DMARCとは？メールなりすましを防ぐ最新セキュリティ対策を徹底解説！

ビジネスメールの信頼性が問われる今、なりすましやフィッシング詐欺による被害は深刻化しています。

「DMARCとは何か？」と検索したあなたも、自社のドメインを守る必要性を感じているのではないでしょうか。

本記事では、DMARCの基本から設定方法、導入事例までをわかりやすく解説。初めての方でも安心して導入できるよう、ステップごとに丁寧にご案内します。

DMARCとは

「DMARCとは」メールの信頼性を高めるための重要なセキュリティ技術です。なりすましメール（フィッシング詐欺など）からドメインや顧客を守る目的で広く導入が進んでいます。

本記事では、DMARCの基本からその必要性までをわかりやすく解説します。

1-1. DMARCの定義と目的

DMARC（Domain-based Message Authentication, Reporting and Conformance）とは、ドメインを使ったメールの「なりすまし」を防止するためのメール認証技術です。

1-1-1. DMARCの目的

DMARCの主な目的は以下の通りです：

• 不正ななりすましメールの検出とブロック
• メールの送信元ドメインの真正性の証明
• 認証失敗時の対処ポリシーの明示
• 受信側からのレポート取得による運用改善

このように、DMARCは「SPF」や「DKIM」といった既存の認証技術を組み合わせて活用し、より確実に「そのメールが正規の送信者から送られたものか」を確認できる仕組みです。

1-1-2. SPF・DKIMとの連携

技術名	役割
SPF	メール送信元のIPアドレスを認証
DKIM	メール本文に電子署名を付与して改ざんを防止
DMARC	SPFとDKIM両方を活用し、ドメインの整合性を確認。さらにポリシーを指定し、レポートを取得

つまり、DMARCはメール認証の「まとめ役」として機能し、企業や組織のドメインを安全に保つ重要な役割を果たしています。

1-2. DMARCが必要とされる背景

現在、企業がDMARCを導入すべき理由は非常に多く、特にセキュリティと信頼性の観点から無視できない存在となっています。

1-2-1. フィッシング詐欺の急増

毎日のように送信される迷惑メールの中でも、「企業や行政機関を装ったなりすましメール」は深刻な被害を引き起こしています。こうした詐欺行為は、受信者が正規のメールかどうかを判断できない状況を悪用しており、DMARCのような対策が不可欠です。

1-2-2. 信頼されるメール運用の必要性

DMARCを導入しないと、たとえ正規のメールであっても、受信側のメールサーバーに迷惑メールと判定される可能性があります。これは「配信エラー」や「メールが届かない」といったトラブルにもつながります。

1-2-3. グローバル基準への対応

現在では、GoogleやMicrosoftなどの大手企業がDMARC対応を推奨しており、海外とのビジネスやメール連携においても、DMARC対応は事実上の必須条件となりつつあります。

導入理由	内容
顧客の信頼性確保	なりすましを防ぐことでブランドイメージの維持
配信率の向上	正規メールが迷惑メールと判定されるリスクを軽減
セキュリティ強化	攻撃の入口となるメールのリスクを低減

したがって、DMARCは「導入すべきかどうか」ではなく、「いつ、どのように導入するか」が重要な時代になっているのです。

DMARCの仕組み

「DMARCとは何か」を正しく理解するためには、その内部の仕組みや、他のメール認証技術との関係性を知ることが重要です。

DMARCは単体で機能するわけではなく、「SPF」と「DKIM」という2つの技術と連携することで、より強固なセキュリティを実現します。

ここでは、それぞれの技術の関係性と、DMARCの認証プロセスについて詳しく解説します。

2-1. SPFとDKIMとの関係性

DMARCとは、メールの信頼性を高めるための「統合的な認証ポリシー」です。つまり、DMARCはSPFとDKIMという2つの既存技術を利用し、それぞれの認証結果に基づいてメールの正当性を判断します。

2-1-1. SPF（Sender Policy Framework）とは

SPFは、ドメイン所有者が「このサーバーからメールを送ります」と宣言する仕組みです。

受信側は、送信元IPアドレスがそのドメインで許可されているかを確認し、一致していれば通過、不一致なら失敗と判断します。

2-1-2. DKIM（DomainKeys Identified Mail）とは

DKIMは、送信メールに「電子署名」を付けて改ざんを防ぐ技術です。

送信側がメールに署名をつけ、受信側がDNSを通じて公開鍵で検証します。改ざんがなければ正しいメールとして認証されます。

2-1-3. DMARCが果たす役割

DMARCは、上記のSPFとDKIMがどちらも正しく動作したかどうかをチェックし、次のような条件をもとに判断します。

• SPFが成功し、Return-PathとFromアドレスのドメインが一致
• DKIMが成功し、署名されたドメインとFromアドレスのドメインが一致

この「Fromアドレスの整合性」がポイントです。

なぜなら、なりすましメールの多くは「From」に偽のドメインを記載するからです。

DMARCは、ここに厳密な整合性チェックを課すことで、なりすましを防ぎます。

技術名	主な役割	DMARCとの関係
SPF	IPアドレスの認証	ドメインの一致が必要
DKIM	電子署名による改ざん検知	署名ドメインの一致が必要
DMARC	認証結果に基づくポリシー制御	SPF/DKIM＋Fromアドレスの整合性を確認

したがって、DMARCとは単に認証を行うだけではなく、ポリシーと整合性の管理までを含めた包括的な仕組みなのです。

2-2. DMARCの認証プロセス

DMARCがメールをどのように検証するのか、そのプロセスをステップごとに見てみましょう。

2-2-1. 認証の流れ

1. SPF検証
   • 送信元IPがDNSに登録された送信サーバーかを確認
2. DKIM検証
   • メールヘッダに含まれる署名が正しいかを確認
3. Fromアドレスとの整合性チェック
   • SPFまたはDKIMで認証が成功し、それがFromアドレスのドメインと一致しているかを確認
4. DMARCポリシーの適用
   • none：何もしない
   • quarantine：迷惑メールフォルダに振り分け
   • reject：メールを拒否

2-2-2. レポート機能

DMARCには、受信側が送信者にレポートを返す仕組みもあります。このレポートには次のような情報が含まれます：

• 認証に成功・失敗したメールの件数
• 認証に失敗したIPアドレス
• ポリシーの適用状況

この情報を分析することで、自社のドメインが不正に使用されていないか、どの送信元が問題を引き起こしているかを把握しやすくなります。

DMARCの設定方法

ここまでで「DMARCとは」何か、その仕組みについて理解できたところで、次は実際にDMARCを自社のメールドメインに適用する手順について解説します。

DMARCは「DNS（ドメインネームシステム）」に設定情報を追加することで運用が始まります。

したがって、DNS設定にある程度の知識が必要ですが、手順は明確ですので初心者でも順を追えば対応可能です。

この章では、DMARCレコードの作成方法と、DNSへの登録方法について詳しく解説します。

3-1. DMARCレコードの作成

DMARCレコードとは、メールを受信する側に「このドメインはDMARCを使って認証しています」という情報と、「認証に失敗したときの対応方法」を伝えるための設定情報です。DNSのTXTレコードとして記述します。

3-1-1. DMARCレコードの基本構成

DMARCレコードは、以下のような形式で記述されます。

3-1-2. 各パラメータの意味：

パラメータ	内容
v	DMARCのバージョン（現在は常に DMARC1）
p	認証失敗時のポリシー（none, quarantine, reject）
rua	認証結果を受け取るメールアドレス（集計レポート）
ruf	詳細なフォレンジックレポートを受け取るメールアドレス（任意）
pct	ポリシーを適用する割合（例：pct=50で50%のメールに適用）

3-1-3. 例：より厳格な設定

iniコピーする編集するv=DMARC1; p=reject; rua=mailto:dmarc-report@example.com;

このように設定することで、DMARC認証に失敗したメールは受信者に届かなくなります。したがって、初期段階では p=none に設定し、まずはレポートを取得して状況を把握するのが一般的です。

3-2. DNSへのDMARCレコードの追加手順

DMARCを機能させるには、作成したレコードを自社のドメインDNSに登録する必要があります。

ここでは、その手順をわかりやすく紹介します。

3-2-1. DMARCレコードの登録場所

DMARCレコードは、以下のホスト名（サブドメイン）に設定します：

ここで「example.com」は自社のメールドメインに置き換えてください。

3-2-2. 登録手順の流れ

1. DNS管理画面にログイン
   • ドメイン管理会社（例：お名前.com、さくらインターネット、AWS Route 53など）のDNS管理ページにアクセスします。
2. TXTレコードの追加
   • ホスト名に「_dmarc」
   • 種別に「TXT」
   • 値に作成したDMARCレコード（例：v=DMARC1; p=none; rua=mailto:～）
3. 保存・反映
   • 変更を保存し、設定がDNSに反映されるまで待ちます（最大72時間ほどかかることがあります）。

3-2-3. 登録後の確認方法

設定が反映されたかどうかを確認するには、以下のようなオンラインツールを使うと便利です：

• DMARC Analyzer
• MXToolbox
• Google Admin Toolbox

これらのツールにドメイン名を入力すれば、正しくDMARCレコードが設定されているかどうかを確認できます。

DMARCのポリシーと運用

DMARCとは、単にメールの認証技術というだけでなく、運用ポリシーを通じて「どのように対処するか」を具体的にコントロールできる点に大きな特徴があります。

この章では、DMARCのポリシーの種類と、それらを活用した効果的な運用方法について詳しく解説します。

4-1. ポリシーの種類（none、quarantine、reject）

DMARCでは、認証に失敗したメールに対してどのように扱うかを「ポリシー（p=）」で定義します。

ポリシーには3つのレベルがあり、導入段階やセキュリティ方針に応じて使い分けることが推奨されます。

4-1-1. 各ポリシーの比較

ポリシー名	説明	適用シーン
none	認証失敗時も何もせず、レポートのみ取得	様子見・初期導入段階
quarantine	認証失敗メールを「迷惑メール」として隔離	本格運用への移行準備
reject	認証失敗メールを完全に拒否	本番運用・セキュリティ強化

4-1-2. ポリシーの選び方と注意点

• まずは「none」でスタート
  • 最初からrejectに設定してしまうと、正規のメールが誤って拒否されるリスクがあります。
• データをもとに徐々に強化
  • レポートで認証状況を把握し、問題がなければ段階的にquarantine → rejectへと進めましょう。
• エラーメールの原因を特定する
  • DMARC導入後、想定外の送信元（例：クラウドサービス、外部委託先）が認証失敗するケースがあるため、見逃さないよう注意が必要です。

4-2. レポートの活用方法

DMARCとは、「レポート機能」によって認証結果を可視化できる点も大きなメリットです。

ポリシーの適用状況や不正アクセスの兆候を定期的に確認することで、ドメインの安全性を維持できます。

4-2-1. DMARCレポートの種類

レポート名	内容	頻度
RUA（集計レポート）	メールの送信元、認証結果の統計情報	通常は1日1回
RUF（フォレンジックレポート）	認証失敗の詳細情報（メールヘッダ等）	リアルタイム or 失敗時

※RUFはプライバシーの観点から一部提供されないケースもあるため、主にRUAを中心に運用します。

4-2-2. レポート活用のポイント

• 認証失敗の傾向を分析
  • どのIPアドレスやメールサービスからの送信が問題なのかを可視化できます。
• 第三者の不正利用を早期発見
  • 自社のドメインをかたる送信があれば、DMARCレポートで即座に察知可能です。
• ポリシー強化の判断材料に
  • 「失敗がない＝正しい運用ができている」と判断できたら、ポリシーを段階的に強化できます。

4-2-3. レポートの確認方法

以下のようなツールを使えば、複雑なレポートも視覚的に確認できます。

• DMARC Analyzer
• Postmark DMARC Viewer
• Google Postmaster Tools

これらのツールを活用することで、DMARCとは単なるメール認証技術ではなく、継続的にドメインの信頼性を維持するための「運用戦略」であることが実感できるはずです。

DMARC導入のメリットとデメリット

ここまで解説してきたように、DMARCとはドメインを使ったなりすましメールの対策として非常に有効な技術です。しかし、その導入には多くのメリットがある一方で、一定のリスクや注意点も存在します。この章では、「DMARCとは何か」を正しく理解し、導入の判断材料となるよう、メリットとデメリットの両面を整理してご紹介します。

5-1. メリット：フィッシング詐欺の防止

DMARCの最大のメリットは、なりすましメールによるフィッシング詐欺を未然に防げる点にあります。従って、企業や組織にとってはブランドイメージの保護、顧客との信頼関係の維持にも直結する重要な要素です。

5-1-1. なりすましメールの排除

DMARCでは、正規の認証が通っていないメールを受信側で「迷惑メール」「拒否」などの処理に振り分けることが可能です。これにより、攻撃者が自社ドメインを悪用して送信した不正メールを受信者が目にする機会を大幅に減らせます。

5-1-2. 顧客の信頼向上

顧客は「信頼できる送信者」からのメールであると認識しやすくなり、開封率やクリック率も向上する傾向があります。また、GoogleやMicrosoftなどの大手メールサービスも、DMARCを導入しているドメインからのメールを優先的に受信箱に表示する傾向があり、結果的に到達率向上にもつながります。

5-1-3. セキュリティ対策の強化

DMARCは単体ではなく、SPFやDKIMと組み合わせて運用されるため、複数の技術による多層的なセキュリティを構築できます。その結果、フィッシングやスパムなどの脅威に対して強固な防御が可能となります。

メリット	内容
なりすまし防止	認証失敗メールを拒否・隔離
ブランド保護	自社ドメインの信用を守る
到達率向上	正規メールの信頼性が高まり、迷惑メール扱いされにくくなる
セキュリティ強化	SPF・DKIMと連携し、多重防御を実現

5-2. デメリット：誤判定のリスクと対策

一方で、「DMARCとは万能な技術」というわけではありません。設定や運用方法を誤ると、正規のメールが誤判定されてブロックされるリスクもあります。特に外部サービスを使っている場合や、複雑なメール環境を持つ企業では注意が必要です。

5-2-1. 正常なメールが届かなくなるリスク

たとえば、ニュースレター配信サービスやクラウド型CRMなど、第三者が自社ドメインを使ってメールを送信している場合、それらがDMARCのポリシーに準拠していないと、正当なメールであっても「なりすまし」と判断される可能性があります。

5-2-2. ポリシー設定ミスによる影響

DMARCポリシーを初めから「reject」に設定してしまうと、レポートを確認する前に重要なメールが届かなくなってしまうこともあります。したがって、段階的な導入が推奨されます。

5-2-3. 対策とベストプラクティス

• 初期段階では「none」を使用し、レポート分析から始める
• SPF・DKIMの設定も正確に行う
• 外部サービス利用時は送信元のIPや署名ドメインも確認・調整
• 定期的にDMARCレポートを確認して状況を把握する

デメリット	内容	対策
正常メールのブロック	外部送信元の認証失敗	事前にSPF・DKIM設定を確認
ポリシー設定ミス	最初からreject設定	noneでスタートし段階的に移行
環境整備に時間がかかる	複数システムの調整が必要	運用フローを整理・ツールを活用

DMARC導入事例と最新動向

「DMARCとは」何かを理解し、その導入を検討する際、実際の企業がどのようにDMARCを活用しているか、また最新の導入動向を知ることは非常に有益です。

​本章では、国内外の具体的な導入事例と、DMARCの最新トレンドについて詳しく解説します。​

6-1. 国内外の導入事例とその効果

DMARCの導入は、多くの企業や組織で進められており、その効果も報告されています。

ここでは、いくつかの具体的な事例を紹介します。​

6-1-1. 日本国内の導入事例

• 日本電気株式会社（NEC） NECでは、ハイブリッドワークの定着に伴い、コミュニケーションツールのセキュリティ強化を図る中で、DMARCの導入を決定しました。​外部のセキュリティ診断やカンファレンスを通じて、DMARC対応の重要性を認識し、先陣を切って取り組むことで業界全体の採用を促進する狙いもありました。 ​
• 株式会社毎日放送（MBS） MBSでは、迷惑メール対策強化の新ガイドライン発表を受け、DMARCの導入を急務と位置付けました。​導入後は、正規メールがDMARC認証をパスしていることを確認でき、社内メール環境の是正にも役立てられました。 ​
• 株式会社ジェーシービー（JCB） JCBでは、約500件のドメインを対象に、2023年夏から段階的にDMARCの導入を進めています。​まずメールの状況を可視化することを目的にレポートのみを行う設定で導入を開始し、徐々に厳しい設定へ移行する計画です。 ​

6-1-2. 海外の導入事例と動向

海外でもDMARCの導入は進んでおり、特に大手クラウド企業がその普及を後押ししています。​

2024年初頭には、GoogleやYahoo、Microsoftが一定量のメールを送信する企業に対してDMARCの義務化を発表し、これが導入の大きな推進力となっています。 ​

また、オーストラリアでは、主要銀行の66%が最高レベルのDMARC保護を未導入であることが報告されており、顧客がフィッシング詐欺に対して脆弱な状況が続いています。 ​

6-1-3. DMARC導入の効果

DMARCの導入により、多くの企業が以下の効果を実感しています：​

• なりすましメールの減少：​正規のドメインを悪用したフィッシングメールが大幅に減少し、ブランドの信頼性が向上。​
• メール到達率の向上：​正規メールが迷惑メールと判定されるリスクが低減し、顧客とのコミュニケーションが円滑化。​
• セキュリティポリシーの可視化：​DMARCレポートを通じて、メールの送信状況や認証結果を把握し、適切な対策を講じることが可能。​

これらの事例からも分かるように、DMARCとはメールセキュリティを強化し、組織の信頼性を高めるための重要な施策であることが明らかです。