Cloudflare DMARC Management が一般提供になりました
公開日: 2026-06-16
当初 DMARC Management を公開した理由はシンプルでした。インターネット上のすべてのドメインは強力なメール認証を受けるに値し、コストがその妨げになってはならない、という考えです。より良いインターネットを構築するというミッションの一環として、Cloudflare のすべての顧客に対して DMARC Management を無償で提供してきました。
今日、その取り組みをさらに進めます。Cloudflare DMARC Management は一般提供（GA）となり、フル DMARC 強制化に到達することをできるだけ簡単にするよう再設計された操作体験を提供します。
DMARC Management ダッシュボードが提供するもの
DMARC Management ダッシュボードは、メール認証の状況を一元的に可視化します。
メール認証は何をしてくれるのか
受信側のメールプロバイダは、あなたのドメインから「送られた」メールについて常にひとつの質問をします: 本当にそのドメインの正当な所有者がこのメールを送ったのか？ これに答える手段がなければ、誰でもあなたになりすましてメールを送ることができ、受信者は本物と偽物の区別ができません。
メール認証は、その質問に答えるための DNS レコード群です。ドメインを保護する主なプロトコルは次の4つです。
- SPF (Sender Policy Framework): あなたのドメインを代行してメールを送信してよい IP アドレスやサービスを受信サーバに通知します。
- DKIM (DomainKeys Identified Mail): 送信するメールに暗号化署名を付与し、受信側が転送中に改ざんされていないことを検証できるようにします。
- DMARC (Domain-based Message Authentication, Reporting, and Conformance): SPF と DKIM を結びつけ、認証に失敗したメールに対して受信側にどう対処するか（通す、隔離する、拒否する）を指示します。また、あなたに対してどの送信元があなたのドメインとしてメールを送っているかのレポートを送ります。
- BIMI (Brand Indicators for Message Identification): 対応する受信箱でブランドロゴを表示できますが、DMARC ポリシーが十分に強固であることが前提です。
これら4つが正しく設定されていると、なりすましメールは受信者の受信箱に届く前にブロックされ、正当なメールは配信されやすくなります。欠落または誤設定があると、ブランドの偽装や大手メールプロバイダによる配信制裁にさらされます。
DMARC はもはや任意ではない
DMARC は以前から重要でしたが、ここ2年でその重要性は格段に高まりました。Google、Microsoft、Yahoo はいずれもより厳格なメール認証の運用を発表または実施しています。適切な DMARC、SPF、DKIM レコードが無い、あるいは誤って設定されているドメインは、正当なメールがスパムフォルダに入るか拒否されるケースが増えています。かつてのベストプラクティスが今では要件になっています。
適切なメール衛生管理ができていないと配信性が低下し、多くの企業にとっては収益損失や重要な連絡の失敗につながります。業界からのメッセージは明確です: ドメインからメールを送るなら、これらのレコードを正しく設定する必要があります。猶予期間は終わりました。
課題: DMARC はややこしく、間違いの代償が大きい
p=none（監視のみ）から p=quarantine（要注意は迷惑メール）や p=reject（認証失敗は拒否）へ移行する過程は不確実性に満ちています。早すぎる強制は、あなたが忘れていたサードパーティの正当な送信を止めてしまうリスクがあります。遅すぎるとドメインをなりすましに晒し、配信性ペナルティを受けます。
多くの組織は DMARC 強制化が必要だと認識していますが、実際に到達するには、集約された XML レポートの理解、インフラ全体にまたがる正当な送信元の特定、ポリシー強化が何も壊さないという十分な確信が必要です。
Cloudflare は、どの顧客でも自力でこの移行を行えるように DMARC Management を構築しました。プロのコンサルを雇う必要はありません。集計レポートのスプレッドシート解析も不要です。どの IP がどのベンダーに属するかを憶測する必要もありません。目標は、ポリシーを強化しても何も壊さないという可視性と自信をユーザーに与え、フル DMARC 強制化への道をセルフサービスで実現することです。
今回のリリース内容
詳細なレポート可視化と送信元調査
レポート体験を再設計し、メールトラフィックで何が起きているかを分かりやすくしました。DMARC、SPF、DKIM のアライメントがどの送信ソースで合格/不合格かを一目で確認でき、さらに深掘りできます。すべてのレポートは送信元 IP アドレスと送信サービス名を表示するため、正当なインフラと不正送信者を識別する詳細さが得られます。
任意の IP アドレスを Investigate タブで直接開けるようになり、そのアドレスに関する Cloudflare の脅威インテリジェンス（レピュテーション、ジオロケーション、ASN、既知の悪性関連）を確認できます。これにより DMARC レポートは受動的なデータフィードから能動的な調査ツールになります。
「What you see / What it tells you」
| 表示項目 | 意味 |
|---|
| Source IP address | ドメインの代わりにメールを送っている特定のインフラストラクチャの IP |
| Sending service name | IP の背後にある組織やプロバイダ名 |
| DMARC / SPF / DKIM alignment | その送信元に対して各認証チェックが合格/不合格か |
| Investigate tab | Cloudflare の脅威インテリジェンス（レピュテーション、ジオロケーション、ASN、既知の脅威関連） |
メール認証レコードのステータス表示
よくある質問のひとつは「私のレコードは正しく設定されていますか？」です。これまでこの確認は DNS TXT レコードを手作業で見て各タグと値の意味を理解する必要がありました。
今回のリリースで DMARC、DKIM、SPF、BIMI の各メール認証レコードのステータスを単一ビューで確認できます。各レコードタイプは自動解析に基づいて「pass / warning / fail」で表示され、検出内容と修正のための推奨事項を確認できます。DKIM キーが不正ならフラグを立てます。DMARC ポリシーが十分に強固で BIMI がなければその旨も通知します。
推奨内容は RFC 用語の専門語ではなく平易な言葉で書かれており、メールセキュリティの専門知識がなくても次に何をすべきかが明白になることを目指しています。
チェック項目の例
| レコード | チェック内容 |
|---|
| SPF | 複数のレコード、ルックアップの上限、許容的な +all、欠落メカニズム |
| DKIM | キーのフォーマット、公開鍵の欠落・不正 |
| DMARC | ポリシーの強度、監視か強制か、レポート設定 |
| BIMI | ロゴ URL フォーマット、Verified Mark Certificate (VMC) の有無 |
SPF ルックアップ監査
SPF 仕様（RFC 7208）は SPF 評価ごとに DNS ルックアップの上限を 10 回と定めています。SPF レコード内の include:, a, mx, redirect, exists の各メカニズムがこの上限にカウントされ、include: の中に入れ子になったルックアップもカウントされます。10 を超えると受信サーバは permerror を返し、SPF チェックは完全に失敗します。多くの組織は自分がこの上限を超えていることに気づかないまま、メールが拒否され始めて初めて気づきます。
DMARC Management は SPF レコードを監査し、実際に何回のルックアップが発生しているかを表示します。レコード内の各メカニズムを掘り下げて、どの include: チェーンが最もコストが高いかを確認し、どこを統合・フラット化すれば上限内に収められるかを特定できます。
開始方法
DMARC Management を利用するには、ドメインの DNS を Cloudflare に移管している必要があります。その上で、Cloudflare ダッシュボードの該当ドメインで DMARC Management を有効にします。
- Cloudflare ダッシュボードで該当ドメインに移動します。
- 「Email > DMARC Management」に移動します。
- セットアップウィザードに従って DMARC レポートの受信を開始します。
- レコード解析と推奨事項を確認します。
- 自分のペースで
p=quarantine（要注意は迷惑メール）や p=reject（認証失敗は拒否）に向けて作業を進めます。
今後の予定
DMARC Management の上に引き続き機能を追加していきます。目標は誰にとっても使いやすくすることです。予定している改善点には、より詳細なフォレンジックレポーティング、より賢い推奨機能、Cloudflare プラットフォームとのより密接な統合が含まれます。
まだ Cloudflare で DNS を運用していない場合は、まずこちらから始めてください。ドメインを Cloudflare に乗せれば、DMARC Management は追加設定や追加費用なしでただちに利用可能になります。
あなたのドメインは保護されているか、されていないかのどちらかです。Cloudflare ダッシュボードの Email > DMARC Management へ移動して始めてください。