自社サイトを診断して D 判定から C 判定にした記録
当サービスの運営元（Torii Launch）の独自ドメイン toriilaunch.com を、このツールで診断してみました。最初は D 判定。実際に直した内容と、直した結果、まだ残っている課題をそのまま書きます。数値は診断ツールが出した実測値です（他社ドメインの例ではなく、自社ドメインの記録です）。
結果の概要
| 項目 | 診断前（D） | 診断後（C・58点） |
|---|---|---|
| SPF | 設定あり | ok（変更なし） |
| DMARC | 未設定 | 設定済み（p=none ＝ 監視のみ）→ 警告 |
| DKIM | 未検出 | 未検出のまま（警告） |
| Web セキュリティヘッダー | 不足 | HSTS など4種を追加。CSP は未導入（警告） |
D から C に上がっただけで、まだ「なりすましを止められる状態」ではありません。診断結果でも「なりすまし可能」の判定は残っています。ここから先が本番で、この記録は途中経過です。
1. DMARC を追加した（まず p=none）
DNS（Cloudflare）に _dmarc の TXT レコードを1つ追加しました。内容は v=DMARC1; p=none; adkim=r; aspf=r です。p=none は「認証に失敗してもメールを止めず、結果だけ集める」設定なので、正当なメールを誤って止めるリスクがありません。SPF は既にあったので、変更はこの1行だけです。ロールバックもこのレコードを消すだけで済みます。
これで「DMARC なし」の減点は消えましたが、p=none のままでは警告が残ります（p=none から引き上げる手順）。
2. Web のセキュリティヘッダーを足した
メールとは別に、ツールは Web サイトのヘッダーも見ます。toriilaunch.com には、HSTS（常に https で接続させる）・X-Frame-Options（他サイトへの埋め込み防止）・Permissions-Policy（不要なブラウザ機能の無効化）・Cross-Origin-Opener-Policy を追加しました。Cloudflare Pages では _headers ファイルを置くだけで反映でき、主要ページが通常どおり表示されることも確認しました。
CSP（Content-Security-Policy）はサイトの外部読み込みを洗い出してから入れる必要があるため、今回は見送りました。これが Web 側の残り課題です。
3. まだ残っていること（次にやること）
- DMARC を p=quarantine へ: レポートで正当な送信元がすべて SPF/DKIM を通ると確認できてから引き上げる予定です。
- DKIM: 診断では未検出でした。メール送信サービスごとにセレクタ名が違うため、ツールが検出できないだけの可能性もあります。送信元の管理画面で署名設定を確認します。
- CSP の導入: まず Report-Only で試してから本適用します。
この記録から言えること
- DMARC の追加は、DNS に1行足すだけで始められる。最初は p=none で安全に。
- 点数は上がっても、p=none のままでは「なりすまし可能」の判定は変わらない。段階的な引き上げが必要。
- Web ヘッダーは設定ファイル1つで改善できるが、CSP は影響確認が要る。
自分のドメインの現状を確認する
あなたのドメインの現状は、無料診断で5秒で確認できます（登録不要）。直し方が分からない場合は、ドメイン専用のコピペ用レコードと段階導入プランを「修正キット」（¥1,980・買い切り）で表示できます。
診断は DNS と公開ヘッダーの確認に基づく目安であり、メールの到達や安全性を保証するものではありません。実際の操作は、お使いのサービスの公式案内に従ってください。