DMARCとは？でぃーまーく
DMARC（Domain-based Message Authentication, Reporting and Conformance：ドメインに基づくメッセージ認証・報告・適合）は、SPFとDKIMの認証結果を使い、受信者がメールソフトで見る差出人（ヘッダの送信者）のドメインと認証されたドメインが一致するかを判定したうえで、認証に失敗したメールをどう扱ってほしいかをドメインの持ち主がDNSで宣言する送信ドメイン認証の仕組み。この宣言は受信側への要請で、最終的な扱いは受信側が決める。扱いは「何もしない（none）」「迷惑メールとして隔離する（quarantine）」「受け取りを拒否する（reject）」の3段階で指定でき、受信側から認証結果の報告（レポート）を受け取ることもできる。
最終更新：2026-10-10
基本情報を最短で暗記・合格する →背景
SPFとDKIMだけでは、認証に失敗したメールを受信側がどう扱うかがばらばらで、正規の送り主にも「自分のドメインを名乗った偽メールがどれだけ出回っているか」が分からなかった。さらに、SPFが確かめるのは受け渡しの手続き上の送信者で、利用者が目にする差出人とは別にできるため、差出人だけ本物に見せかける手口が残っていた。そこで、目に見える差出人のドメインと認証結果を結び付け、失敗時に望む扱いと報告の受け取り先を送り主自身が受信側に示せるようにした。
具体例
会社のドメインがexample.co.jpなら、DNSの「_dmarc.example.co.jp」にTXTレコードを置き、「v=DMARC1; p=reject; rua=mailto:（報告の受け先）」のように書く。p=rejectは「認証に失敗したメールは受け取りを拒否してほしい」という受信側への要請である。Googleが2024年2月から大量送信者に求めた条件にもDMARCの設定が含まれ、多くの企業はまずp=noneで報告だけを受け取り、自社の正規のメールがすべて認証に通ることを確かめてから、quarantine、rejectへと強めていく。
試験での引っ掛け
DMARCは自分で送信元を検証する方式ではなく、SPFとDKIMの結果を土台にする仕組みである。「DMARCがディジタル署名を検証する」「DMARCがIPアドレスを照合する」という選択肢は誤り。失敗時の扱いを宣言するのは受信側ではなく送信元ドメインの持ち主である。ただしその宣言は受信側への要請で、受信側に従う義務は無く、実際にどう扱うかは最終的に受信側が決める。p=noneでは偽メールは止まらず、報告を受け取るだけである点も問われる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。