DMARCレコードはどのようなものですか？
一般的なすべてのタグを含む完全なDMARCレコードを、タグごとに分解して解説します。
v=DMARC1; p=reject; rua=mailto:dmarc@example.com; ruf=mailto:forensic@example.com; adkim=s; aspf=r; pct=100; sp=reject
v=DMARC1 バージョン（必須） p=reject ポリシー：失敗をブロック rua= 集計レポートのアドレス ruf= フォレンジックレポートのアドレス adkim=s strictなDKIMアライメント aspf=r relaxedなSPFアライメント pct=100 失敗の100%に適用 sp=reject サブドメインポリシー：reject DMARCレコードの構造ルール
有効なDMARCレコードは、これらのルールに従う必要があります。いずれか1つに違反すると、受信側はそのレコードを完全に無視します。
ドメインごとに1レコード
ドメインには正確に1つのDMARC TXTレコードが必要です。複数のレコードはPermErrorを引き起こし、受信側はそのすべてを無視します。
_dmarcサブドメインに公開する
レコードは_dmarc.yourdomain.comのTXTレコードである必要があります。ルートドメインでも、_dmarc.www.yourdomain.comでもありません。
v=DMARC1で始まる必要がある
v=タグはレコードの最初のタグである必要があります。他のタグが最初に現れると、レコードは無効になります。
タグはセミコロンで区切る
各タグはセミコロンと任意の空白で区切ります：v=DMARC1; p=reject; rua=mailto:...
タグ名は大文字小文字を区別しない
タグ名（p=、rua=、adkim=）は大文字小文字を区別しませんが、一部のタグでは値が大文字小文字を区別します。
フェーズ別のDMARCレコード例
DMARC導入の3つのフェーズに対応した3つのレコードです。各フェーズには最低90日間の監視が必要です。p=rejectまでの全行程には通常9〜18か月かかります。
v=DMARC1; p=none; rua=mailto:dmarc@example.com; fo=1
ここから始めます。受信側はすべてのメールを通常どおり配信しつつ、日次の集計レポートをあなたに送ります。fo=1タグはSPFまたはDKIMのいずれかが失敗したときにフォレンジックレポートを生成し、最大限の可視性をもたらします。
v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@example.com; ruf=mailto:forensic@example.com; adkim=r; aspf=r
p=noneで90日以上監視した後、pct=25でquarantineに移行します。失敗メッセージのうち25%だけが迷惑メールに送られます。正当なメールが合格することを確認しながら、数週間かけてpct=を段階的に（50、75、100と）増やします。
v=DMARC1; p=reject; rua=mailto:dmarc@example.com; ruf=mailto:forensic@example.com; adkim=s; aspf=s; sp=reject
最終目標です。DMARCに失敗したすべてのメッセージがSMTPレベルで拒否されます。strictアライメントはドメインの完全一致を保証します。sp=rejectは保護をすべてのサブドメインに拡張します。この段階に到達するには通常9〜18か月かかります。
DMARCレコードはどうやって確認しますか？
DMARCチェッカーツールを使って、_dmarc.yourdomain.comのDNS TXTレコードを問い合わせ、構文、タグ、値が正しいことを検証します。
- レコードの構文とタグの順序を検証する
- 複数の矛盾するレコードがないかを確認する
- rua=とruf=のアドレスが到達可能かを検証する
- アライメントモードとポリシー設定を確認する
DMARCレコードはどうやって作成しますか？
無料のDMARCレコードジェネレーターを使えば、有効なレコードを数秒で作成できます。ポリシーを選び、レポート用アドレスを入力し、TXTレコードをDNSにコピーするだけです。
DMARCレコードを生成する →DMARCレコードに関するよくあるご質問
1つのドメインに複数のDMARCレコードを持てますか？
いいえ。ドメインには_dmarc.yourdomain.comに正確に1つのDMARC TXTレコードが必要です。複数のレコードが存在すると、受信側はPermErrorを返してそのすべてを無視します。レポートを複数のアドレスに送るには、rua=タグ内でカンマ区切りで列挙します：rua=mailto:addr1@example.com,mailto:addr2@example.com。
DMARCレコードはDNSのどこに追加しますか？
ホスト/名前を_dmarcに設定したTXTレコードを追加します（DNSプロバイダーが自動的にドメインを付加します）。レコードタイプはTXTで、値はv=DMARC1で始まるDMARCポリシー文字列です。変更はTTL設定に応じて数分から48時間以内に伝播します。
有効な最小限のDMARCレコードは何ですか？
有効な最小限のDMARCレコードはv=DMARC1; p=none、つまりバージョンとポリシーのタグだけです。ただし、rua=がないとレポートを受け取れず、可視性がありません。実用的な最小限はv=DMARC1; p=none; rua=mailto:your-address@example.comです。
DMARCレコードに構文エラーがあるとどうなりますか？
構文エラーを検出した受信側は、DMARCレコードが存在しないものとしてそのレコードを扱います。メッセージはSPFとDKIMの結果のみに基づいて配信され、DMARCポリシーの適用は行われません。公開する前に、DMARCチェッカーでレコードの構文を検証してください。
DMARCレコードが有効になるまでどれくらいかかりますか？
DMARCレコードはDNSの伝播が完了するとすぐに有効になり、通常は数分から48時間以内です。ただし、受信側がレポートを日次でまとめるため、集計レポートは公開後24〜72時間で届き始めます。レポートが生成されていないと結論づける前に、丸1週間は待ってください。
サブドメインには独自のDMARCレコードが必要ですか？
サブドメインは親ドメインのDMARCポリシーを自動的に継承します。サブドメインが異なるポリシーを必要とする場合にのみ、別のサブドメインDMARCレコードが必要です。親レコードのsp=タグでも、別のレコードを作らずにサブドメイン固有のポリシーを設定できます。
世界中のセキュリティチームに信頼されています
Rated 4.8/5 on G2 · 469 verified reviews
Dave G.
Owner
"DMARC Report has been invaluable in fixing email deliverability issues for our clients"
DMARC Report dashboard allows us to see easily what is compliant and what isn't compliant so we can quickly fix issues.
Zunaid K.
Director
"Essential tool for email delivery"
This tool helps us to implement DMARC reporting for our domains in an easy to use manner.
Verified User in Information Technology and Services
"Best security tool for your own domains"
The weekly reports help me a lot to analyze quickly the emails sent from my domains and that gives me peace of mind.