DMARCの設定方法を5分で理解！レコードの書き方から確認手順まで徹底解説

「DMARC（ディーマーク）の設定はお済みですか？」もし、この質問に即答できない、あるいは「SPFとDKIMはやったけど、DMARCはまだ…」という状態なのであれば、あなたの会社は今、重大なリスクに晒されている可能性があります。

2024年2月、Googleと米国Gmailチームは「メール送信者のガイドライン」を大幅に刷新しました。これにより、Gmail宛に1日5,000通以上のメールを送信するすべての送信者に対して、DMARCの設定が義務化されたのです。「うちはそんなに送らないから関係ない」と思っている方も油断はできません。このガイドライン変更は、インターネット全体の「メールセキュリティの常識」を塗り替えつつあり、今や企業ドメインにおいてDMARCは「設定していて当たり前」となりました。

DMARCを設定していないドメインからのメールは、顧客の受信トレイに届く前に「なりすまし」と疑われ、迷惑メールフォルダに直行するか、最悪の場合は受信拒否（バウンス）されてしまいます。つまり、DMARCを設定しないことは、ビジネス機会を自ら捨てているのと同じなのです。

本記事では、一見難しそうに見えるDMARCの設定方法を、専門用語を極力使わずに解説します。コピペで使えるレコードの書き方から、失敗しないための段階的な導入ステップ、そして設定後の運用方法まで、エンジニアではない担当者でも今日から実践できる内容を網羅しました。

DMARCとは？

「DMARC（ディーマーク）」を一言で表すと、自社ドメインを騙ったなりすましメールへの「最終的な処分」を、送信者が指定できる仕組みのことです。

これまでのセキュリティ技術（SPFやDKIM）は、いわば「身分証の提示」までしかできませんでした。DMARCは、その身分証が偽物だった場合に「その不審者を門前払いするか、ひとまず隔離するか」という明確な指示を受信サーバーに与える役割を担います。

DMARCが果たす3つの役割

DMARCを導入することで、企業は以下の3つの強力なメリットを享受できます。

SPF・DKIMとの決定的な違い

「SPFやDKIMを設定しているから大丈夫」という誤解がよくありますが、これらは単体では不十分です。

DMARCは、SPFとDKIMという2つの盾を使いこなし、認証に失敗したメールをどう扱うかの「ルール（ポリシー）」を決定する司令塔のような存在なのです。

DMARCの3つのポリシー設定

記事の冒頭でも触れた通り、DMARCには3つの段階（ポリシー）があります。最終的には「拒否」を目指すことが推奨されます。

SPF/DKIMがOKでもDMARCが失敗する！？「アライメント」とは

「SPFもDKIMもPassしているのに、なぜかDMARCがFailになる」この原因の多くは、「ドメインアライメント（Domain Alignment）」の不一致です。

DMARCが「合格」とするには、単にSPF/DKIMが成功しているだけでなく、「メールの差出人（Fromアドレス）のドメイン」と「SPF/DKIMで認証しているドメイン」が一致している必要があります。

外部の配信システムやSFA、MAツールを使う際は、必ず「自社ドメイン（DKIM作成者署名）」を設定し、Fromアドレスと認証ドメインを一致（アライメント）させることが成功の鍵です。一足飛びに完了させる必要はありません。まずは p=none で「宣言」することから始め、徐々に安全なメール環境を構築していきましょう。

ドメインアライメントの仕組みや、具体的な一致条件（厳格・緩和モード）については、こちらの記事で図解とともに詳しく解説しています。併せてご覧ください。

関連記事：DMARCアライメントとは？SPF/DKIMとの関係性をわかりやすく解説

DMARC設定が「必須」となった背景とは？

なぜ今、世界中でDMARCの導入がこれほどまでに叫ばれているのでしょうか。その背景には、年々巧妙化するフィッシング詐欺や「なりすましメール」の増加と、それに対抗しようとするメールプロバイダ（Google, Yahoo!等）の強い意志があります。

なりすましメール対策の切り札

これまで、メールの信頼性を証明する技術としては「SPF（Sender Policy Framework）」と「DKIM（DomainKeys Identified Mail）」が主流でした。もちろんこれらも重要ですが、実はこれだけでは防げない「穴」がありました。

つまりDMARCは、自社のドメインが悪用されるのを防ぐ「最後の砦」であり、自社のブランドを守るための自衛策なのです。

Google・Yahoo!の送信者ガイドライン対応

この流れを決定づけたのが、2024年のガイドライン変更です。GoogleとYahoo!は、「メール受信者の安全を守る」という大義名分のもと、大量送信者（1日5,000通以上）に対してDMARCの導入を必須要件としました。現在（2025年）のメール配信の常識は以下の通りとなっています。

未設定のままでいるリスクは、単に「ガイドライン違反」というだけではありません。あなたの送る重要な請求書、契約更新のお知らせ、メルマガといったビジネスメールが、顧客に届かなくなる可能性が日に日に高まっているのです。

また、DMARCにおいては最低でも「p=none（監視）」の設定が必要と記載しましたが、本来であれば「p=quarantine（隔離）」や「p=reject（拒否）」へと段階的にポリシーを強化し、なりすましメールを確実に排除するのが理想です。これにより自社ドメインの保護と、到達率の向上を両立できます。

DMARCレコードの書き方と主要タグ一覧

「難しそう」と思われがちなDMARCですが、設定作業自体は非常にシンプルです。やるべきことは、ドメインを管理しているDNSサーバーに、1行のテキストデータ（TXTレコード）を追加するだけです。

基本的なレコードの構成（DNS TXTレコード）

利用しているDNSサーバー（お名前.com、Amazon Route53、Cloudflare、Xserverなど）の管理画面にログインし、以下の情報を登録します。

• ホスト名（Record Name）: _dmarc
  ※注：DNSサービスによっては、ドメイン名を含めて _dmarc.yourdomain.com と入力する場合もありますが、多くはサブドメイン部分の _dmarc
  だけでOKです。
• 種別（Type）: TXT
• 値（Value）の基本形:

  v=DMARC1; p=none; rua=mailto:dmarc-report@example.com;

  ※ dmarc-report@example.com の部分は、実際にレポートを受け取りたい自社のメールアドレスに書き換えてください。

これだけは覚えよう！3つの必須タグ解説

DMARCレコードは、セミコロン（;）で区切られた「タグ＝値」の形式で記述します。最低限覚えるべきは以下の3つだけです。

1. v=DMARC1 (Version)

• 意味: 「これはDMARCレコードです」という宣言。
• 設定: 常に DMARC1 と記述します。DMARC2などは存在しません。必ずレコードの先頭に書いてください。

2. p= (Policy) : ポリシー設定

• 意味: 「認証に失敗したメール（なりすましメール）をどう扱うか」を指定します。DMARCの核となる設定です。
• 設定値:
  • none（監視のみ）:
    何もしません。メールはそのまま届きますが、日次レポートで「なりすまし」の状況を把握できます。導入初期は必ずこれを設定します。
  • quarantine（隔離）: 認証失敗メールを、受信者の「迷惑メールフォルダ」へ送るよう指示します。
  • reject（拒否）: 認証失敗メールを完全に拒否（受信拒否）させます。最も強力なセキュリティですが、設定ミスをした時のダメージも最大です。

3. rua= (Reporting URI for Aggregate data)

• 意味: DMARCの「集計レポート（Aggregate Report）」を受け取るメールアドレスを指定します。
• 設定: mailto:メールアドレス の形式で記述します。
  • 必須の理由: p=none にしただけでは意味がありません。レポートを受け取って、「自分のドメインがどこで使われているか」を知るために必要です。
  • 注意:
    通常は、DMARCを設定するドメインと同じドメインのメールアドレスを指定します。外部ドメイン（例えばGmailアドレスなど）を指定する場合は、受け取り側でも追加の設定が必要になるため、自社ドメインのアドレスを指定するのが無難です。

その他のオプションタグ（必要に応じて設定）

以下は、より高度な設定をする際に使うタグです。最初は設定しなくても動作します。

• pct (Percentage):
  • ポリシーを適用するメールの割合を0〜100%で指定します。
  • 例: p=reject; pct=20; とすると、認証失敗メールの20%だけを拒否し、残り80%は通します。reject
    への移行期に使います（デフォルトは100）。
• sp (Subdomain Policy):
  • サブドメイン（mail.example.comなど）に対するポリシーを個別に設定します。
  • 指定しない場合、メインドメインの p= の設定が継承されます。
• aspf / adkim (Alignment Mode):
  • SPF/DKIMの照合モード。「厳格（strict）」か「緩和（relaxed）」かを選びます。
  • 通常はデフォルトの r (relaxed) で運用します。s (strict)
    は厳しすぎてメールが届かなくなるリスクが高いため、特殊な事情がない限り推奨されません。

失敗しない！DMARC導入の3ステップ

DMARC導入で最もやりがちな失敗は、「いきなり p=reject を設定して、自社のメールを届かなくすること」です。DMARCは「入れて終わり」ではなく、段階的にセキュリティレベルを上げていく運用が必要です。以下の3ステップで進めましょう。

Step 1：DNSサーバーへのレコード追加

まずは前述の「基本形」のレコードを作成し、DNSに追加します。

設定例（まずは監視モードから）

_dmarc IN TXT "v=DMARC1; p=none; rua=mailto:admin@example.com;"

DNSの設定変更後、インターネット全体に反映されるまでには数分〜数時間（TTLの設定による）かかります。

※TTL（Time To Live）は、導入初期は短め（300秒〜600秒程度）にしておくと、設定ミスがあった時にすぐに修正が反映されるので安心です。

Step 2：まずは「p=none（監視）」から始める

絶対に守ってほしい鉄則。それは、「最初は必ず p=none から始める」ことです。

p=none は「認証失敗してもメールを拒否しない」設定です。セキュリティ効果はゼロですが、この期間に重要な役割があります。それは「現状把握（棚卸し）」です。以下のようにメールは様々な用途で利用されているため、しっかりと確認しましょう。

これら全てが、正しくSPF/DKIM認証できていると断言できるでしょうか。もし認証設定が漏れているシステムがある状態で p=reject にすると、それらのシステムから送られるメールはすべてブロックされてしまいます。

「請求書が届かない！」「採用通知が消えた！」といった大事故を防ぐため、最低でも2週間〜1ヶ月程度は p=none で運用し、レポートを収集してください。

Step 3：レポートを分析してポリシーを強化する

p=none で運用中に届くDMARCレポート（後述）を分析し、以下の点を確認します。

正当なメールがすべて認証パスしていることが確認できたら、ポリシーを強化します。

1. p=none → p=quarantine: 認証失敗メールを隔離（迷惑メールフォルダ行き）にします。まだ受信拒否はしません。
2. p=quarantine → p=reject:最終段階です。認証失敗メールを完全に拒否します。ここまできて初めて、自社ドメインのなりすましを完全に防ぐことができます。

DMARC設定が正しくできたか確認する方法

DNSへの設定が終わったら、正しく反映されているか確認しましょう。

コマンドラインでの確認（nslookup / dig）

PCのコマンドプロンプト（Windows）やターミナル（Mac/Linux）で確認できます。

Windowsの場合

nslookup -type=txt _dmarc.yourdomain.com

Mac/Linuxの場合

dig txt _dmarc.yourdomain.com

実行結果に "v=DMARC1; p=none; ..." という文字列が表示されれば、DNSへの登録は成功しています。

オンラインDMARCチェッカーの活用

コマンド操作が苦手な方は、ブラウザ上で使える無料ツールが便利です。

エラーが出る場合は、カンマ（,）とセミコロン（;）の間違いや、スペルミス、全角スペースの混入などをチェックしてみてください。

DMARCレポートの分析

ここまで読んで「設定は意外と簡単そうだな」と思ったあなた。鋭いです。設定自体は簡単なのです。
しかし、DMARC導入の本当のハードルは、「設定した後」にあります。

毎日届く大量のXMLレポート

rua タグで指定したメールアドレス宛に、GoogleやMicrosoftから毎日 「DMARC集計レポート」 が届き始めます。このレポートは XML形式 のファイルです。中身はタグと数字の羅列で、人間がメモ帳で開いて読めるような代物ではありません。

<record>
  <row>
    <source_ip>203.0.113.1</source_ip>
    <count>150</count>
    <policy_evaluated>
      <disposition>none</disposition>
      <dkim>pass</dkim>
      <spf>fail</spf>
    </policy_evaluated>
  </row>
  ...

このようなデータが、メール送信のあったISPごとに毎日送られてきます。「どのIPアドレスがなぜ認証失敗したのか」「これは自社のサーバーなのか、攻撃者なのか」を、このXMLを見て毎日判断し続けるのは、専任のセキュリティエンジニアがいない限り不可能です。

タグだらけのデータであり、人間が目視で「どれが攻撃メールか」を判別するのは不可能に近いのです。

多くの企業が p=none のまま放置してしまう原因は、このレポート分析の煩雑さにあります。

「結局、どうすればいい？」という方へ

自社ですべてのXMLレポートを解析するのは、砂漠の中から特定の砂粒を探すような作業です。そのため、2025年現在は「DMARC対応を標準でサポートしているメール配信サービス」へ移行し、システム側で認証状況を一元管理するのが最も賢い選択肢となっています。

解析ツールや配信システムのサポートが必要不可欠

この問題を解決するには、以下のいずれかのアプローチが必要です。

• DMARC解析ツール（有料）を入れる: Valimailなどの専用ツールを使えば、XMLをグラフ化して可視化できますが、それなりのランニングコストがかかります。
• DMARC対応のメール配信システムを使う: メール配信をサービス側に寄せることで、面倒な管理を任せる方法です。

菌ねん注目されている「BIMI」とは？

SPF、DKIM、そしてDMARCの設定は、メールを「届ける」ための守りの施策です。しかし、現代のメールマーケティングにおいて、それだけでは不十分です。認証を最高レベルまで強化した企業だけが手にできる「BIMI（Brand Indicators for Message Identification）」こそが、攻めのセキュリティの象徴となります 。

BIMIとは？ 受信トレイで「公式ロゴ」を表示する新規格

BIMIはメール送信者の公式ロゴを受信トレイに表示させる新しい認証規格です 。単にロゴが出るだけでなく、Gmailなどでは「認証済み」を示*青いチェックマーク（Verifiedバッジ）が付与されます 。BIMI導入の前提条件（技術的ハードル）は以下の３つがあります。

なぜ今、BIMIが必要なのか

BIMIは単なる飾りではありません。ブランド保護と利益直結の「複合効果」をもたらします。つまり、なりすましメールの対策をしつつ、メールマーケティングの効果を引き上げることができます。具体的には以下のメリットが挙げられます。

セキュリティの強化がブランド資産を構築する

DMARCを「p=none（監視のみ）」で放置することは、BIMIという強力な武器を放棄しているのと同じです 。認証の整備を「コスト」ではなく「ブランド資産への投資」と捉え直し、DMARCの厳格化からBIMI実装へと進むことで、貴社のメールは信頼を大きく強めるのです。

ただし、DMARCポリシーの引き上げ、BIMIの導入やVMCの取得などは専門的な知識が必要で自社だけで進めるのは手間と時間が必要以上にかかる場合が多いです。まずは弊社のBIMIエキスパートにお問い合わせ・オンラインでのご相談も可能ですのでお気軽にお問い合わせください。BIMIに関する些細な疑問から導入への不安まで解消いたします。

>>BIMI完全ガイドを無料でダウンロードする

>>BIMI導入について無料で相談・問い合わせする

DMARC運用とメール配信システムの関係

DMARCを導入する際、すべてを自社サーバー（オンプレミス）で完結させようとすると、技術的なハードルと「到達率の維持」という見えないコストに直面します。メール配信システムを利用するメリットは以下があげられます。

メール配信システムを利用するメリット

DMARCを自前で完璧に運用するのは、実はかなりハードルが高い作業です。特に「SPF/DKIMの設定ミス」や「送信元ドメインの不一致（アライメント）」を自力ですべて管理し続けるのは、技術的にも時間的にも大きなコストがかさみます。メール配信システムを活用すれば、こうした複雑な認証プロセスを自動化し、安全かつ確実にメールを届けるための土台をスムーズに整えることができます。

結局のところ、DMARC運用で最も避けたいのは「設定ミスによって、届くべき大事なメールが拒否されてしまうこと」です。配信システムを導入することは、単なる効率化ではなく、メールの到達率という「企業の信頼」を担保するための賢い投資といえます。特に、解析が困難なXMLレポートの視覚化までカバーできるシステムを選べば、運用負荷を最小限に抑えつつ、安全な配信環境を維持し続けられます。

おすすめのメール配信システム「ブラストメール」

ブラストメール（blastmail）は、15年連続で導入社数シェアNo.1を獲得している国内最大級のメール配信システムです。27,000社以上の導入実績に裏打ちされた高い到達率に加え、専門的な知識がなくても迷わず操作できる「究極のシンプルさ」が高く評価されています。

初めてメルマガを運用する担当者から、大規模配信を行う企業まで幅広く選ばれています。より確実で効率的なメール運用を目指すなら、まずは無料トライアルでその使い心地を体感してみてください。

公式サイト：シェア1位のメール配信システム「ブラストメール」

おすすめのメール配信システム「blastengine」

blastengine（ブラストエンジン）は、API連携やSMTPリレーを用いてお手持ちのシステムと簡単に連携できる、エンジニア向けのメール配信サービスです。運用・メンテナンスはすべてサービス側が行うため、常に高いIPレピュテーションを維持でき、開発者をサーバー管理の負担から解放します。

初期費用無料で即座に導入できるため、システム連携による確実なメール配信環境を構築したいプロジェクトに最適です。日本製のサービスならではの丁寧なテクニカルサポートも、多くの開発チームに支持されている理由の一つです。

ブラストエンジン公式サイト：https://blastengine.jp/

まとめ

DMARC設定は、もはや「任意」のオプションではなく、メールを使ってビジネスを行う企業の「義務」になりつつあります。

あなたのメールが顧客に届くかどうか、そして「なりすまし」によってブランドが傷つくかどうかは、この1行のレコード設定にかかっています。

手順をおさらいしましょう。

1. 現状確認: 既存のSPF/DKIMを確認。
2. DNS設定: p=none でDMARCレコードを追加。
3. 監視・分析: レポートを見て正当なメールが通っているか確認。
4. 強化: 準備ができたら p=quarantine → p=reject へと段階的に強化してセキュリティレベルを上げる。

メールのセキュリティは今後も強化され続けることが予想されます。「DMARCを設定しないとメールは届かない」という状況も想像できる状態です。今からしっかりと対策し、セキュリティ性の高いメールをユーザーに確実に届けられるようにしていきましょう。