DMARCにはp=none（監視のみ）、p=quarantine（迷惑メール扱いなどへ振り分け）、p=reject（拒否）という3段階のポリシーがあります。なりすまし対策としての効果はrejectが最も強くなりますが、いきなり設定すると、自社が把握していない正規の送信まで届かなくなるおそれがあります。

最初はp=noneから

p=noneは受信側の挙動を変えず、レポートだけを受け取る設定です。DMARCを初めて導入する際は、まずここから始め、DMARCレポートの読み方を参考に、正規の送信元がすべてSPFまたはDKIMのアライメントに通っている状態を確認します。

進める前の確認事項

  • ニュースレター配信、フォーム通知、請求書発行、予約確認など、自社ドメインを名乗って送信している仕組みをすべて洗い出したか
  • それぞれの送信元で、SPFまたはDKIMのアライメントが継続して通っているか（レポートを1〜2週間以上確認）
  • 転送設定や、社内の一部端末から直接送信している場合など、見落としやすい送信経路がないか

段階的な移行

すべての正規送信元が問題なく認証を通っていることを確認できたら、pctタグを使って対象割合を限定しながらquarantineへ進める方法があります。たとえばpct=10から始め、問題が起きなければ徐々に割合を上げていく進め方です。quarantineで問題がないことを確認できてから、同様の手順でrejectへ進みます。

戻せるようにしておく

ポリシーを変更する前には、必ずそれまでのDNSレコードの値を控えておきます。移行後に正規のメールが届かなくなったという報告があれば、ポリシーを一段階戻すかpctを下げて影響を抑え、原因になっている送信元の設定を先に直してから再度進めてください。焦ってrejectまで一気に進めるより、レポートを確認しながら段階を踏む方が、業務への影響を抑えられます。

新しい送信ドメインへ移行する場合は、認証設定に加えて送信ドメインのウォームアップも合わせて確認してください。