DMARCレポート（rua）とは何か？ — 毎日届くXMLの正体

DMARCを設定すると、翌日あたりからXMLファイルが添付されたメールが毎日届くようになります。差出人はGoogle、Microsoft、Yahoo!など。英語で、中身は記号の羅列です。

届いたまま放置している方が多くいます。放置すると、DMARCを設定した意味の大半が失われます。

そもそもDMARCレポートとは何なのか？

DMARCレコードの中の rua= は、受信側への依頼です。

私のドメイン名を名乗るメールを受け取ったら、その結果をこのアドレスに教えてください。

受信事業者がこの依頼に応え、1日分をまとめて報告してくれているのが、あの添付ファイルです。

rua という名前は、次の3語の頭文字です。

Reporting  URI(s) for DMARC  aggregate  feedback reports
  報告の            送り先（URI）        集計した

訳すと「集計レポートの送り先」。日本語では単に集計レポートとも呼ばれます。

必ず送ってもらえるのですか？

いいえ。義務ではありません。DMARCの仕様（RFC 9989）は、受信側についてこう書いています。

a mail-receiving organization supporting DMARC is under no obligation to send requested reports; although, it is recommended that they do send aggregate reports.
（DMARCに対応しているメール受信組織は、要求されたレポートを送る義務を負わない。ただし集計レポートについては送ることが推奨される）

つまり受信側の善意で成り立っている仕組みです。ただし実務では、これで困ることはほとんどありません。

• Gmail・Outlook.com・Yahoo!メールといった主要どころは送ってきます。宛先の大半はここに含まれるので、全体像はつかめます
• 小規模な受信サーバーからは、まず届きません。そもそも実装していないことが多いためです
• そのドメイン宛てにメールが届いていない事業者からは、当然届きません。レポートは「受け取った事実」の報告なので、送っていない相手からは何も来ません

自分のGmailやYahoo!メール宛てに送ってもらえますか？

できません。専用のアドレスを用意するのが面倒で、つい rua=mailto:自分の名前@gmail.com と書きたくなりますが、この書き方ではレポートは届きません。

自分のドメイン以外のアドレスを宛先にする場合、DMARCの仕様では受け取る側のドメインが「このドメインのレポートを受け取ってよい」という承認レコードを出していることが条件になります。次の形のTXTレコードです。

yourdomain.com._report._dmarc.gmail.com   TXT  "v=DMARC1"
└ あなたのドメイン ┘              └ 宛先のドメイン ┘

これを出すのは、宛先のドメイン側（この例ではGoogle）です。あなたには出せません。そして実際に引いてみると、主要なフリーメールはどこも出していません。

※ 実際にDNSを引いて確認しました（2026-09-05）。

つまり、宛先は自分のドメインのアドレスにしてください。解析サービスを使う場合は事情が違い、サービス側が自社ドメインに承認レコードを用意しているので、案内されたアドレスをそのまま書けば届きます。

何のために見るのか — 見るのはこの2点だけ

レポートには多くの数字が並びますが、見る目的は2つしかありません。この2つのために設定する、と考えてください。

① ポリシーを上げてよいか、判断する

「ポリシーを上げる」とは、なりすましを実際に止めにいくことです。DMARCのポリシー（p=）は、あなたのドメインを名乗る不正なメールを受信側にどう扱ってほしいかの指示で、3段階あります。

止めるには quarantine → reject へ上げる必要があります。ところが、上げると認証に失敗している自社のメールも一緒に止まります。そこで確かめるのが、自社の正規の送信元がすべて認証に合格しているか——これがレポートを見る1つ目の理由です。

業務メール、メルマガ、問い合わせフォームの自動返信、請求システム、予約システム。ひとつでも失敗している状態で p=reject に上げると、そのメールが止まります。「上げても大丈夫」と言い切れる根拠は、ここにしかありません。

心当たりのある送信元がすべて pass になっていれば、引き上げてよい状態です。1つでも失敗しているなら、まずそれを直します。

② なりすましを見つける

見覚えのない送信元から、自社ドメインを名乗るメールが出ていないかを確かめます。なりすましはあなたのサーバーを経由しないので、自社の送信ログには1行も残りません。レポート以外に気づく手段がありません。

ただし、見覚えがない＝なりすまし、ではありません。実際には自社に関係のある送信元であることのほうが多く、切り分けが要ります（→ 見覚えのない送信元だったときの切り分け）。

この2点以外は、慣れるまで見なくて構いません。

言い換えると、「自社ドメインを名乗るメールの全体像」が毎日タダで手に入っているということです。これは p=none（何もしない設定）の段階でも得られる、DMARCのいちばん実用的な価値です。

何が書いてあるのか — 実物を見てみます

添付されたZIPを開くと、こういうXMLが出てきます（値は架空のものです）。

<feedback>
  <report_metadata>
    <org_name>google.com</org_name>              ← 報告してきた事業者
    <date_range><begin>…</begin><end>…</end></date_range>  ← 集計した期間（1日分）
  </report_metadata>
  <policy_published>
    <domain>yourdomain.com</domain>              ← あなたのドメイン
    <p>none</p>                                  ← そのとき公開されていたポリシー
  </policy_published>
  <record>
    <row>
      <source_ip>203.0.113.10</source_ip>        ← どこから送られたか
      <count>128</count>                         ← 何通か
      <policy_evaluated>
        <disposition>none</disposition>          ← 受信側が実際にどう扱ったか
        <dkim>pass</dkim>                        ← DMARCから見たDKIMの結果
        <spf>pass</spf>                          ← DMARCから見たSPFの結果
      </policy_evaluated>
    </row>
  </record>
</feedback>

<record> の1つが「ある送信元IPからの、その日の集計1行」です。送信元が10か所あれば、<record> が10個並びます。

受け取るための設定 — レポートの宛先

専用のアドレスを用意してください。普段使うアドレスに設定すると、毎日のレポートで受信箱が埋まります。

v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com;

解析サービスを使う場合は、そのサービスが指定するアドレスを書きます。自社のアドレスとサービスのアドレスを両方書くこともできます（カンマ区切り）。いまの宛先を消さずに追加すれば、切り戻しが要りません。

📌 自分のドメイン以外のアドレスを書くときは、受け取る側に「承認レコード」が要ります。これが無いと、多くの事業者はレポートを送りません。ツール側が案内するので、そのとおりに設定してください。

ただし、人の目で読むのは現実的ではありません

ここまで中身を見てきましたが、実際にこれを毎日読むのは無理があります。手順を思い浮かべると分かります。

1. メールが1日に数十通届く — 受信事業者ごとに1通ずつ。ドメインが複数あれば、その分だけ増えます
2. 1通ずつ添付ファイルを保存して、解凍する — 多くはZIPかGZIPで圧縮されています
3. 出てきたXMLを開く — 1ファイルに数十行から数百行。送信元の数だけ行が並びます（→ よくある送信元と、することの一覧）
4. それを全部つないで、頭の中で集計する — 「このIPは昨日も出ていたか」「先週より増えたか」は、1通の中には書かれていません

出てきた送信元ごとに、何をするか

レポートに並ぶ送信元は、ほとんどが自社の正規のメールです。なりすましではありません。やることは、1つずつ「これは何か」を突き止めて、必要な設定を足していくこと——それだけです。

よく出てくるものと、自社のものだと分かったあとにすることを並べます。

1日ぶんでこれを繰り返し、しかも変化を追うとなると、続けられる作業ではありません。そもそもレポートは機械が読むことを前提にした形式で、人が読むために作られていません。

そこで解析ツールに読ませます。添付ファイルの回収から集計までを自動でやり、「どの送信元が合格していて、どこが失敗しているか」をグラフや一覧で見せてくれます。無料で始められるものがいくつもあり、送信経路が数個の中小企業なら、無料の範囲で十分に足ります。

見覚えのない送信元だったときの切り分け

すぐに「なりすましだ」と判断しないでください。実際には、自社に関係のある正当な送信元であることのほうが多いです。順に確認します。

1. 契約中のサービスのIPではないか — 配信サービスやSaaSの公開IP一覧と照合します
2. 社内の誰かが契約していないか — 「メールを送るツールを使っていませんか」と各部署に聞くと、意外な部署が意外なツールを使っていることがあります
3. 転送ではないか — SPFはfailだがDKIMはpassというパターンなら、転送の可能性が高いです。転送は仕組み上SPFが崩れます（→ 転送とARC）
4. それでも不明なら — 本物のなりすましの可能性があります。この場合、レポートは「DMARCを強化すべき理由」を教えてくれたことになります

進め方 — 2〜4週間の流れ

ツールに読ませたあと、何をどの順番で見るのかを具体的に書きます。2〜4週間かけて、この順に進めます。

1週目 — 自社の送信元に名前を付ける

ツールの画面には、送信元が通数の多い順に並びます。上から順に、「これは何か」を1つずつ書き出してください。

この時点で全部に名前が付くことは、まずありません。「心当たりのない送信元が2〜3割ある」のが普通の出発点です。

2週目 — 失敗している送信元を直す

合格していない自社の送信元を、通数の多い順に直します。失敗の型は、だいたい次のどれかです。

直したら、翌日以降のレポートで pass に変わったことを確認します。DNSの反映に最大72時間かかるので、すぐに変わらなくても慌てないでください。

3〜4週目 — 「もう増えない」ことを確かめる

新しい送信元が出てこなくなるまで待ちます。月末だけ動く請求システムや、四半期に一度のお知らせなど、頻度の低い経路は最初の1週間では現れません。これが「2〜4週間ほど観測する」と言われる理由です。

そして、ポリシーを上げる

ここまで来たら、p=none から p=quarantine へ引き上げます。ここではじめて、なりすましが実際に止まり始めます。いきなり reject にせず、quarantine（迷惑メールフォルダ行き）を挟むのは、読み違えていた場合に取り返しがつくようにするためです。

引き上げの判断基準と当日の手順、切り戻しの備えはp=rejectへ安全に引き上げるにまとめています。DMARC全体の流れはDMARC設定のやり方をご覧ください。

現在の設定は無料診断で確認できます。rua が設定されているかも、ここで分かります。