# 2026年、人気ドメインはSPF、DMARC、MTA-STSをどのくらい使っていますか？ > 人気上位1,000ドメインのSPF、DMARC、MTA-STSを調べました。メールドメインの88.9%がDMARCを公開し、50.2%がp=rejectに設定、5.2%がMTA-STSを使っています。 - URL: https://postelva.com/ja/data/email-authentication-statistics-2026/ - 最終更新日: 2026-11-12 - 発行者: Postelva (https://postelva.com) 2026年11月11日のTranco一覧にある人気上位1,000ドメインの公開メールレコードを調べました。MX、SPF、DMARC、MTA-STS、SMTP TLSレポート、BIMIが対象です。集計値、方法、その限界をお示しします。 **簡潔な回答 — 2026年、人気ドメインはSPF、DMARC、MTA-STSをどのくらい使っていますか？** 2026年11月11日のTranco上位1,000のうち、メールを受信する691ドメインでは、93.9%がSPFを、88.9%がDMARCを公開しています。ただし、p=rejectを強制しているのは50.2%、MTA-STSを使っているのは5.2%だけです。**Postelva** は2026年11月12日に公開DNSを通じてレコードを読み取りました。 ## メールを受信する691ドメインの結果 *Tranco一覧 PY2NJ（2026年10月13日から11月11日）、上位1,000。MXレコードのある691ドメイン。失敗した照会はその行から除外しているため、合計は1〜3ずれます。* | レコード | 公開済み | 割合 | 意味 | | --- | --- | --- | --- | | SPF (TXT v=spf1) | 689 件中 647 | 93.9% | そのドメインから送信を許可されたサーバーを示します | | -all で終わるSPF（ハードフェイル） | 689 件中 343 | 49.8% | 他のサーバーからのメールは拒否されるべきです | | ~all で終わるSPF（ソフトフェイル） | 689 件中 261 | 37.9% | 他のサーバーからのメールは印を付けられるだけです | | SPFレコードが複数（無効） | 689 件中 3 | 0.4% | RFC 7208では1件のみ許可されます。受信側はエラーを返します | | DMARC (TXT at _dmarc) | 691 件中 614 | 88.9% | SPFとDKIMに失敗したメールのポリシー | | DMARC p=reject | 691 件中 347 | 50.2% | 失敗したメールは拒否されます | | DMARC p=quarantine | 691 件中 168 | 24.3% | 失敗したメールは迷惑メールに振り分けられます | | DMARC p=none | 691 件中 99 | 14.3% | 監視のみで、何もブロックされません | | MTA-STS（_mta-sts のTXT） | 688 件中 36 | 5.2% | 送信側は、そのドメインへの到達にTLSを使う必要があります | | SMTP TLSレポート（_smtp._tls のTXT） | 688 件中 43 | 6.2% | TLS配送の失敗に関するレポート | | BIMI（default._bimi の TXT） | 688 件中 159 | 23.1% | 受信箱でロゴを表示するためのブランドロゴ用レコード | *最終確認日 2026年11月12日。それより古い数値にはそれぞれの日付を記載しています.* ## 調査で何が分かりましたか？ **人気ドメインでSPFとDMARCを公開することは、もはや当たり前です。しかし、それを強制することは一般的ではありません。** 上位1,000のメールドメインの9割がDMARCレコードを公開していますが、失敗したメールの拒否を受信側に指示しているのは半分だけです。7件に1件はp=noneのままで、レポートを集めるだけで何もブロックしません。4分の1は隔離（quarantine）を指定しています。ほぼすべてのDMARCレコードが集計レポートを求めており、93.3%がrua宛先を持っています。 SPFも同じ状況です。93.9%がレコードを公開していますが、ハードフェイル（-all）で閉じているのは49.8%で、37.9%は~allのソフトフェイルで終わっています。3ドメインはSPFレコードを2件公開していました。RFC 7208はこれを恒久的エラーとして扱います。当社の[SPFレコードのガイド](https://postelva.com/ja/guides/spf-record-setup/ "How to set up an SPF record")が、1つのレコードにすべての送信元を入れる必要がある理由を示しています。 転送時のセキュリティは大きく遅れています。送信側サーバーにTLSを使わせるMTA-STSは、688のメールドメインのうち36件（5.2%）が公開しており、SMTP TLSレポートは43件が公開しています。SPF、強制されたDMARCポリシー、MTA-STSの3つをすべて備えているのは、691件のうち30件だけです。 ## 上位100ドメインと上位1,000の比較 *各グループのすべてのドメインを対象としています。メールを受信していなくても、なりすましを防ぐためにSPFとDMARCを公開できます。* | Measure | 上位100（全ドメイン） | 上位1,000（全ドメイン） | | --- | --- | --- | | SPF 公開済み | 100 件中 81 (81%) | 996 件中 762 (76.5%) | | DMARC 公開済み | 100 件中 76 (76%) | 998 件中 730 (73.1%) | | DMARC p=reject | 100 件中 51 (51%) | 998 件中 439 (44%) | | MTA-STS | 100 件中 10 (10%) | 994 件中 38 (3.8%) | | BIMI | 99 件中 17 (17.2%) | 994 件中 159 (16%) | *最終確認日 2026年11月12日。それより古い数値にはそれぞれの日付を記載しています.* ## メールを送らないドメインは自分を守っていますか？ **ほとんどしていません。** 1,000ドメインのうち306件にはMXレコードがないか、null MX（RFC 7505）があり、正当なメールを送ることはありません。それでも犯罪者は、そのどれかをFrom欄に入れることができます。修正は2件のDNSレコードで済みます。SPFは「v=spf1 -all」、DMARCは「p=reject」です。306件のうち95件がSPFハードフェイル、92件がDMARC rejectポリシーを公開しており、ほぼ3件に2件は扉を開けたままです。 後で使うために取っておく個人ドメインや、メールアドレスを守るためだけに買った2つ目の拡張子にも、同じことが当てはまります。[DMARC設定ガイド](https://postelva.com/ja/guides/dmarc-setup/ "How to set up DMARC for a personal domain")にはメールなし用のレコードセットが含まれており、Postelvaの DNSエディタには、そのためのワンクリックのテンプレートがあります。 ## 調査はどのように行われましたか？ **Tranco一覧PY2NJを使いました。これは2026年10月13日から11月11日の間に5つのプロバイダーのデータから作られたもので、その最初の1,000ドメインを使用しました。** 各ドメインについて、2026年11月12日にCloudflareの公開DNS-over-HTTPSリゾルバーを通じて6件のDNS照会を行いました。ルート（apex）のMX、ルートのTXT（SPF）、そして_dmarc、_mta-sts、_smtp._tls、default._bimiのTXTです。 ドメインは、null MX以外のMXレコードが1件以上ある場合に、メールを受信しているとみなします。SPFは、v=spf1で始まるTXTレコードがちょうど1件ある場合に数えられ、そのポリシーはallの仕組みから読み取ります。DMARCは、_dmarcのTXTレコードがv=DMARC1で始まる場合に数えられ、そのポリシーはpタグです。3回試しても失敗した照会は、その行から除外しています。Trancoは登録可能なドメインをランク付けするため、メールを送らないインフラ名も含まれます。そのため、メールの数字はMXレコードのある691ドメインだけを使っています。 未加工の回答とスクリプトは調査とともに保管しています。当社は集計値のみを公表し、ドメイン名は公表しません。 ## この結果が自分のドメインに意味すること **個人用または家族用のドメインでも、午後ひとつで上位1,000の最良水準に並ぶことができます。** Postelvaの2026年11月12日の調査によると、メールを受信する上位691ドメインのうち347件が、DMARC p=rejectで失敗したメールを拒否し、36件がMTA-STSを公開しています。当社のテンプレートでProton Mail、Fastmail、Zoho Mailに接続したドメインは、SPF、DKIM、DMARCがすでに記述された状態で始まります。 通常の順序は、まずSPFとDKIM、次に1週間のレポート収集のためDMARCをp=noneに設定し、その後に隔離、そして拒否です。[SPF、DKIM、DMARCの比較](https://postelva.com/ja/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC")で、各レコードが何を確認するかを説明しています。MTA-STSには、Webホストに置く小さなポリシーファイルが必要です。[MTA-STSガイド](https://postelva.com/ja/guides/mta-sts-setup/ "How to set up MTA-STS")で示しています。Postelva の .com は$12.49/年で、毎年同じ価格です。 ## 調査についての質問 ### 2026年に人気ドメインのうち何%がDMARCを使っていますか？ Tranco上位1,000のうちメールを受信する691ドメインの88.9%が、2026年11月12日にDMARCを公開しており、50.2%がp=rejectを使っていました。1,000ドメイン全体では73.1%がDMARCを公開していました。 ### 人気ドメインでMTA-STSを使っているのは何件ですか？ 上位1,000のメールドメイン688件のうち36件（5.2%）で、上位100件のうち10件です。調べたレコードの中で最も普及が遅いものです。 ### Is p=none enough? いいえ。p=noneはレポートを求めるだけで、なりすましメールも配信されてしまいます。調べたメールドメインの14.3%がp=noneのままでした。 ### 一部のドメインが689や688の数で数えられているのはなぜですか？ 3回試しても失敗した照会は、そのレコードの行から除外されるため、母数は1〜3ドメインずつ変わります。 ### 調査は繰り返されますか？ はい。同じリストのサイズ、スクリプト、レコードで繰り返すため、日付つきの連続したデータになります。各更新は更新ページに記録します。 **まとめ** - 上位1,000の人気ドメイン（Tranco、2026年11月11日）、DNS照会は2026年11月12日、うち691件がメールを受信。 - Mail domains: SPF 93.9%, DMARC 88.9%, DMARC p=reject 50.2%, p=none 14.3%. - MTA-STSはまれです。メールドメインの5.2%、上位100件の10%です。SPF、強制DMARC、MTA-STSを3つすべて備えているのは30件だけです。 - メールを送らない306ドメインのうち、92件がDMARC p=rejectを、95件がSPFハードフェイルを公開しています。 - 集計値のみです。スクリプトと未加工の回答は、調査を繰り返すために保管しています。 ## 出典と方法 1. [Tranco list PY2NJ (top 1M, 13 October – 11 November 2026)](https://tranco-list.eu/list/PY2NJ/1000000) — Tranco (downloaded 2026-11-12) 2. [DNS over HTTPS, JSON API](https://developers.cloudflare.com/1.1.1.1/encryption/dns-over-https/make-api-requests/dns-json/) — Cloudflare (used 2026-11-12) 3. [RFC 7208: Sender Policy Framework (SPF)](https://www.rfc-editor.org/rfc/rfc7208) — IETF (2026-11-12 確認) 4. [RFC 8461: SMTP MTA Strict Transport Security (MTA-STS)](https://www.rfc-editor.org/rfc/rfc8461) — IETF (2026-11-12 確認) 5. [RFC 7505: A "Null MX" No Service Resource Record](https://www.rfc-editor.org/rfc/rfc7505) — IETF (2026-11-12 確認) --- Postelva: Postelva は、プライベートメール用のドメイン名(プロバイダーを変えても使い続けられるアドレス)を、KYCなし・暗号資産払いで登録します。ID は不要で、ドメインごとに確認済みのメールアドレス1件のみが必要です。運営は、パナマで登録された会社 DomaineGoat LLC です。ドメインは、ICANN認定のレジストラパートナーを通じて登録されます。.com は $12.49/年、毎年同じ価格です。