DMARC レコードビルダー

DMARC レコードビルダーでできること

From ドメインを基準に、SPF と DKIM の認証結果が整合しているかを受信側が評価するための DMARC TXT レコードを生成します。RFC 9989 は DMARC を現行の Proposed Standard として定義し、 RFC 7489 と RFC 9091 を置き換えています。

生成手順

1. ドメインを決める: _dmarc.example.com のように、対象ドメインの _dmarc ラベルへ TXT レコードを公開する前提で作業します。
2. 監視ポリシーから始める: まず p=none と rua を設定し、集計レポートで正規送信元と alignment の失敗を確認します。
3. 送信元を修正する: SPF と DKIM の認証結果が From ドメインと alignment するように、送信サービスや DKIM selector を調整します。
4. 段階的に強める: 問題が減ったら quarantine、最終的に reject を検討します。互換タグを使う場合は受信側対応を確認します。
5. DNS に公開して検証する: 生成した TXT を DNS に登録し、dig やメール認証診断で実際に引けることを確認します。

DMARC タグ表

SPF/DKIM との違い

SPF は送信元 IP が許可されているか、DKIM はメッセージがドメインの鍵で署名されているかを確認します。 DMARC はその結果が From ドメインと alignment しているかを見て、失敗時の方針とレポート先を宣言します。

結果の読み方／次の一手

• 生成値は _dmarc ドメインの TXT として 1 レコードで公開します。
• p=none の間に rua レポートで正規送信元の失敗を洗い出します。
• quarantine / reject へ進める前に、SaaS 送信元の DKIM と SPF include を確認します。
• pct など互換タグを使う場合は、RFC 9989 との差分と受信側の実装を確認します。

よくある質問

DMARC レコードはどこに公開しますか？

対象ドメインの _dmarc サブドメインに TXT レコードとして公開します。例として example.com なら _dmarc.example.com に v=DMARC1 から始まる値を置きます。

p=none から reject へすぐ変更してよいですか？

最初は p=none で集計レポートを確認し、正規送信元の SPF / DKIM alignment を整えてから quarantine や reject へ進めるのが安全です。いきなり reject にすると正当なメールを拒否する可能性があります。

pct タグは現在も使うべきですか？

RFC 9989 では pct タグは削除され、代わりにテストモードを表す t タグ（t=y で宣言ポリシーを 1 段階下げて適用、t=n が既定）が新設されました。pct は RFC 7489 時代の段階適用として既存運用で見かけますが、新規設計では t タグを使い、受信側の対応状況を確認してください。

rua には何を指定しますか？

集計レポートを受け取る mailto URI を指定します。レポート量が多くなることがあるため、通常の個人メールではなく専用メールボックスや解析サービスを使います。