Microsoft 365 DMARC導入ガイド：メールを壊さずに「none」から「reject」へ

By Mirko Peters · 2026-10-21

Microsoft 365 で DMARC を安全に導入し、組織の正当なメール配信を妨げることなく、監視から厳格な拒否ポリシーへ段階的に移行する方法を解説します。

Automatically translated with AI from the original post. Read the English original

Microsoft 365 テナント全体でメール認証プロトコルを展開する作業は、順序を誤ると爆弾の解除作業のように感じられるかもしれません。この段階的な Microsoft 365 DMARC 導入ガイドでは、IT 管理者が、初期の監視から厳格な拒否ポリシーへ安全に移行する方法を説明します。その過程で、正当な業務請求書、マーケティングキャンペーン、自動通知が行方不明になることを防ぎます。

重要なポイント

• メール認証は必ず正しい順序で導入してください。まず SPF、次に DKIM、最後に DMARC です。
• DMARC ポリシーは p=none から開始し、トラフィックを監視して、正当な送信サービスと不正な送信元をすべて洗い出してください。
• サードパーティのマーケティング プラットフォームやヘルプデスクなどのサービスを慎重に監査し、SPF の 10 回ルックアップ制限を超えないようにしてください。
• 厳格な拒否ポリシーに到達する前に、隔離やパーセンテージ設定を使って段階的に移行してください。
• 継続的な可視性を確保するため、集計レポートは個人の受信トレイではなく共有メールボックスに送信されるよう構成してください。

導入順序の黄金律

セキュリティ強化プロジェクトの中で一つだけ原則を覚えるなら、導入順序を覚えてください。組織は、標準を逆の順序で実装してしまうため、問題に直面することがよくあります。メール システムは、検証ではなく信頼を前提に設計された SMTP などのレガシー プロトコルに依存しています。そのため、インフラストラクチャを把握する前に厳格な適用ポリシーを導入すると、正当なメールが失敗してしまいます。

正しい順序では、各段階で安全策が積み上げられていきます。まず招待客リストを作成し、次に改ざん防止のシールを貼り、最後にすべてをまとめる審判役を導入します。順序を飛ばすと、自社のメールの流れが把握できないまま手探りの状態になります。そして、手探りの運用は、自社のメールが社外の受信者にブロックされる最短の道です。

最初のステップ：SPF の確立とルックアップ制限の危険性

最初に行うべきことは、ドメインのルートに Sender Policy Framework（SPF）レコードを公開することです。これは、選ばれた人だけが入れる会員制クラブの入口にある招待客リストのようなものです。自社のドメイン名を持つメールを送信することが許可されているサーバーを、外部に明示的に伝えます。

最初の Microsoft 365 SPF レコードを作成する際は、ハード フェイル（-all）ではなく、ソフト フェイル（~all）で終わらせてください。これにより、受信側のサーバーは未承認のメールを即座に拒否するのではなく、疑いを持って扱うようになります。この猶予期間により、見落としていたサービスを洗い出す余地が生まれます。

10 回ルックアップの落とし穴を避ける

SPF 管理における大きな落とし穴が、厳格な 10 回ルックアップ制限です。受信側サーバーが SPF レコードを処理し、個別の DNS クエリを必要とする仕組みに遭遇するたびに、たとえばサードパーティのマーケティング自動化プラットフォーム、カスタマー サポートのヘルプデスク、給与処理サービスなどであっても、そのルックアップ枠を 1 回消費します。

外部サービスを安易に追加し続けると、ルックアップの合計が 10 回を超え、SPF の評価全体が失敗してしまいます。数百万のドメインを調査した結果、意外にも多くの企業が、この仕組みによって自社のメール セキュリティを知らないうちに壊していることがわかっています。SPF の構成を軽量に保つため、定期的にサービスを監査してください。

2 番目のステップ：Microsoft 365 での DKIM の有効化

メーリングリストを公開したら、送信中にメッセージが改ざんされないようにする仕組みが必要です。DomainKeys Identified Mail（DKIM）は、送信するすべてのメッセージに押される電子的な封蝋のような役割を果たします。件名、本文、表示される差出人アドレスを対象とした暗号署名が含まれます。

Microsoft 365 では、既定の onmicrosoft.com ドメインから送信されたメールは自動的に署名されます。一方、独自の業務用ドメインは、管理センターで DKIM を明示的に構成するまで署名されません。正しく設定するには、公開 DNS に selector1 と selector2 の 2 つのセレクタ ポインターを作成する必要があります。この 2 つのポインター構成により、後から Microsoft が署名キーをダウンタイムなしで切り替えられます。

Google などの主要なプロバイダーは、DMARC に触れる前に、SPF と DKIM を少なくとも 48 時間は正常に動作させておくことを推奨しています。この安定化期間により、審判が登場する前に基本的なチェックが確実に機能している状態を確保できます。

ステップ 3：モニター モードで DMARC を展開する

ドメインベースのメッセージ認証、レポート、および準拠（DMARC）は審判の役割を果たします。メッセージ内容に対して独自の検査を行うわけではなく、SPF と DKIM のチェック結果を確認し、それらが差出人行に表示されるドメイン名と整合しているかを検証します。

_dmarc.yourdomain.com に DMARC の TXT レコードを初めて公開する際は、ポリシー パラメーターを厳密にモニター モード（p=none）に設定してください。左から右へ読むと、このレコードは受信サーバーに次のように伝えています。「これは DMARC レコードです。チェックに失敗しても、現時点では強制的な処理は行わず、集計レポートをこのメール アドレスに送信してください。」

この監視フェーズは決して省略しないでください。XML ファイルで毎日届く集計（RUA）レポートにより、正規か不正かを問わず、自社ドメインの代わりにメールを送信しているすべてのサービスが明らかになります。休暇中にレポートが埋もれないよう、個人の受信トレイではなく、監視されている共有メールボックスに送信先を設定してください。

ステップ 4：隔離から拒否への移行

毎週のレビューで、正規のすべてのメール ストリームが整合性チェックを問題なく通過していることが確認できたら、いよいよ締め付けを強化する段階です。DMARC のポリシー パラメーターは、次の 3 つの運用段階を経て移行します。

• None（p=none）： 監視塔です。純粋に観察するだけの段階で、監査と集計レポート データの収集に使用します。
• Quarantine（p=quarantine）： 警告ラベルです。疑わしい、または失敗したメールにフラグを付けるよう受信サーバーに指示し、通常は受信者の迷惑メール フォルダーへ直接振り分けます。
• Reject（p=reject）： 施錠されたドアです。認証されていないメッセージや偽装されたメッセージを、受信トレイに届く前にすべて破棄するよう受信側に指示します。

この移行をできるだけスムーズに進めるため、DMARC のパーセンテージ設定（pct=）を活用してください。完全に切り替える前に、失敗したメールのごく一部に対してのみ隔離または拒否を適用できます。たとえば 10%、次に 25%、次に 50% と段階的に広げます。この段階的な拡大により、うっかり見落とした不正なニュースレター ツールがあっても、業務に突然の支障が出るのを防げます。

おわりに

組織のメール基盤を、ビジネスメール詐欺（BEC）やドメインなりすましから守るには、忍耐と計画的な展開戦略が必要です。SPF を設定し、DKIM を有効にし、DMARC ポリシーを監視段階から厳格な拒否へと慎重に引き上げることで、会社の名前を守り、正規のコミュニケーションが必ず相手に届く状態を確保できます。

メール認証プロトコルの仕組みをさらに深く理解するには、エピソードの全編を聴いて、専門家の知見、実践的なアーキテクチャ戦略、そして Microsoft 365 テナントでの実践的な手順をご確認ください。

よくある質問

Microsoft 365 で DMARC ポリシーを none に設定しておくのは、どのくらいの期間が適切ですか。

Google やメールセキュリティの専門家は、DMARC ポリシーを p=none に少なくとも 1 週間は維持することを推奨しています。この期間があれば、週次および周期的な業務メールの流れを網羅する集計レポートを収集できます。

DMARC を有効にする前に DKIM を有効にする必要があるのはなぜですか。

DKIM は暗号署名をメッセージに付与し、そのメッセージとともに配送されるため、SPF が壊れやすい電子メール転送の場面でも有効性が保たれます。SPF と DKIM の両方を正しく設定しておくと、DMARC の整合性チェックが安定して通過します。

Microsoft 365 は DMARC フォレンジック レポートを送信しますか。

いいえ。Microsoft 365 は集計レポート(RUA)を指定されたレポート先アドレスに送信しますが、DMARC レコードで要求されていても、フォレンジックレポート(RUF)は生成も送信もしません。

カスタムドメインに DMARC レコードを 2 つ公開するとどうなりますか?

DMARC レコードを複数公開すると、受信メールサーバーが混乱し、どのポリシーも適用しなくなります。その結果、セキュリティ対策の効果が完全に失われます。ドメインには必ず DMARC の TXT レコードを 1 つだけ設定してください。