ガイド
DMARC 設定ガイド
DMARC は、自社ドメインから送られたと称しながら認証に失敗したメールをどう扱うかを、受信側のメールサーバーに伝えるしくみです。監視用のレコードを公開する、送信元を整える、強制する、の 3 段階で設定します。
所有または診断の許可があるサイトのみ · 公開ページと DNS の受動的な確認 · 攻撃、ログイン試行、総当たり、ファジング、負荷試験は行いません
最終更新:
始める前に：SPF と DKIM
- DMARC は、メールが SPF または DKIM に合格し、その結果が From アドレスのドメインと一致（アライメント）しているときに合格します。
- 自社ドメインとしてメールを送るサービスをすべて洗い出します。メールサービス、Web サイトのフォーム、請求書の送付、メールマガジン、サポートツールなどです。
- それぞれが SPF レコードに含まれているか、自社ドメインで DKIM 署名しているかを確認します。多くのサービスはヘルプページで手順を案内しています。
レコードの書き方
DMARC は、ドメインの _dmarc に置く 1 件の TXT レコードです。まず監視モードで始めます。
_dmarc.example.com. TXT "v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com"v=DMARC1 は必ず先頭に置きます。p はポリシーで、none（監視のみ）、quarantine（疑わしいものとして扱う）、reject（拒否）のいずれかです。rua は集計レポートの送付先です。任意のタグには sp（サブドメインのポリシー）、adkim と aspf（厳格または緩和したアライメント）があります。DMARC レコードは 1 つのドメインに 1 件だけ公開してください。
レポートの送付先
集計レポートは、大手のメールサービスから通常は 1 日 1 回、XML ファイルで届きます。確認できるメールボックスを使うか、ファイルを見やすいグラフにする DMARC レポートサービスを使います。送付先が別のドメインの場合は、そのドメインで受け取りを許可するレコードを公開する必要があります。例：
example.com._report._dmarc.reports.example.net. TXT "v=DMARC1"強制ポリシーへの移行
- p=none を公開し、少なくとも 2〜4 週間レポートを集めます。
- 失敗している正規の送信元をすべて見つけ、SPF または DKIM のアライメントを修正します。
- 正規のメールが合格するようになったら p=quarantine に変更し、引き続きレポートを確認します。
- 正規のメールで失敗するものがないと確信できたら p=reject に変更します。
- その後もレポートを確認し続けます。新しい請求書ツールやマーケティングツールが、いつ失敗し始めるかわからないためです。
レコードの確認
ターミナルで確認するか、SPF もあわせて確認できる無料のドメインチェックを使います。
dig +short TXT _dmarc.example.comよくある間違い：1 つのドメインに DMARC レコードが 2 件ある、_dmarc ではなくドメイン自体に公開している、レポートの送付先の前に mailto: がない、すべての送信元が合格する前に p=reject に移行してしまう。
よくある質問
メールをあまり送らないドメインにも DMARC は必要ですか？
はい。他人が自社ドメインになりすましてメールを送ることを難しくしたいなら必要です。メールをまったく送らないドメインは、p=reject と、v=spf1 -all の SPF レコードをあわせて公開できます。
p=reject で自社のメールが届かなくなることはありますか？
自社ドメインとして送信するサービスが SPF や DKIM で認証されていない場合は、届かなくなることがあります。そのため、まず p=none で始めてレポートを確認します。