DMARC確認ツール：修正案をそのままコピー
ドメインまたはメールアドレスを入力してください。適用されるレコードと、RFC 9989（2026年5月）での各タグの意味を確認できます。Gmail、Yahoo、Microsoftが求める条件も確認でき、修正したレコードをコピーできます。無料、登録不要で、データは保存しません。
確認するドメイン
結果の読み方
結果は4つに分けて、緊急度の高い順に表示します。
- 1
判定
レコードなし、監視、隔離（quarantine）、拒否（reject）を、それぞれアイコンと言葉で示します。バーは、ドメインがポリシーの強制適用までどこまで進んでいるかを示します。
- 2
最初に直すこと
DMARCが機能しなくなるエラーを最初に、次に推奨事項、最後にヒントを表示します。各項目には、根拠となるルールと出典を記載しています。
- 3
Gmail、Yahoo、Microsoft
3社が大量送信者に求める条件と、ドメインのDNSで確認できる内容です。アライメントとワンクリック配信停止は送信済みのメールでしか確認できないため、結果には確認すべき箇所を表示します。
- 4
改善したレコード
現在のレコードのうち正しく記述された設定から、削除されたタグを除き、選んだポリシーを反映したレコードです。_dmarcのTXTレコードとして貼り付けてください。
DMARCとは
DMARC（Domain-based Message Authentication, Reporting and Conformance）は、認証に失敗したメールの扱いを受信側のメールサーバーに伝える仕組みです。対象は、自社ドメインから送られたように見えるメールです。扱いは、配信する、迷惑メールフォルダに入れる、受信を拒否する、のいずれかです。さらに受信側にレポートの送付を依頼するため、誰が自社の名前でメールを送っているかが分かります。
- SPF：そのドメイン名義での送信を許可するサーバーを列挙します。確認するのはバウンスの返送先であるReturn-Pathで、受信者に表示されるFromアドレスは対象外です。
- DKIM：メール1通ごとに署名します。受信側は、署名したドメインがDNSで公開している公開鍵を使って署名を検証します。
- DMARC：
_dmarc.yourdomain.comに置くTXTレコードで、2026年5月からRFC 9989で定義されています（RFC 7489を置き換えました）。Fromアドレスと一致するドメインでSPFまたはDKIMが成功すると、DMARCも成功します。
p=none、quarantine、rejectの使い分け
ポリシーは、DMARCに失敗したメールをどう扱うかを決めます。noneから始め、最終的にrejectにします。
| ポリシー | 失敗したメール | 使う場面 |
|---|---|---|
| p=none | 通常どおり配信され、レポートが届きます。 | 導入を始めるとき、または新しい送信ツールを追加したとき。 |
| p=quarantine | 迷惑メールフォルダに入ります。 | 自社の送信元がDMARCに合格していることをレポートで確認できたとき。 |
| p=reject | 受信側のサーバーが受信を拒否します。 | 失敗するのがなりすましメールだけになったとき。 |
メールを落とさずrejectまで進める
最初のレコードからrejectまでの5ステップです。現在どのステップにいるかは、このツールで分かります。
- 1
レポート送信先を付けてp=noneを公開
v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com。実際に誰かが読むメールボックスか、DMARCレポートサービスを使ってください。 - 2
2〜4週間レポートを読む
自社の名義で送信しているサービスをすべて洗い出します。メールツール、CRM、ヘルプデスク、請求書発行ツールなどです。それぞれが自社ドメインでSPFまたはDKIMに合格する必要があります。
- 3
送信元を直す
各ツールでDKIMを設定します。Account Engagement（旧Pardot）ではDomainKeyレコードを使います。または、送信元を専用のサブドメインに移します。
- 4
まずt=y付きでquarantineへ
p=quarantineに切り替え、レポートを確認する間の安全策としてt=yを追加します。t=yはRFC 9989で新しく加わったタグで、ポリシーを1段階緩めます（受信側はrejectをquarantineとして、quarantineをnoneとして扱います）。RFC 9989で削除されたpctの代わりになるものです。その後、t=yを外します。
- 5
rejectへ
失敗するのがなりすましメールだけになったら、p=rejectに設定します。np=rejectも追加すると、存在しないサブドメインを使ったメールも拒否されます。
DMARCレポート
レポートがなければ、rejectに向けた判断はすべて推測に頼ることになります。
集約レポート（rua）は、GmailやYahooなどの受信側から定期的に、通常は1日1回届きます。
失敗レポート（ruf）は、失敗した個々のメッセージについての報告で、すべての受信側が送るわけではありません。メールアドレスや件名などの個人データを含む場合があるため、データ処理契約を結んでいるメールボックスまたはサービスにだけ送ってください（GDPR）。
別ドメインへのレポート送信には、そのドメインの同意が必要です。具体的には、そのドメイン側でTXTレコードyourdomain.com._report._dmarc.theirdomain.comをv=DMARC1の値で公開してもらいます（RFC 9990（新しいタブで開きます）、セクション4）。レポートサービスでは、アカウントにドメインを追加するとサービス側がこのレコードを公開します。このツールは、すべての送信先アドレスについてこのレコードを確認します。
集約レポートに含まれるもの
- どのサーバーが自社ドメイン名義でメールを送信したか
- 何通のメッセージがSPF、DKIM、DMARCに成功したか
- メッセージの内容は含まれません：件数と送信サーバーのIPアドレスのみです
Gmail、Yahoo、Microsoftの送信者要件
3社とも、大量送信者にp=none以上のDMARCを求めています（2026年10月16日時点）。
- 5,0001日あたりの通数：GmailとMicrosoftが大量送信者とみなす基準
- 2日Yahooが配信停止の反映に認める期間
- 2048ビット：Googleが推奨するDKIM鍵の長さ
| プロバイダー | 開始時期 | 対象 | DMARC | その他の要件 |
|---|---|---|---|---|
| Gmail | 2024年2月1日、2025年11月から適用を厳格化 | 個人用Gmailアカウント宛てに1日約5,000通以上 | p=none以上、FromがSPFまたはDKIMとアライメント | SPFとDKIM、ワンクリック配信停止、迷惑メール率0.3%未満 |
| Yahoo | 2024年2月 | 大量送信者 | p=none以上で合格、FromがSPFまたはDKIMとアライメント | SPFとDKIM、2日以内に反映するワンクリック配信停止、迷惑メール率0.3%未満 |
| Microsoft Outlook.com | 2025年5月5日 | Outlook.com、Hotmail、Liveのアドレス宛てに1日5,000通を超える送信 | p=none以上、FromがSPFまたはDKIMとアライメント | SPFとDKIMの両方に合格すること |
よくあるDMARCエラー
チェックツールが表示するエラーと、その意味、直し方です。
- DMARCレコードが見つからない。
_dmarc.にも親ドメインにもレコードがありません。対処：_dmarcにTXTレコードを追加します（例：v=DMARC1; p=none; rua=mailto:…）。 - DMARCレコードが複数ある。同じ名前に、v=DMARC1で始まるTXTレコードが2つあります。対処：1つにまとめます。複数あると、受信側はすべて破棄します。
- レコードのホストが違う。レコードがドメイン自体に置かれています。対処：ホスト名
_dmarcに移します。 - v=DMARC1がない、または先頭にない。バージョンがない、綴りが違う、またはレコードの途中にあります。対処：レコードを大文字の
v=DMARC1で始めます。 - ポリシーが無効。多くはセミコロンの抜けが原因です。
p=none rua=…は1つの値として読まれます。対処：タグはすべてセミコロンで区切ります。 - 外部の送信先が承認されていない。レポート送信先のドメインが、貴社のレポートの受け取りに同意していません。対処：レポートサービスで貴社のドメインを追加するか、サービスに
_report._dmarcレコードの設定を依頼します。 - pctが100未満。pctはRFC 9989で削除されました。旧仕様と新仕様の受信側で動作が異なります。対処：pctを削除し、テストにはt=yを使います。
- SPF：DNSルックアップが多すぎる。ルックアップが10回を超えると、SPFはPermError（恒久的エラー）になります。対処：使わなくなったサービスのincludeを削除します。
PardotとMarketing Cloud Nextの場合
SalesforceのヘルプページにあるDMARC関連の記載です。2026年10月16日に確認しました。
Account Engagement（旧Pardot）
Pardotはセレクター
200608でDKIM署名します（［ドメイン管理］のDomainKeyレコード）。Return-PathはSalesforceのバウンス用ドメインのため、SPFは合格しても貴社のドメインとアライメントしません。DMARCの結果はDKIMで決まります。p=noneから先に進む前に、鍵を確認してください。ワンクリックのList-UnsubscribeヘッダーはPardotが自動で追加します。Marketing Cloud Next
Marketing Cloud Nextは認証済みドメインから送信します。Salesforceが発行するCNAMEレコードは8つで、そのうち3つが2048ビットのDKIM鍵です。セレクターはアカウントごとに異なります（
s1-e360-…）。SPFはバウンス用のCNAMEで設定します。SalesforceはDMARCがなくてもドメインを有効化しますが、Gmail、Yahoo、MicrosoftはDMARCを求めています。Pardotを含め、ほかのプラットフォームが送信に使っていないサブドメインを使ってください。
DNSチェックでは分からないこと
レコードで分かるのは半分だけです。p=noneからrejectに進めずにいる場合は、私たちが一緒にレポートを読み、PardotまたはMarketing Cloud Nextの送信元を直します。
- メールが合格しているか。アライメントは送信済みのメールで確認できます。Gmailで自社のメールを開き、「メッセージのソースを表示」を選んで「DMARC: PASS」を探します。
- 誰が貴社のドメインになりすましているか。貴社の名前で送信しているサーバーは、集約レポートでしか分かりません。
- 送信元のレピュテーション。Gmailでの迷惑メール率とレピュテーションは、Google Postmaster Toolsで確認できます。
- 受信側がどの仕様に従っているか。RFC 7489に従ったままの受信側は、pctを適用し、Public Suffix Listで組織ドメインを判定することがあります。ほとんどのドメインでは、結果は同じです。
DMARC確認ツールのFAQ
DMARCレコードについてよくある質問に、短くお答えします。
DMARCレコードはどう確認しますか？
上の欄にドメインを入力してください。チェックツールが_dmarc.yourdomain.comのTXTレコードを読み、ない場合は親ドメインのレコードを確認します。
コマンドラインではdig TXT _dmarc.example.comまたはnslookup -type=TXT _dmarc.example.comを使います。
p=noneで十分ですか？
Gmail、Yahoo、Microsoftの要件としては十分です。p=noneは大量送信者向けの最低条件を満たします。
ただし、p=noneではドメインは保護されません。なりすましメールはそのまま届くため、p=noneは出発点と考え、quarantine、rejectへと進めてください。
良いDMARCレコードとは？
最初はこの形から：v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com。
目標はv=DMARC1; p=reject; rua=mailto:dmarc@yourdomain.comです。すべての送信元が合格していることをレポートで確認できたら、段階的にここまで進めます。
DMARCレコードは複数設定できますか？
いいえ。v=DMARC1で始まるレコードが1つの名前に複数あると、受信側はそのすべてを破棄します（RFC 9989、セクション4.10）。
すべてを1つのレコードにまとめてください。レポートの送信先が複数ある場合は、ruaにカンマ区切りで指定します。
DMARCの変更が反映されるまでの時間は？
古いレコードのTTLの分だけかかります。リゾルバーはTTLが切れるまで回答を保持するためです。チェックツールにはレコードのTTLが秒単位で表示されます。その時間が過ぎてから、もう一度確認してください。
DMARCはサブドメインにも適用されますか？
はい。独自のレコードを持たないサブドメインには、組織ドメインのポリシーが適用されます。spが設定されていればsp、なければpです。
RFC 9989で新たに加わったnpは、存在しないサブドメインに適用されます。なりすましによく使われるサブドメインです。
pctはまだ有効ですか？
いいえ。RFC 9989（2026年5月）でpct、rf、riは削除されました。RFC 9989に準拠する受信側はこれらを無視しますが、古い仕様の受信側はpctを適用する場合があります。
より厳しいポリシーを試すときは、代わりにt=yを使います。
DMARCにDKIMは必要ですか？
DMARCは、SPFかDKIMのどちらかがパスし、アライメントが取れていれば合格します。そのため原則としては一方だけで足ります。
ただし、Gmail、Yahoo、Microsoftは大量送信者に両方を求めています。またPardotでアライメントが取れるのはDKIMだけです。DKIMを設定してください。
確認したドメインは保存されますか？
いいえ。ブラウザがドメイン名を私たちのサーバーに送り、サーバーが公開DNSリゾルバーに問い合わせます。何も保存せず、ドメインのログも残しません。リゾルバーが利用者のIPアドレスを知ることもありません。