DMARC を p=none のままにしていませんか？
DMARC を設定したのに「p=none」のまま何か月も放置——実はとても多い状態です。p=none は「監視だけ」で、なりすましメールを止める効果はありません。
p=none・quarantine・reject の違い
- p=none: 認証に失敗したメールも通常どおり配送されます。レポート（rua）で状況を見るための「監視モード」です。
- p=quarantine: 認証に失敗したメールを迷惑メール扱い（隔離）にするよう、受信側に求めます。
- p=reject: 認証に失敗したメールを受け取らないよう、受信側に求めます。なりすまし対策としてはこれが最終形です。
なお、最終的な扱いは受信側のサービスが決めます。DMARC は「送信元ドメインの持ち主としての希望」を伝える仕組みです。
p=none のままだと何が起きるか
- 自社ドメインを名乗る詐欺メールが、そのまま相手の受信箱に届きうる
- 取引先のセキュリティチェックで「DMARC は監視のみ」と指摘される
- ブランドへの信用低下（「御社を名乗るメールが届いた」という連絡）
安全に引き上げる 4 ステップ
- レポートを受け取る:
rua=mailto:...を設定し、受信できるアドレスにする（1〜4 週間ほど集める）。 - 正規の送信元を洗い出す: 自社メールサーバー、請求書・予約・メルマガなどの外部サービスがすべて SPF か DKIM で認証に通っているか確認する。
- quarantine に上げる: まず
pct=10のように一部の割合から始め、問題がなければpct=100へ。 - reject に上げる: quarantine で 2〜4 週間問題が出なければ
p=rejectに。新しいメールサービスを使い始める時は、先に SPF/DKIM の設定を済ませる。
よくある落とし穴
- いきなり p=reject にして、外部の請求書システムなど正規のメールまで届かなくなる
- rua を受信できないアドレスにしていて、レポートを誰も見ていない
- サブドメインから送っているのに、サブドメインの扱い（
sp=）を考えていない - SPF が複数ある・参照上限（10 回）超えで、そもそも認証に失敗している（こちら）
まず現状を確認する
あなたのドメインの現状は、無料診断で5秒で確認できます（登録不要）。直し方が分からない場合は、ドメイン専用のコピペ用レコードと段階導入プランを「修正キット」（¥1,980・買い切り）で表示できます。