ガイドラインの発表です。2023年11月の68.0%が、3か月後の2024年2月の臨時調査で85.8%へ17.8ポイント跳ね上がりました。その後は92〜95%で頭打ちになり、増加の中心は「導入」から「quarantine・rejectへの切り替え」へ移っています。強制ポリシー企業は2024年11月の50.7%から1年半で19.1ポイント伸びました。

前年値の版間差異｜比較時の出典と集計条件

2026年5月版は強制ポリシー企業の「1年前」を53.8%として16.0ポイント増と書いていますが、2025年5月版が発表した値は55.1%（124社）でした。ドメインベースでも、2026年5月版本文の「1年前（19.8%）」に対して2025年5月版の発表値は19.1%で、2026年5月版の冒頭では同じ指標を27.7%（前年比8.6ポイント増）としています。資料には、前年値の差や同じ版の27.7%と27.8%の不一致について理由の説明がありません。社内報告では出典の版と分母を明記し、資料内の不一致も注記してください。理由が確認できない差分は、確定的な増減として扱わないでください。

企業数で69.8%、ドメイン数で18.5%｜数字が乖離する理由

企業数ベースの集計は、1社が数十のドメインを持っていても、そのうち1つにquarantineかrejectがあれば「設定済み」と数えます。代表ドメインだけをrejectにして、キャンペーン用や子会社、サービスごとに取ったドメインをnoneのまま残している企業も69.8%に含まれます。2026年5月時点の実質保護率18.5%を全9,301ドメインに当てはめると、保護されているのは約1,700ドメインで、残り約7,600ドメインには、この調査上、DMARCによる隔離・拒否を求めるポリシーが適用されていません。

上の表で見落とされやすいのが、ドメインベースの強制ポリシー率が途中で上昇した回を挟みながら、2022年5月の33.5%から2025年5月の19.1%へ低下した点です。強制ポリシーのドメイン数そのものは、2023年5月の約310（971×31.7%）から2025年5月の約640（3,367×19.1%）へ2倍強に増えています。それでも比率が下がったのは、同じ期間に分母のDMARC設定済みドメインが971から3,367へ3.5倍に増え、強制ポリシーの伸びを上回ったためです。分母が急増した時期は、Googleなどの送信者ガイドラインが最低限のp=noneを求めた時期と重なります。2026年5月は1,007ドメインまで増えて比率も27.8%へ戻りました。率だけを見ると停滞に見えても、保護済みドメインの絶対数は伸び続けています。

この構造から言えるのは、次に打つべき手が「新しいドメインにDMARCを入れる」ことではなく、「none のまま置かれている既存ドメインを棚卸しして、使っていないものはrejectで塞ぐ」ことだという点です。メールを送らないドメインは、ポリシーを継承する配下のサブドメインにも正規の送信がないことを確認できれば、v=DMARC1; p=reject; と、SPFの v=spf1 -all を置くだけで保護対象にできます。

証券会社のDMARC保護率48.7%と日本証券業協会ガイドライン

TwoFiveは2025年11月版から、日本証券業協会の協会員企業を別枠で公表しています（2025年5月時点の値は比較用に掲載）。2026年5月版の対象は200企業・421ドメインです。

企業単位の導入率は日経225に及ばない一方、強制ポリシーで守られるドメインの割合は2.6倍です。なお実質適用ドメイン率は2025年11月の91.3%から2026年5月は90.7%へわずかに下がっており、発表資料の「前年比18.3ポイント増」は2025年5月との比較です。対象ドメイン数が527から421へ変わっている点も含めて読む必要があります。BIMIの証明書（VMCまたはCMC）を公開するドメインは、同資料の比較期間で5から21へ増えました。

ガイドライン改正が求めるreject｜quarantineの途中段階は許容

日本証券業協会は「インターネット取引における不正アクセス等防止に向けたガイドライン」を改正し、2025年10月15日に施行しました（改正の発表資料とパブリックコメントの結果）。「フィッシング詐欺等被害未然防止のための措置」のスタンダードとして、顧客へ送信する電子メールのドメインを特定し、DMARC等を計画的に導入したうえで、DMARCレポート等を確認してポリシーを「reject」にすることを求めています。

パブリックコメントへの回答では、ポリシーは最終的にrejectにすることが求められる一方、段階的な強化が一般的なためquarantineの状況もありうるとして、その段階で法令遵守上の懸念が生じることはないと説明しています。進捗の公表は必須ではありません。TwoFiveは、被害の深刻さへの認識とガイドラインの影響が、48.7%という水準の背景にあると考察しています。DMARCをフィッシング対策全体の中でどう位置づけるかは、フィッシング対策ガイドライン2026年度版が示すDMARC強化の全体像で整理しています。

金融庁集計の不正アクセス件数｜売買金額と損失額の区別

改正のきっかけは、実在の証券会社を装ったフィッシングサイトなどで盗まれたIDとパスワードによる不正取引です。金融庁が2026年9月9日に更新した月別表（各社からの報告にもとづく暫定値）では、2025年の不正アクセスは17,715件、そのうち不正取引まで至ったものは9,860件でした。不正アクセス件数の月別ピークは2025年4月の5,490件です。2026年1〜8月の不正アクセスは合計1,492件でした。

2025年1月から2026年8月までの累計は、不正売却が約4,368億円、不正買付が約3,837億円です。「被害額は8,000億円規模」といった表現も見られますが、金融庁はこの金額について、同じ口座で不正取引が繰り返されると累積する売買代金の合計であり、顧客の損失額とは一致しないと注記しています。社内資料に引用するときは「不正取引の売買金額」と書き分けてください。

主要証券9社の_dmarcレコード（2026年10月9日時点）

調査の数字を個別のドメインで確かめるため、主要な証券会社の代表ドメインについて、2026年10月9日にGoogle Public DNS（8.8.8.8）へ _dmarc のTXTレコードを問い合わせました。

9社のうち8社が代表ドメインでrejectを公開していました。spを指定していない8社は、独自のDMARCレコードを持たないサブドメインにもpの値が及びます。sp=none を明示している1社は、代表ドメインはrejectでも、独自レコードのない既存サブドメインと（npがないため）存在しないサブドメインにはnoneが適用される書き方です。RFC 9989で廃止されたpct・rf・riを残しているレコードもありますが、保存したレコードではpct=100、rf=afrf、ri=86400と旧仕様の既定値が指定されており、これらのタグの廃止自体による差は限定的です。ただし、新旧仕様ではポリシー探索や受信側の処理規定にも違いがあります。代表ドメインの値だけでは企業全体の保護範囲は分からない、という点は日経225の数字と同じです。

自社ドメインのDMARCポリシーを確認する手順

DMARCレコードは _dmarc. を前に付けたホスト名のTXTレコードとして公開されます。以下のexample.co.jpは自社ドメインに置き換えてください。macOSやLinuxではdig、Windowsではnslookupで確認できます。

# 組織ドメインのポリシー
dig +short TXT _dmarc.example.co.jp

# メール配信に使っているサブドメイン（レコードがなければ組織ドメインの値が適用される）
dig +short TXT _dmarc.mail.example.co.jp

# Windows
nslookup -type=TXT _dmarc.example.co.jp

まずpの値を確認します。noneは隔離・拒否を求めず、quarantineは疑わしいメールとしての扱い、rejectは拒否を求める設定です。そのうえで、レコードの有無と、適用範囲や試験運用に関わるタグを次の例で確認してください。

• 何も返らない：DMARC未設定の可能性が高い。+short を外して実行し、statusがNXDOMAIN、またはNOERRORで回答が空ならレコードなし、SERVFAILなどなら応答エラーと見分ける。サブドメインなら組織ドメインの値も確認する。
• p=none：隔離・拒否は求めていない。ruaタグで集約レポートを要求し、届いたレポートで正規の送信元のDMARC合格状況を確認して次の段階を決める。外部ドメイン宛てに送る場合は、送信先側のDNSによる承認設定も確認する。ruaがなければまず追加する。
• p=quarantine / p=reject に sp=none が付く：組織ドメインは保護、独自レコードのないサブドメインはnone扱い。意図した設定かを確認する。
• t=y が付く：試験運用中で、受信側に1段階弱い扱いを求めている。

確認すべきなのは代表ドメインだけではありません。メール配信サービス、MAツール、問い合わせフォームの自動返信など、ヘッダーFromに使っている全ドメインと、取得したまま使っていないドメインを一覧にして、それぞれのDMARCレコードの有無、適用されるポリシー、サブドメインへの適用範囲、試験運用タグを確認してください。配信サービス側のSPF設定はSPFレコードの書き方と設定の判断基準が参考になります。

quarantineで止めるか、rejectまで進めるかの判断基準

顧客に通知やお知らせを送る専用ドメインは、正規メールにドメインの一致するDKIM署名を付けたうえで、rejectまで進めるべきです。転送されるとSPFは失敗しやすいため、DKIMが通っていることがrejectで正規メールを落とさない条件になります。フィッシングで偽装されるのはこの種のドメインで、証券会社のガイドラインがrejectを求める対象も「顧客へ送信する電子メールのドメイン」です。送信元が配信基盤に限られるため、レポートで正規送信元の認証通過を確認しやすく、rejectで正規メールを止めるリスクも管理できます。

一方、社員が外部のメーリングリストに投稿する業務用ドメインは、quarantineで止める判断に合理性があります。RFC 9989の7.4節は、メーリングリストに投稿する利用者を抱えるドメインはp=rejectを公開すべきでないとし、公開するならp=noneを少なくとも1か月、続けてp=quarantineを同じ期間運用して処理結果を比較するよう求めています。メーリングリストは件名や本文を書き換えて再送するためDKIM署名が壊れやすく、受信側がrejectに従って拒否すると、リストの管理ソフトがその購読者のアドレスを不達とみなして登録を自動解除することもあるためです。

失敗しやすいのは、代表ドメインのレポートだけを見てrejectに切り替え、別の部署が契約した配信サービスからのメールを止めてしまうケースです。切り替え前に、ruaの集約レポートで、正規メールが認証とアライメントの両方を満たしてDMARCに合格しているかを確認します。t=y を解釈しない受信側ではpの値がそのまま適用されるため、試験タグに頼らず、quarantineで一定期間レポートを見てからrejectへ上げる順番を守ってください。quarantineかrejectのポリシーは、受信トレイにロゴを表示するBIMIの導入の前提条件にもなっており、Googleのヘルプはp=noneやpct=100未満ではBIMIに対応しないと明記しています。

よくある質問

DMARCのquarantineとrejectの違いは何ですか？

quarantineは認証に失敗したメールを疑わしいものとして扱うよう求め、多くの受信側は迷惑メールフォルダに入れます。rejectは受信そのものを拒否するよう求めます。ただし最終的な処理は受信側が決めるため、rejectでも受信側の判断で受け取られる場合があります。

p=quarantineにするとメールは必ず隔離されますか？

必ずではありません。RFC 9989は最終的な処理を受信側のローカルポリシーに委ねており、迷惑メールフォルダへの振り分けのほか、追加の検査にかけるなど扱いは受信サービスによって異なります。

DMARCを設定しないとどうなりますか？

自社ドメインを差出人に使った認証失敗メールについて、DMARCで隔離・拒否を求められなくなります。Gmailと米Yahoo!の送信者ガイドラインは大量送信者にDMARCの公開を求めているため、正規メールの到達にも影響します。

pctタグは今も使えますか？

RFC 9989で廃止され、準拠した受信側では無視されます。ただし旧仕様のまま動く受信側では解釈されることがあり、Googleのヘルプも展開時のpctを推奨しています。RFC 9989で試験運用を示すタグは t=y です。

日経225企業のDMARC導入率はどのくらいですか？

TwoFiveの2026年5月調査で、225社中213社（94.7%）が少なくとも1つのドメインでDMARCを導入し、157社（69.8%）がquarantineかrejectを設定しています。ドメイン単位の実質保護率は18.5%です。

関連記事

• DMARCとは？仕組み・SPFやDKIMとの違い・レコードの書き方を解説【2026年版】
• フィッシング対策ガイドライン2026年度版が示すDMARC強化の全体像
• SPFとは？メール認証の仕組み・SPFレコードの書き方と設定の判断基準を解説
• BIMIとは？Exchange Online・Outlookの対応状況とMicrosoft 365環境での設定手順
• フィッシング詐欺とは？成立の仕組みと実装者向けの技術的対策を解説