DMARCをp=rejectへ安全に引き上げる — 判断基準と当日の手順、切り戻しの備え

DMARCをp=noneで設定したものの、そこから何か月も動けない——実はこれが、日本企業でいちばん多い「止まり方」です。噛み砕いて言えば、恐れているのは一つだけ。「rejectにして、売上につながる正規のメールが止まったらどうするか」。

この記事は、その不安を「確認済みの事実」で置き換えるための実務ガイドです。ポリシーの意味など基本はDMARC設定のやり方を、本記事は「いつ・何を根拠に上げるか」を扱います。

引き上げてよい状態を、数値と期間で定義する

感覚ではなく、次の条件で判定します。

正規メールの不合格が1経路でも残っているうちは、上げてはいけません。 その1経路が請求書やパスワード再設定なら、被害はなりすましどころではないからです。

引き上げの実務手順

quarantineへ（第1段階）

1. 事前にDMARCレコードのTTLを短くしておく（切り戻しを速くするため）
2. p=none → p=quarantine に変更する
3. 変更後1〜2週間、レポートと問い合わせ（「メールが迷惑メールに入った」の声）を重点監視する
4. 主要宛先（Gmail・Outlook・Yahoo!・携帯キャリア）へのテスト送信で受信箱到達を確認する

quarantineは「怪しいものは迷惑メールフォルダへ」なので、万一正規メールが引っかかっても消失はしません。この安全網があるうちに問題を洗い出すのが第1段階の目的です。

rejectへ（最終段階）

1. quarantine期間で問題ゼロを確認したら、p=rejectへ
2. 変更直後の1週間は監視を継続する（特に、低頻度の自動送信システム）
3. サブドメインの扱いも確認する（sp=未指定なら親のポリシーが継承されます。送信に使うサブドメインがあるなら、その経路の合格も事前確認を）

繁忙期・大型キャンペーン・年次イベントの直前は避け、問題があれば即対応できる時期を選んでください。

ロールバック（切り戻し）の備え

「戻せる」と分かっていれば、引き上げは怖くありません。

• 切り戻し手順は1行：レコードのp=rejectをp=quarantine（またはp=none）へ書き戻すだけ
• 変更前のレコードを控えておく（診断結果の保存で可）
• 反映はTTLに依存します。事前にTTLを短縮しておけば、切り戻しも速い
• 「誰が判断し、誰が作業するか」を決めておく（緊急時にDNSを触れる人が休暇中、が最悪のパターンです）

2026年の注意：pct=による部分適用は使わない

かつてはpct=25のように一部のメールへ段階適用する方法が紹介されていましたが、2026年の新仕様（RFC 9989）でpct=は廃止されました。これから設計する段階移行は、本記事の「none → quarantine → reject をレポートで確認しながら」が標準です（→RFC 9989の変更点）。

よくある質問

Q. p=noneのまま運用し続けるのは、そんなにダメですか？

A. Gmail等の要件は満たせますが、なりすましメールは受信者に届き続けます。「観測はできるが、守ってはいない」状態です。レポートが安定しているなら、quarantineへ進まない理由はありません。

Q. rejectにした後、正規メールが拒否されてしまいました。復旧手順は？

A. ①ポリシーをquarantineへ切り戻す、②拒否された経路のヘッダーとレポートで原因（大半はアライメント不一致）を特定する、③修正して合格を確認してから再度rejectへ。あわてて認証設定側を闇雲に触らないことが大切です。

Q. quarantineを飛ばして、noneから直接rejectにしてもいいですか？

A. おすすめしません。quarantineは「事故っても消失しない」唯一の中間地点です。数週間の保険を惜しむ理由はありません。

Q. メールを送らないドメインも段階を踏むべきですか？

A. 不要です。送信実績のないドメインは最初からp=rejectで構いません（→使っていないドメインの保護）。

関連：DMARC設定のやり方（基本）｜DMARCレポートの読み方