DMARCとは
DMARCは、SPFとDKIMの結果に基づく受信側の扱いと、集計レポートの送付先をドメイン所有者が示す方式です。正式名称はDomain-based Message Authentication, Reporting, and Conformance（ドメイン・ベースド・メッセージ・オーセンティケーション、レポーティング・アンド・コンフォーマンス）で、一般に「ディーマーク」と読みます。
2026年5月のRFC 9989は旧RFC 7489を廃止しました。現在のDMARCは、ヘッダーFromからAuthor Domainを取り出し、SPFまたはDKIMで認証できたドメインが整合しているかを評価します。
DMARC通過には、整合したSPF通過または整合したDKIM通過の少なくとも一方が必要です。SPFとDKIMの両方が通過することは必須ではありません。
認証と整合を組み合わせて通過・失敗を決める
接続元IPがMAIL FROMドメインのSPF規則で許可されている
認証したMAIL FROMドメインが厳格または緩和条件を満たす
DNS公開鍵で署名対象ヘッダーと本文ハッシュを検証できる
通過した署名のd=ドメインが指定された整合条件を満たす
整合したSPF通過または整合したDKIM通過が一つ以上ある
公開ポリシーと受信側判断へ渡し、Authentication-Resultsへ記録する
Author DomainはRFC 5322のFromから取り出す
DMARCが保護しようとするのは、受信者の画面に差出人として表示されるRFC5322.Fromのドメインです。SMTPのエンベロープFrom、Sender、Reply-To、表示名そのものではありません。
Fromの構文が無効、Fromがない、複数ドメインを一意に決められないメッセージは、通常のDMARC評価へ安全に進めません。受信側は形式違反として処理し、曖昧な一つを推測して選びません。
厳格と緩和は、ドメイン整合の範囲が違う
strict alignment（ストリクト・アラインメント／厳密整合）は認証ドメインとAuthor Domainの完全一致を求めます。relaxed alignment（リラックスド・アラインメント／緩和整合）は同じOrganizational Domainに属する関係を許します。
SPF用はaspf、DKIM用はadkimタグでモードを選び、既定は緩和です。サブドメインを使う配信サービス、委託先、組織境界を確認してから厳格へ変更します。
ポリシーはなし、隔離、拒否の三段階で示す
DMARCポリシーレコードは通常、_dmarc配下のDNS TXTに置きます。p=なしは監視、p=隔離は隔離相当、p=拒否は拒否を希望する方針です。サブドメイン用にはspを指定できます。
これらはドメイン所有者の希望であり、受信側の最終処理を絶対に命令するものではありません。受信組織は転送、既知のメーリングリスト、地域法、ローカル判定などにより異なる処理を選べます。
現行RFCではpctタグを使わない
旧来の解説にはポリシー適用割合を示すpctタグが載ることがありますが、RFC 9989では削除されました。部分展開を行うなら、送信元・受信結果を把握した上で運用側の段階展開として設計し、古いタグへ依存しません。
仕様更新を無視して古い生成ツールのテンプレートを流用すると、意図と異なるレコードになります。現在のRFCと利用する受信事業者の対応を確認します。
集計レポートは、正規送信経路と詐称の両方を可視化する
ruaで集計レポートの送付先URIを示せます。受信組織は一定期間の送信元、SPF・DKIM・整合、処理件数などを集計して返します。現行の集計形式はRFC 9990でDMARC本体から分離して規定されています。
レポート送信は受信側に必須ではなく、すべての受信組織から届くわけではありません。報告にはIPアドレスやドメインなど運用情報が含まれるため、専用受信箱、アクセス制御、保持期間、外部宛認可を管理します。
転送とメーリングリストは、正当なメールでも失敗を生む
単純転送でSPFが失敗し、メーリングリストの件名・本文変更でDKIMも失敗すると、正規メールでもDMARC失敗になります。受信側は既知の中継情報やARCなどをローカル判断へ使う場合があります。
送信者側はFromを書き換えるかどうか、DKIMを保てるか、転送経路をどう扱うかを検証します。p=拒否を先に公開してから問題を探すと、正規メールを失います。
なしで観測し、全送信元を直してから段階的に強化する
まず送信サービスを列挙し、SPFのMAIL FROMとDKIMのd=をAuthor Domainへ整合させます。p=なしで集計報告と実メールのAuthentication-Resultsを読み、未知の正規送信元、転送、重複レコード、DNSエラーを修正します。
正規送信のDMARC通過を継続確認し、受信側の影響を監視しながらなし、隔離、拒否へ進め、緊急時に戻せるDNS変更手順を用意することが安全です。
DMARC通過は、メール内容の安全証明ではない
DMARCはAuthor Domainの使用がドメイン所有者により認証されたことを示します。その正規アカウントが乗っ取られた、悪意ある組織が自分のドメインで送る、似た別ドメインを使う、表示名だけを偽る攻撃は防ぎ切れません。
受信者はドメインを末尾まで確認し、リンク、添付、要求内容、通常の連絡経路を合わせて判断します。DMARCは迷惑メール・フィッシング対策の重要な一層ですが、内容検査や本人確認の全体ではありません。
現行仕様の確認資料：RFC 9989「DMARC」（RFC 7489を廃止）、RFC 9990「DMARC Aggregate Reporting」、RFC 7208「SPF」、RFC 6376「DKIM」