している人
メール設定を調べていると、「DMARC」っていうのが出てきたんだけど、これって何なの？
結論からお伝えすると、DMARC（ディーマーク）はメールのなりすましやフィッシングメール対策に使われる送信ドメイン認証技術です。
企業やWebサイトから送られるメールが、本当にそのドメインから送信されたものなのかを確認し、認証に失敗したメールをどう扱うかまで指定できます。
この記事では、DMARCの「仕組み」「SPF・DKIMとの違い」「メリット」まで、初心者にもわかりやすく解説します。
DMARCとは？
DMARCとは、メールのなりすましを防ぐための「送信ドメイン認証」の仕組みです。
DMARCは、Domain-based Message Authentication, Reporting, and Conformanceの略称で、
日本語では「ドメインベースのメッセージ認証・報告・適合」を意味します。
簡単にいうと、DMARCは、「このメールは本当に、このドメインの持ち主が送ったものなのか？」を確認し、
認証に失敗したメールをどう扱うべきか受信側に伝える仕組みです。
例えば、攻撃者があなたの会社のドメインを装って、「〇〇銀行です。こちらからログインしてください」といった偽メールを送ったとします。
このようなメールが届いたとき、DMARCによって認証結果を確認し、受信・迷惑メールフォルダーへの隔離・拒否などの処理を指定できます。
DMARCは何のために使う？
DMARCの主な目的は、自分のドメインを使ったなりすましメールを防ぐことです。
例えば、自分（あなた）のドメインが
example.com
だったとします。
攻撃者が勝手に、
info@example.com
を名乗ってメールを送信すると、受信者から見ると本物（あなた）から届いたように見えてしまう可能性があります。
DMARCを設定すると、SPFやDKIMの認証結果とメールの送信元ドメインなどを確認し、認証に失敗したメール（なりすましメール）に対する処理をドメイン所有者が指定できます。
そのためDMARCは、企業のメールアドレスを悪用したフィッシングやなりすましへの対策として重要です。
DMARCの仕組みを簡単に解説
DMARCの仕組みは、次の流れで考えるとわかりやすいでしょう。
メールを送信
↓
SPF・DKIMで認証
↓
DMARCで認証結果と送信元ドメインの整合性を確認
↓
DMARCポリシーに従って処理
（受信許可・迷惑メール判定・受信拒否など）
ここで重要なのが、DMARCは単独でメールの認証を行うのではなく、SPFやDKIMの認証結果を利用するという点です。
さらに、認証に成功しただけではなく、認証されたドメインとメールのFrom（送信元）に表示されるドメインが適切に一致しているか（アライメント）も確認します。
SPF・DKIM・DMARCの違い
DMARCを理解するには、SPFとDKIMとの違いを知っておくことが大切です。
| 仕組み | 主な役割 | 簡単にいうと |
|---|---|---|
| SPF | 送信元サーバーを確認 | 「このサーバーから送っていい？」 |
| DKIM | メールの電子署名を確認 | 「メールに正しい署名がある？」 |
| DMARC | SPF・DKIMの結果を利用して処理を指定 | 「認証に失敗したらどうする？」 |
SPFとは？
SPF（Sender Policy Framework）は、そのドメインからメールを送信してよいサーバーをDNSに登録する仕組みです。
簡単にいうと、「このメールを、このサーバーから送っても大丈夫か？」を確認する仕組みです。
DKIMとは？
DKIM（DomainKeys Identified Mail）は、メールに電子署名を付ける仕組みです。
受信側はDKIMの署名を検証することで、メールが正しく認証できるか確認します。
つまりDKIMは、「このメールには正しい電子署名が付いているか？」を確認する仕組みです。
DMARCとは？
DMARCはSPFやDKIMと組み合わせて利用され、
SPFやDKIMの認証結果を利用して、「認証に失敗したメールをどう扱うか」を指定する仕組みです。
そのため、3つの関係を簡単に表すと、
SPF＝送信元サーバーを確認
DKIM＝電子署名を確認
DMARC＝認証結果をもとにメールの扱いを決める
と覚えると理解しやすいでしょう。
DMARCの3つのポリシー
DMARCには、認証に失敗したメールをどう扱うかを指定する代表的な3つのポリシーがあります。
p=none
p=noneは、認証に失敗してもメールを拒否・隔離せず、まず状況を確認するための設定で、
DMARCを導入したばかりのときなどに利用されます。
まずDMARCレポートを確認して、「正規のメールが正常に認証されているかを確認する」といった使い方ができます。
p=quarantine
p=quarantineは、認証に失敗したメールを隔離するよう受信側に要求する設定です。
例えば、迷惑メールフォルダーなどに入れる処理が考えられます。
p=reject
p=rejectは、認証に失敗したメールを拒否するよう受信側に要求する設定で、
3つの中では、なりすましメールに対して最も強いポリシーといえます。
ただし、正規のメールまで認証に失敗すると受信を拒否される可能性があるため、いきなりp=rejectにするのではなく、状況を確認しながら導入することが重要です。
DMARCの仕様では、none、quarantine、rejectがポリシーとして定義されています。
DMARCレコードとは？
DMARCを利用するときは、DNS（ドメイン名とIPアドレスなどを関連付ける仕組み）にDMARCレコードを登録します。
例えば、次のような形式です。
v=DMARC1; p=none; rua=mailto:dmarc@example.comそれぞれ、
v=DMARC1→ DMARCのバージョンp=none→ 認証失敗時のポリシーrua→ DMARCレポートの送信先
を表しています。
DMARCレコードは、ドメインに対してどのようなDMARCポリシーを適用するのかをDNSのTXTレコードとして公開します。
DMARCレポートとは？
DMARCには、認証結果を確認するためのレポート機能もあります。
DMARCレコードにruaを指定すると、受信側からDMARCの集計レポートを受け取れるようになります。
レポートには、
- どのサーバーからメールが送信されたか
- SPFの認証結果
- DKIMの認証結果
- DMARCの認証結果
- 認証に失敗したメールの件数
などの情報が含まれます。
これによって、「自社ドメインを使って不正なメールが送られていないか」を確認できます。
DMARCを導入するメリット
DMARCを導入する主なメリットは次のとおりです。
なりすましメール対策になる
自社ドメインを悪用したメールへの対策を強化できます。
フィッシング対策に役立つ
企業やサービスを装った偽メールが送られるケースへの対策として利用できます。
認証失敗時のルールを指定できる
認証に失敗したメールについて、受信・隔離・拒否などのポリシーを指定できます。
メールの状況を把握できる
DMARCレポートを利用することで、自社ドメインから送信されたメールの認証状況を確認できます。
DMARCだけ設定すればいい？
「DMARCを設定すればSPFやDKIMは必要ない」と考えるのは間違いです。
なぜなら、DMARCはSPFやDKIMの認証結果を利用する仕組みだからです。
そのため、基本的には、
SPF
↓
DKIM
↓
DMARC
というように、3つを組み合わせてメールの送信元認証を強化していきます。
ただし、DMARCの判定はSPFまたはDKIMのどちらか一方が、送信元ドメインと適切に整合して認証されれば成立する仕組みです。
DMARCとは？まとめ
DMARCとは、メールのなりすましを防ぐための送信ドメイン認証技術です。
ポイントをまとめると、次のとおりです。
特に重要なのは、SPF＝送信元サーバー、DKIM＝電子署名、DMARC＝認証結果に基づくルールと覚えることです。
DMARCは一見すると難しそうですが、この3つの役割を理解すると仕組みがかなりわかりやすくなります。
メールのなりすましやフィッシングが問題になる現在、独自ドメインでメールを運用している企業やサイト管理者にとって、DMARCは重要なメールセキュリティ対策の一つです。
