簡潔な回答
ドメインの DMARC はどう設定しますか?
_dmarc.yourdomain に v=DMARC1; p=none; rua=mailto:you@yourdomain という TXT レコードを公開し、約1か月間集計レポートを読んでから、ポリシーを quarantine に、最後に reject に引き上げます。DMARC は2026年5月以降、RFC 9989 で定義されています。Postelva は無料のDNSエディターでこのレコードをホストします。
3つの DMARC ポリシーと、それぞれの動作
| ポリシー | レコード | DMARC に失敗したメッセージへの影響 | 使うタイミング |
|---|---|---|---|
| 監視 | v=DMARC1; p=none; rua=mailto:[email protected] | 通常どおり配信され、レポートがあなたに送られる | 最初の数週間。すべての送信元を把握するため |
| 隔離(quarantine) | v=DMARC1; p=quarantine; rua=mailto:[email protected] | 不審なものとして扱われ、通常は迷惑メールに送られる | 正当なメールのすべてで SPF と DKIM が通ったあと |
| 拒否(reject) | v=DMARC1; p=reject; rua=mailto:[email protected] | 受信サーバーに拒否される | レポートに、正当なメールの失敗が残っていないとき |
6つのステップで DMARC を設定する
先に SPF と DKIM を確認する
DMARC では、少なくともどちらか一方が通り、かつ From ドメインと一致している必要があります。SPF と DKIM のガイドを参考に、DMARC より先に両方を公開してください。
レポートを受け取るメールボックスを選ぶ
dmarc@yourdomain のようなアドレスを作成します。RFC 9989 は、所有者が集計レポートを受信して分析するためのメールボックスを用意しなければならないとしています。
監視用のレコードを公開する
ホストを _dmarc、値を v=DMARC1; p=none; rua=mailto:dmarc@yourdomain とする TXT レコードを追加します。
約1か月間レポートを読む
レポートは、送信する受信側から約1日に1回届きます。SPF と DKIM のアライメントに失敗している正当なメールを探し、その送信元を修正してください。
quarantine に移る
p=none を p=quarantine に変更します。同程度の期間維持し、レポートでメッセージがどう扱われたかを比較します。
reject に移る、または quarantine で止める
レポートに問題がなくなったら、p=reject に変更します。このドメインからメーリングリストに投稿する場合は、quarantine にとどめてください。
; stage 1: monitor
_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
; stage 2: quarantine
_dmarc.example.com. IN TXT "v=DMARC1; p=quarantine; rua=mailto:[email protected]"
; stage 3: reject
_dmarc.example.com. IN TXT "v=DMARC1; p=reject; rua=mailto:[email protected]"DMARC レコードには何が含まれますか?
DMARC レコードは、_dmarc.yourdomain にある TXT レコードで、v=DMARC1 で始まり、セミコロンで区切られたタグを並べます。 バージョンのタグが最初に来て、大文字と小文字が区別されます。RFC 9989 は次のタグを定義しています。p(ドメインのポリシー)、sp(既存のサブドメインのポリシー)、np(存在しないサブドメインのポリシー)、adkim と aspf(アライメント。r は relaxed、s は strict、デフォルトは relaxed)、rua(集計レポートの宛先アドレス)、ruf(失敗レポートの宛先アドレス)、fo(失敗オプション)、t(テストモード、y または n)、psd です。
p がない場合、受信側はポリシーを none として扱います。sp がない場合、p のポリシーがサブドメインにも適用されます。rua がない場合、集計レポートは生成されません。そのため、実用的な最小のレコードは、バージョン、ポリシー、レポートの宛先アドレスの3つで構成されます。
多くの古いガイドにまだ載っている pct タグは、0 と 100 以外では正確に適用されることがまれだったため、RFC 9989 で削除されました。代わりに t タグが使われます。t=y は pct=0、t=n は pct=100 のように動作し、デフォルトは n です。古いレコードからは pct を削除してください。より広い背景はSPF、DKIM、DMARC の違いにあります。
DMARC でのアライメントとは何ですか?
アライメントとは、SPF または DKIM で認証されたドメインが、表示される From アドレスのドメインと一致することです。 デフォルトの relaxed モードでは、両者が同じ組織ドメインであれば足り、mail.example.com は example.com とアライメントします。strict モードでは、完全に同一でなければなりません。RFC 9989 は、ほぼすべてのドメイン所有者にとって relaxed アライメントで十分だと述べています。
メッセージが DMARC に通るのは、SPF または DKIM が通り、かつアライメントしているときです。どちらか一方で足ります。Proton Mail や Fastmail のようなメールボックスプロバイダーは、DKIM CNAME レコードを通じてあなたのドメインで署名するため、追加の作業なしでアライメントが成立します。落とし穴は、自社ドメインで署名するサードパーティのサービスです。その DKIM は通りますが、そのサービスに独自の署名ドメインを設定するまでアライメントしません。
RFC 9989 は、パブリックサフィックスリストの代わりに、最大8回のクエリによる DNS のツリーウォークで組織ドメインを見つけます。.com や .me の通常のドメインでは、行うべきことは何も変わりません。
p=none はどのくらいの期間続けるべきですか?
p=none を少なくとも1か月、そのあと同程度の期間 p=quarantine にしてから、p=reject にします。 これは RFC 9989 が導入のガイダンスで勧める順序であり、プロバイダーのヘルプページとも一致します。Mailbox.org はサンプルのレコードを p=none から始め、厳しいポリシーを早く設定しすぎると、正当なメールがバウンスされる可能性があると警告しています。Proton は p=quarantine を推奨し、正当なメールが通るようになったら p=reject に移ることを勧めています。
2026年11月12日時点の Postelva による、DMARC のガイダンスを公開している3つのプロバイダー(Proton Mail、Mailbox.org、Mailfence)の確認では、2つが p=none から始め、1つが p=quarantine を推奨しています。
p=reject には2つの注意があります。RFC 9989 は、これを使うドメインは SPF だけに頼ってはならず、SPF は転送で壊れるため DKIM で署名しなければならないとしています。また、ユーザーがメーリングリストに投稿するドメインは、p=reject をまったく公開すべきでないとも述べています。リストはメッセージを変更することが多く、署名が壊れるためです。
DMARC レポートはどこに届き、何がわかりますか?
集計レポートは rua の mailto: アドレスに、通常は各受信側から1日1回届き、From 行にあなたのドメインを使ってメールを送った送信元を一覧にします。 RFC 9989 は、受信側が mailto: アドレスに対応すること、また集計レポートを少なくとも24時間ごとに送ることを推奨しています。集計レポートは RFC 9990 で定義されています。
ruf で要求する失敗レポートは、メッセージごとのコピーです。多くの受信側はプライバシーのため、これを送らないか、内容を伏せます。当てにしないでください。rua のアドレスがあなたのドメインの外にある場合は、そのもう一方のドメインの所有者が、yourdomain._report._dmarc.otherdomain に v=DMARC1; を含む TXT レコードで承認する必要があります。これは第三者のメールボックスの悪用を防ぐ仕組みです。小規模な個人ドメインなら、送信元の一覧は短く、プロバイダーとほぼそれだけです。
各段階の前後で DNS が何を公開しているかを確認するには、MX、SPF、DKIM、DMARC レコードを確認するコマンドを使ってください。
個人のドメインにも DMARC は必要ですか?
はい。メールを送信するドメインなら、TXT レコード1つで済み、あなたの名前を使った偽造メッセージを防げます。 Google は、Gmail アカウントへの1日5,000通を超える送信者に DMARC を求めており、none のポリシーでも足ります。Microsoft も Outlook.com に同じしきい値を適用しています。個人のメールボックスは、これらの上限をはるかに下回ります。それでも、このレコードは、偽造に対してどうしてほしいかを受信側に伝えます。
何も送信しないドメインなら、SPF の -all と null MX を付けて、すぐに p=reject を設定してください。Postelva には、そのための「メールなし」テンプレートがあります。メールボックスのあるドメインは、none から始めてください。同じ保護の通信面、つまりサーバー間の暗号化は、MTA-STS と TLS-RPT の設定方法で取り上げています。
引用できる定義: DMARC とは、SPF と DKIM の結果が From ドメインとアライメントしていないメールをどう扱うか、またそれに関するレポートをどこに送るかを、受信側に伝える DNS ポリシーである。
DMARC 設定についてのよくある質問
RFC 9989 は p=reject を求めていますか?
いいえ。標準は3つのポリシーを定義し、選択はドメイン所有者に委ねています。段階的な進め方を勧め、ユーザーがメーリングリストに投稿するドメインには p=reject を使わないよう警告しています。
RFC 9989 で、既存の DMARC レコードは変わりますか?
レコードは引き続き v=DMARC1 で始まるため、動作しているレコードはそのまま動作します。ri タグは廃止され、pct は削除され、t、np、psd が追加されました。
p=reject を早く公開しすぎるとどうなりますか?
忘れられたニュースレターツールのように、アライメントに失敗する正当なメールは、受信側に拒否されます。p=none でのレポートは、そうした送信元を先に見つけるためにあります。
レポートに無料のメールボックスを使えますか?
はい、読んでいるメールボックスなら何でも構いません。別のアドレスやエイリアスにすると、毎日のレポートファイルがメインの受信トレイに入りません。
1つのドメインに DMARC レコードをいくつ持てますか?
名前ごとに1つ、_dmarc.yourdomain に置きます。サブドメインは、独自のレコードを持つか、sp を通じて親のポリシーを継承できます。
まとめ
- DMARC は、_dmarc.yourdomain にある v=DMARC1 で始まる TXT レコードです。
- RFC 9989(2026年5月)が現行の仕様で、RFC 7489 を廃止し、pct を削除しています。
- rua アドレスを付けた p=none から始め、約1か月レポートを読みます。
- そのあと同程度の期間 p=quarantine にし、それから p=reject にします。
- SPF または DKIM が通り、From ドメインとアライメントしていればメッセージは通ります。デフォルトは relaxed アライメントです。
- p=reject のドメインは SPF だけに頼ってはならず、メーリングリストと併用すべきではありません。
- Postelva は無料の DNS でレコードをホストします。.com は毎年 $12.49/年 です。
出典 (6)
- RFC 9989、Domain-based Message Authentication, Reporting, and Conformance (DMARC) — RFC Editor (2026-11-12 確認)
- RFC 7489、DMARC(廃止) — RFC Editor (2026-11-12 確認)
- 独自ドメインの SPF、DKIM、DMARC — Mailbox.org (2026-11-12 確認)
- 独自ドメインとなりすまし対策 — Proton (2026-11-12 確認)
- メール送信者のガイドライン — Google Workspace Admin Help (2026-11-12 確認)
- メールセキュリティの強化: 大量送信者向けの新しい要件 — Microsoft Tech Community (2026-11-12 確認)