SPF・DMARCの確認方法とチェックポイント（なりすましメール対策）
自社ドメインを差出人に偽装したなりすまし（フィッシング）メールを防ぐには、SPF・DKIM・DMARCの3点が要になります。いずれもDNSのTXTレコードとして公開されているため、確認そのものは誰でも行えます。ここでは、何を見て、どう判断すればよいかを整理します。
確認すべき項目
- SPFレコードの有無と内容（送信元サーバの宣言）
- DMARCポリシーの強度（none / quarantine / reject）
- DKIM電子署名の状況
- SPFの参照回数（DNSルックアップ10回の上限超過）
なぜ重要か
SPF/DMARCが未設定だと、自社ドメインを騙ったフィッシングメールを第三者に送られても抑止できず、取引先や顧客が被害に遭い信用を損ねます。正規メールが迷惑判定される不利益もあります。
自分で確認する手順
- SPFを確認する：
dig txt example.jpなどでTXTレコードを引き、v=spf1で始まる行があるかを見る。末尾が-all（厳格）か~all（緩和）かでポリシーの強さが決まる。 - DMARCを確認する：
_dmarcサブドメインのTXTレコード（dig txt _dmarc.example.jp）を引き、p=none / quarantine / rejectのどれかを確認する。レコード自体が無ければ未対応。 - DKIMを確認する：自社から届いた実メールのヘッダーで
DKIM-Signatureの有無と、Authentication-Resultsのdkim=passを確認する。セレクタ名は送信サービスごとに異なる。 - 結果を判断する：SPFのみで DMARC が無い状態は「宣言はしたが、違反時の扱いを指定していない」状態。まず
p=noneで監視から始めるのが定石。
よくある質問
SPFとDMARCはどちらも必要ですか？
両方の設定を推奨します。SPFは「どのサーバから送るか」の宣言で、DMARCは「宣言に反するメールをどう扱うか」の指示です。DMARCが無いとSPF違反のメールの扱いが受信側任せになります。
DMARCはいきなり reject にしてよいですか？
推奨しません。まず監視のみの p=none で始め、レポートで正規メールが漏れなく認証を通ることを確認しながら quarantine→reject へ段階的に強化します。
ひとつずつ確認し続けるのが難しいときは
ここで挙げた検査は、サイトドックの月次の定期診断に含まれます。見つかった弱点のうちエッジで治せるものはその場で自動修復し、実施した対策は毎月のレポート（PDF）でお届けします。