DMARCとは？仕組みや設定の重要性を初心者向けにわかりやすく解説

2026年4月1日

URLをコピーしました！

自社からお客様へ送ったはずのメールが「迷惑メールフォルダに入ってしまう」、あるいは「自社の名前を騙った偽物のメール（なりすましメール）が出回っている」。このようなメール関連のトラブルを防ぐための強力な対策として、現在多くの企業が導入を急いでいるのが「DMARC（ディーマーク）」です。

特に2024年以降、GoogleやYahoo!が発表した「メール送信者ガイドライン」の変更により、DMARCの設定は、全ての企業にとって「努力目標」から「必須のセキュリティ要件」へと変わりました。

とはいえ、ITやネットワークの専門知識がない方にとって、セキュリティ用語は難しく感じられるかもしれません。この記事では、「DMARCとは一体何なのか」「なぜ今すぐ設定しなければならないのか」、そして「どのような仕組みで動いているのか」を、専門用語をできるだけ使わずに初心者の方にも分かりやすく解説します。

1. DMARC（ディーマーク）とは？その役割と目的

DMARCは「Domain-based Message Authentication, Reporting, and Conformance」の頭文字をとった言葉で、読み方は「ディーマーク」です。

DMARCを一言で説明すると、「自社の名前を騙る『なりすまし（詐欺）メール』から、お客様と自社のブランドを守るためのセキュリティの仕組み」です。

悪意のある第三者が、実在する有名な企業やサービスのメールアドレスを勝手に名乗り、「パスワードの変更をお願いします」「料金が未払いです」といった偽のメールを送る「フィッシング詐欺」が社会問題化しています。

DMARCは、こうした偽物のメールがお客様の受信トレイに届く前にブロックし、「本当に自社から送った本物のメールだけ」を安全に届けるためのルール（防波堤）として機能します。

2. なぜ今、DMARCの設定が急務なのか？（導入のメリット）

これまでDMARCは「大企業や金融機関が設定するもの」というイメージがありましたが、現在では規模を問わずすべての企業にとって必須の対応となりつつあります。その理由とメリットを解説します。

理由①：Google（Gmail）やYahoo!のガイドライン変更

これが最も直接的で、多くの企業が焦っている理由です。2024年に入り、GoogleやYahoo!は迷惑メール対策を大幅に強化しました。具体的には、「1日に5,000件以上のメールを一斉送信する送信者」に対して、DMARCの設定を事実上義務化しました。

この基準を満たしていない場合、メルマガや重要なお知らせを送っても、Gmailなどのユーザーにはメールが届かなくなる（エラーで弾かれる、または迷惑メールに振り分けられる）可能性が極めて高くなります。

5,000件未満であっても設定が強く推奨されており、「お客様にメールが届かない」というビジネス上の致命的なダメージを避けるためにも、DMARCへの対応は待ったなしの状況です。

理由②：自社のブランド（信用）を詐欺被害から守る

もし、あなたの会社の名前を騙った詐欺メールでお客様が被害に遭ってしまったらどうなるでしょうか。法的な責任は悪意のある第三者にあるとしても、「あの会社からのメールは危険だ」「セキュリティ対策が甘い会社だ」というブランドイメージの低下は避けられません。

後述する設定でDMARCを厳格に運用すれば、なりすましメールそのものがお客様に届かなくなるため、自社の信用とお客様の安全を確実に守ることができます。

理由③：なりすましメールの状況を可視化できる（レポート機能）

DMARCには、強力な「レポート機能」が備わっています。これは、「あなたの会社を名乗るメールが、世界のどこから、どれくらいの数送られているか」を受信側のメールサービス（GoogleやYahoo!など）が定期的に報告してくれる機能です。

このレポートを受け取ることで、「自社の名前がどれくらい悪用されているのか」「正しく送っているはずの自社のメールが、どこかでエラーになっていないか」を可視化し、適切な対策を打つことができるようになります。

DMARCの仕組み

DMARCの仕組みを理解するためには、その前提として「SPF（エスピーエフ）」と「DKIM（ディーキム）」という2つの技術を知っておく必要があります。難しく聞こえるかもしれませんが、手紙のやり取りに例えると非常にシンプルです。

前提となる2つの証明書：「SPF」と「DKIM」

企業がメールを送る際、それが「本物である」と証明するためには、以下の2つの方法があります。

SPF（送信元の住所確認）： 「うちの会社は、この郵便局（サーバー）からしか手紙（メール）を出しませんよ」というリストをあらかじめ公開しておく仕組みです。受信側は、届いた手紙の消印を見て、「リストにある正しい郵便局から送られてきたか」を確認します。
DKIM（電子的なハンコ）： 送る手紙の封筒に、絶対に偽造できない「自社専用の特別なハンコ（電子署名）」を押しておく仕組みです。受信側は、そのハンコが本物かどうかを確認します。

DMARCは「偽物が見つかった時のルール」を決めるもの

SPFとDKIMによって、「このメールは本物だ」と確認できるようになりました。しかし、もし「リストにない郵便局から届いた手紙」や「ハンコが押されていない手紙」、つまり偽物のメールが届いた場合、それを受信側のメールサービス（Gmailなど）はどう扱えば良いのでしょうか。

そのままお客様のポストに入れてしまうと、詐欺の被害に遭うかもしれません。そこで、メールの送信元である企業側が「もしうちの会社を名乗る偽物のメールが届いたら、こうやって処理してくださいね」と、受信側のメールサービスに対して指示を出すためのルールが「DMARC」なのです。

DMARCで設定できる3つの指示（ポリシー）

DMARCでは、偽物のメール（SPFやDKIMのチェックに失敗したメール）を受信した際の扱い方として、企業側から以下の3つのうちいずれかの指示（ポリシー）を出すことができます。

何もしない（none）
- とりあえずそのままお客様の受信トレイに届けてください、という指示です。導入の初期段階で、「現状、どれくらい偽物メールが出回っているか」「自社の正しいメールが誤って弾かれていないか」を様子見・調査するために使います。
隔離する（quarantine）
- 怪しいので、お客様の受信トレイには入れず、「迷惑メールフォルダ」に入れてください、という指示です。お客様の目に触れるリスクを下げることができます。
拒否する（reject）
- 完全に偽物なので、お客様には一切届けず、受信を拒否（ブロック）してください、という一番厳しい指示です。DMARCの最終的な目標は、この「拒否する」に設定し、詐欺メールを完全にシャットアウトすることです。

5. DMARC設定の3つのステップ（導入の流れ）

DMARCの重要性がわかったところで、実際にどのように設定を進めていくのか、大まかな流れを解説します。実際の作業は、自社のドメイン（インターネット上の住所。メールアドレスの「@」以降の部分）を管理しているシステムの担当者や、サーバー会社の管理画面から行います。

ステップ1：SPFとDKIMの設定を完了させる

DMARCは、SPFとDKIMの結果をもとに動作します。そのため、まずは自社のメール環境でこの2つが正しく設定されているかを確認します。片方、できれば両方の設定が完了していることがDMARC導入の必須条件となります。

ステップ2：DMARCレコード（ルール）を作成する

次に、DMARCの指示内容（ポリシー）を決定します。「v=DMARC1; p=none; rua=mailto:レポートを受け取るメールアドレス;」といった、決まった形式の短いテキストデータ（これをDMARCレコードと呼びます）を作成します。まずは様子見のために、ポリシーを「none（何もしない）」に設定し、レポートを受け取るメールアドレスを指定するのが一般的なスタート方法です。

例えば、以下のような「DMARCレコード」を作成し、DNSに登録します。 v=DMARC1; p=none; rua=mailto:dmarc@example.com
（※p=noneは「何もしない」というポリシー指定です）

ステップ3：DNSサーバーに登録し、レポートを監視する

作成したDMARCレコードを、自社のドメインを管理している「DNSサーバー（インターネット上の電話帳のようなシステム）」に登録します。登録が完了し、インターネット上に情報が反映されれば、その日からDMARCが機能し始め、指定したアドレス宛にレポートが届くようになります。

その後は届いたレポートを定期的に分析し、自社の正規のメールが問題なく届いていることを確認しながら、最終的にポリシーを「none」から「quarantine（隔離）」、そして「reject（拒否）」へと段階的に厳しくしていくのが正しい運用プロセスです。

DMARCに関するよくある質問

Q. 個人のメールアドレス（GmailやYahoo!メールなど）でも設定は必要ですか？

A. いいえ、必要ありません。 DMARCの設定が必要なのは、自社の独自ドメイン（例：info@自社の会社名.co.jp）を使ってメールを送っている企業や組織です。無料のフリーメールアドレスを使っている一般ユーザーは、GoogleやYahoo!側で自動的にセキュリティ対策を行っているため、個別の設定は不要です。