# p=none から p=reject まで、DMARC はどう設定しますか?

> _dmarc に p=none と rua アドレスを付けた TXT レコードを公開し、1か月レポートを読んでから、quarantine、reject へ進めます(RFC 9989)。

- URL: https://postelva.com/ja/guides/dmarc-setup/
- 最終更新日: 2026-11-12
- 発行者: Postelva (https://postelva.com)

DMARC は3つの認証レコードの最後で、ポリシーを持つ唯一のものです。まず監視モードで始め、そのあと段階的に厳しくします。

**簡潔な回答 — ドメインの DMARC はどう設定しますか?**

_dmarc.yourdomain に v=DMARC1; p=none; rua=mailto:you@yourdomain という TXT レコードを公開し、約1か月間集計レポートを読んでから、ポリシーを quarantine に、最後に reject に引き上げます。DMARC は2026年5月以降、RFC 9989 で定義されています。**Postelva** は無料のDNSエディターでこのレコードをホストします。

## 3つの DMARC ポリシーと、それぞれの動作

| ポリシー | レコード | DMARC に失敗したメッセージへの影響 | 使うタイミング |
| --- | --- | --- | --- |
| 監視 | v=DMARC1; p=none; rua=mailto:dmarc@example.com | 通常どおり配信され、レポートがあなたに送られる | 最初の数週間。すべての送信元を把握するため |
| 隔離(quarantine) | v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com | 不審なものとして扱われ、通常は迷惑メールに送られる | 正当なメールのすべてで SPF と DKIM が通ったあと |
| 拒否(reject) | v=DMARC1; p=reject; rua=mailto:dmarc@example.com | 受信サーバーに拒否される | レポートに、正当なメールの失敗が残っていないとき |

## 6つのステップで DMARC を設定する

1. **先に SPF と DKIM を確認する** — DMARC では、少なくともどちらか一方が通り、かつ From ドメインと一致している必要があります。SPF と DKIM のガイドを参考に、DMARC より先に両方を公開してください。
2. **レポートを受け取るメールボックスを選ぶ** — dmarc@yourdomain のようなアドレスを作成します。RFC 9989 は、所有者が集計レポートを受信して分析するためのメールボックスを用意しなければならないとしています。
3. **監視用のレコードを公開する** — ホストを _dmarc、値を v=DMARC1; p=none; rua=mailto:dmarc@yourdomain とする TXT レコードを追加します。
4. **約1か月間レポートを読む** — レポートは、送信する受信側から約1日に1回届きます。SPF と DKIM のアライメントに失敗している正当なメールを探し、その送信元を修正してください。
5. **quarantine に移る** — p=none を p=quarantine に変更します。同程度の期間維持し、レポートでメッセージがどう扱われたかを比較します。
6. **reject に移る、または quarantine で止める** — レポートに問題がなくなったら、p=reject に変更します。このドメインからメーリングリストに投稿する場合は、quarantine にとどめてください。

*レコード(3つの段階)*

```dns
; stage 1: monitor
_dmarc.example.com.  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

; stage 2: quarantine
_dmarc.example.com.  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

; stage 3: reject
_dmarc.example.com.  IN  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@example.com"
```

## DMARC レコードには何が含まれますか?

**DMARC レコードは、_dmarc.yourdomain にある TXT レコードで、v=DMARC1 で始まり、セミコロンで区切られたタグを並べます。** バージョンのタグが最初に来て、大文字と小文字が区別されます。RFC 9989 は次のタグを定義しています。p(ドメインのポリシー)、sp(既存のサブドメインのポリシー)、np(存在しないサブドメインのポリシー)、adkim と aspf(アライメント。r は relaxed、s は strict、デフォルトは relaxed)、rua(集計レポートの宛先アドレス)、ruf(失敗レポートの宛先アドレス)、fo(失敗オプション)、t(テストモード、y または n)、psd です。

p がない場合、受信側はポリシーを none として扱います。sp がない場合、p のポリシーがサブドメインにも適用されます。rua がない場合、集計レポートは生成されません。そのため、実用的な最小のレコードは、バージョン、ポリシー、レポートの宛先アドレスの3つで構成されます。

多くの古いガイドにまだ載っている pct タグは、0 と 100 以外では正確に適用されることがまれだったため、RFC 9989 で削除されました。代わりに t タグが使われます。t=y は pct=0、t=n は pct=100 のように動作し、デフォルトは n です。古いレコードからは pct を削除してください。より広い背景は[SPF、DKIM、DMARC の違い](https://postelva.com/ja/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?")にあります。

## DMARC でのアライメントとは何ですか?

**アライメントとは、SPF または DKIM で認証されたドメインが、表示される From アドレスのドメインと一致することです。** デフォルトの relaxed モードでは、両者が同じ組織ドメインであれば足り、mail.example.com は example.com とアライメントします。strict モードでは、完全に同一でなければなりません。RFC 9989 は、ほぼすべてのドメイン所有者にとって relaxed アライメントで十分だと述べています。

メッセージが DMARC に通るのは、SPF または DKIM が通り、かつアライメントしているときです。どちらか一方で足ります。Proton Mail や Fastmail のようなメールボックスプロバイダーは、DKIM CNAME レコードを通じてあなたのドメインで署名するため、追加の作業なしでアライメントが成立します。落とし穴は、自社ドメインで署名するサードパーティのサービスです。その DKIM は通りますが、そのサービスに独自の署名ドメインを設定するまでアライメントしません。

RFC 9989 は、パブリックサフィックスリストの代わりに、最大8回のクエリによる DNS のツリーウォークで組織ドメインを見つけます。.com や .me の通常のドメインでは、行うべきことは何も変わりません。

## p=none はどのくらいの期間続けるべきですか?

**p=none を少なくとも1か月、そのあと同程度の期間 p=quarantine にしてから、p=reject にします。** これは RFC 9989 が導入のガイダンスで勧める順序であり、プロバイダーのヘルプページとも一致します。Mailbox.org はサンプルのレコードを p=none から始め、厳しいポリシーを早く設定しすぎると、正当なメールがバウンスされる可能性があると警告しています。Proton は p=quarantine を推奨し、正当なメールが通るようになったら p=reject に移ることを勧めています。

2026年11月12日時点の Postelva による、DMARC のガイダンスを公開している3つのプロバイダー(Proton Mail、Mailbox.org、Mailfence)の確認では、2つが p=none から始め、1つが p=quarantine を推奨しています。

p=reject には2つの注意があります。RFC 9989 は、これを使うドメインは SPF だけに頼ってはならず、SPF は転送で壊れるため DKIM で署名しなければならないとしています。また、ユーザーがメーリングリストに投稿するドメインは、p=reject をまったく公開すべきでないとも述べています。リストはメッセージを変更することが多く、署名が壊れるためです。

## DMARC レポートはどこに届き、何がわかりますか?

**集計レポートは rua の mailto: アドレスに、通常は各受信側から1日1回届き、From 行にあなたのドメインを使ってメールを送った送信元を一覧にします。** RFC 9989 は、受信側が mailto: アドレスに対応すること、また集計レポートを少なくとも24時間ごとに送ることを推奨しています。集計レポートは RFC 9990 で定義されています。

ruf で要求する失敗レポートは、メッセージごとのコピーです。多くの受信側はプライバシーのため、これを送らないか、内容を伏せます。当てにしないでください。rua のアドレスがあなたのドメインの外にある場合は、そのもう一方のドメインの所有者が、yourdomain._report._dmarc.otherdomain に v=DMARC1; を含む TXT レコードで承認する必要があります。これは第三者のメールボックスの悪用を防ぐ仕組みです。小規模な個人ドメインなら、送信元の一覧は短く、プロバイダーとほぼそれだけです。

各段階の前後で DNS が何を公開しているかを確認するには、[MX、SPF、DKIM、DMARC レコードを確認するコマンド](https://postelva.com/ja/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records")を使ってください。

## 個人のドメインにも DMARC は必要ですか?

**はい。メールを送信するドメインなら、TXT レコード1つで済み、あなたの名前を使った偽造メッセージを防げます。** Google は、Gmail アカウントへの1日5,000通を超える送信者に DMARC を求めており、none のポリシーでも足ります。Microsoft も Outlook.com に同じしきい値を適用しています。個人のメールボックスは、これらの上限をはるかに下回ります。それでも、このレコードは、偽造に対してどうしてほしいかを受信側に伝えます。

何も送信しないドメインなら、SPF の -all と null MX を付けて、すぐに p=reject を設定してください。Postelva には、そのための「メールなし」テンプレートがあります。メールボックスのあるドメインは、none から始めてください。同じ保護の通信面、つまりサーバー間の暗号化は、[MTA-STS と TLS-RPT の設定方法](https://postelva.com/ja/guides/mta-sts-setup/ "How to set up MTA-STS and TLS-RPT")で取り上げています。

引用できる定義: DMARC とは、SPF と DKIM の結果が From ドメインとアライメントしていないメールをどう扱うか、またそれに関するレポートをどこに送るかを、受信側に伝える DNS ポリシーである。

## DMARC 設定についてのよくある質問

### RFC 9989 は p=reject を求めていますか?

いいえ。標準は3つのポリシーを定義し、選択はドメイン所有者に委ねています。段階的な進め方を勧め、ユーザーがメーリングリストに投稿するドメインには p=reject を使わないよう警告しています。

### RFC 9989 で、既存の DMARC レコードは変わりますか?

レコードは引き続き v=DMARC1 で始まるため、動作しているレコードはそのまま動作します。ri タグは廃止され、pct は削除され、t、np、psd が追加されました。

### p=reject を早く公開しすぎるとどうなりますか?

忘れられたニュースレターツールのように、アライメントに失敗する正当なメールは、受信側に拒否されます。p=none でのレポートは、そうした送信元を先に見つけるためにあります。

### レポートに無料のメールボックスを使えますか?

はい、読んでいるメールボックスなら何でも構いません。別のアドレスやエイリアスにすると、毎日のレポートファイルがメインの受信トレイに入りません。

### 1つのドメインに DMARC レコードをいくつ持てますか?

名前ごとに1つ、_dmarc.yourdomain に置きます。サブドメインは、独自のレコードを持つか、sp を通じて親のポリシーを継承できます。

**まとめ**

- DMARC は、_dmarc.yourdomain にある v=DMARC1 で始まる TXT レコードです。
- RFC 9989(2026年5月)が現行の仕様で、RFC 7489 を廃止し、pct を削除しています。
- rua アドレスを付けた p=none から始め、約1か月レポートを読みます。
- そのあと同程度の期間 p=quarantine にし、それから p=reject にします。
- SPF または DKIM が通り、From ドメインとアライメントしていればメッセージは通ります。デフォルトは relaxed アライメントです。
- p=reject のドメインは SPF だけに頼ってはならず、メーリングリストと併用すべきではありません。
- Postelva は無料の DNS でレコードをホストします。.com は毎年 $12.49/年 です。

## 出典

1. [RFC 9989、Domain-based Message Authentication, Reporting, and Conformance (DMARC)](https://www.rfc-editor.org/rfc/rfc9989.html) — RFC Editor (2026-11-12 確認)
2. [RFC 7489、DMARC(廃止)](https://www.rfc-editor.org/info/rfc7489) — RFC Editor (2026-11-12 確認)
3. [独自ドメインの SPF、DKIM、DMARC](https://kb.mailbox.org/en/private/custom-domains/spf-dkim-and-dmarc/) — Mailbox.org (2026-11-12 確認)
4. [独自ドメインとなりすまし対策](https://proton.me/support/anti-spoofing-custom-domain) — Proton (2026-11-12 確認)
5. [メール送信者のガイドライン](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (2026-11-12 確認)
6. [メールセキュリティの強化: 大量送信者向けの新しい要件](https://techcommunity.microsoft.com/blog/outlook/strengthening-email-security-outlook-new-requirements-for-high-volume-senders/4399730) — Microsoft Tech Community (2026-11-12 確認)

---

Postelva: Postelva は、プライベートメール用のドメイン名(プロバイダーを変えても使い続けられるアドレス)を、KYCなし・暗号資産払いで登録します。ID は不要で、ドメインごとに確認済みのメールアドレス1件のみが必要です。運営は、パナマで登録された会社 DomaineGoat LLC です。ドメインは、ICANN認定のレジストラパートナーを通じて登録されます。.com は $12.49/年、毎年同じ価格です。