DMARCレコード生成ツール

DMARCレコードを公開する手順

1. 上の3つの手順を入力します。すでにレコードがある場合は、「DMARCレコードをすでにお持ちですか？」の下に貼り付けると整理できます。
2. DNSの管理画面で、ホスト名を_dmarcとしてTXTレコードを作成します。プロバイダーによっては、_dmarc.yourdomain.comのような完全な名前が必要です。
3. 値を貼り付けて保存します。そのドメインのDMARCレコードが1つだけであることを確認してください。受信側はDMARCレコードを2つ見つけると、両方を無視します。
4. DNSの更新を待ち、レポートの受信トレイ（ruaのアドレス）を確認します。集計レポートを送るプロバイダーは、少なくとも24時間に1回は送ることになっています。

2026年にDMARCレコードで変わったこと

2026年5月、RFC 9989がRFC 7489に代わり、DMARCは標準化過程（Standards Track）に入りました。レコードは引き続きv=DMARC1で始まるため、既存のレコードはそのまま機能します。pct、rf、riの3つのタグは廃止されました。新しいタグは2つあり、テストモードのtと、存在しないサブドメイン向けのポリシーnpです。このDMARCレコード生成ツールは廃止されたタグを書き込みません。既存レコードのチェックでも、廃止されたタグを削除します。タグの一覧はDMARCレコードとはに掲載しています。

DMARCポリシーの選び方

まずはp=noneとruaのアドレスから始めてください。メールの扱いは変わらず、レポートでそのドメインの名義でメールを送っているサービスがわかります。標準では、正規の送信元をすべて認証するには何か月もかかる場合があるとしています。ユーザーがメーリングリストに投稿するドメインについては、少なくとも1か月はp=noneにし、次に同じくらいの期間quarantineにして、結果を比べてからrejectに移ることを勧めています。

t=yのオプションは最後の段階で役立ちます。p=rejectをt=yと一緒に公開すると、受信側は代わりにquarantineを適用します。そのため、メールを失わずに、拒否されるはずだったメールを確認できます。準備ができたらt=yを削除してください。

rejectを公開する前に、すべてのメールにDKIM署名があることを確認してください。転送によってSPFが失敗するため、標準ではp=rejectのドメインはSPFだけに頼ってはならないとしています。自社でメールサーバーを運用している場合は、DKIM生成ツールで鍵を作成できます。

レポートの送信先アドレス

ruaは集計レポートの送信先です。集計レポートはXMLファイルで、通常は1日分ごとに、そのドメインの名義でメールを送ったIPアドレスと、認証に合格したかどうかを示します。rufはメール1通ごとの失敗レポートの送信先です。多くの受信側は、プライバシー上の理由から失敗レポートの内容を大きく伏せるか、まったく送りません。そのため、失敗レポートには頼らないでください。

レポートの送信先アドレスが、保護するドメインとは別のドメインにある場合（レポートサービスなど）、そのドメインが承認レコードを公開しないと、受信側はレポートを送りません。上の補助機能がこのレコードを作成します。レポート用ドメインの管理者に渡してください。このルールはRFC 9990のセクション4に定められています。

このDMARCレコード生成ツールで防げるミス

受信側はv=DMARC1以外で始まるレコードを無視するため、この生成ツールは常にv=DMARC1を先頭に置きます。ruaとrufのアドレスに必要なmailto:の接頭辞を付け、形式が正しくないアドレスを指摘します。pctは書き込まず、pctが100未満の古いレコードをチェックした場合は、代わりにt=yを提案します。rejectは、すべてのメールにDKIM署名がある場合にのみ安全なため、rejectを選ぶと警告します。厳格なアライメントでサブドメインからのメールが失敗する場合にも警告します。

このツールで確認できないのは、DNSの設定だけです。生成したレコードを、そのドメインで唯一のDMARCレコードとして公開してください。DMARCとSPF、DKIMの関係については、SPF・DKIM・DMARCの解説をご覧ください。