DMARCbis 対 DMARC：何が変わるのか？
2026年7月6日：DMARC制御を定義する更新されたRFCに関するガイドを作成しました。
こちらからお読みいただけます。
DMARC仕様は2012年に初めて公開され、インターネット技術タスクフォース（IETF）は、更新版の仮称である「DMARCbis」において、DNSベースの制御機能の変更を提案しています。IETFのDMARCワーキンググループは、DMARC仕様をより柔軟にし、理解や導入が容易になるよう、その更新について議論を重ねてきました。
DMARCbisの更新案
今回の更新は抜本的なものではなく、機能性を維持するためにドメイン所有者がDMARCレコードを更新する必要はありませんが、これらの変更は、この制御機能の明確性、セキュリティ、および相互運用性を向上させるための試みです。
IETFのDMARCワーキンググループにより標準案として分類されている、提案された変更点の概要は以下の通りです：
- この仕様書は、より理解しやすく、実践しやすいように、例を改良して再構成・書き直しが行われています。
- ベストプラクティスを明確にするため、「DMARCへの完全参加に関する適合要件」というセクションを追加しました。ここでは、DMARCの仕組みを説明するとともに、「ドメイン所有者またはメール受信者によるDMARCへの完全参加に必要な要件」をまとめています。
DMARCタグの廃止について：
- pct tags は、DMARCポリシーが受信メールの特定の割合にのみ適用されることを示すために使用されます。IETFは、「運用上の経験から、指定された値が0または100（デフォルト）でない限り、pctタグは通常正確に適用されず、他の値での不正確さは実装ごとに大きく異なっていた」と述べています。
すべての関係者がこの変更に賛同しているわけではありませんが、pctタグは t（テストモード）タグに置き換えられ、すべて（100%）か何も適用しない（0%）というシナリオが採用されることになります。一部の人々は、p=quarantine および p=reject の適用ポリシーを段階的に強化する上で有用であると評価している。一方で、pctタグの計算に一貫性がなく、より正確なタグの方が運用上の明確さをもたらすという認識を持つ者もいた。 - DMARCの導入プロセスを簡素化・効率化するため、rf（ 集計レポートの形式）およびri（ 集計レポートの間隔）タグが 削除されます。なお、メール受信者は引き続き、RUAタグで指定されたメールアドレス宛に集計レポートを生成・送信することに留意してください。
追加されるDMARCタグ：
np（サブドメインポリシーなし）– 以下のポリシー値と同じ p および sp タグと同じポリシー値を持ち、提案されているnpタグを使用することで、ドメイン所有者は存在しないサブドメインに対してポリシーを適用できるようになります。「なぜドメイン所有者が存在しないサブドメインにポリシーを設定する必要があるのか」と疑問に思うかもしれません。 サイバー犯罪者は、DMARCの制御を回避するために、既存のドメインの非存在サブドメインを利用して不審なメールを送信しようとします。enforcement値としてquarantine またはreject を設定したnpタグは、偽のサブドメインから送信される詐欺メールを阻止するために必要な保護を提供します。
psd（ パブリックサフィックスドメイン） – ドメインがレジストリによって運営されるパブリックサフィックスドメイン（PSD）であることを示すために使用されます。このタグは、Fromドメインのルートドメインを定義するために使用され、以下の値をとります：
- y – PSO（パブリックサフィックスオペレーター）は、ドメインがPSDであることを示すために、値が「y」のこのタグを含めます。ポリシー検出中に、値が「y」のこのタグを含むレコードが見つかった場合、この情報に基づいて、当該メッセージに適用される組織ドメインおよびDMARCポリシードメインが決定されます。
- n – PSDではないドメインに対してDMARCポリシーレコードが公開されていることを示しますが、そのドメインは、それ自体およびそのサブドメインの組織ドメインです。
- u– デフォルト値。これは、DMARCポリシーレコードがPSDではないドメインに対して公開されており、そのドメイン自体が組織ドメインであるか、あるいはそのサブドメインを含む組織ドメインであるかは定かではないことを示します。この場合、組織ドメインはDNSツリーウォーク処理によって決定されます。DNSツリーウォークとは、ドメインネームシステム（DNS）を辿ることで、ドメイン名とIPアドレスを関連付ける処理のことです。
t ( テストモード)–pctタグに置き換えられ、以下のバイナリ値を持ちます：
- y–p、sp、および/またはnpタグで公開されたDMARCポリシーを適用しないことを示し、pct=0の値 と同様に機能します。
- n– 公開されたDMARCポリシーを適用するデフォルト値であり、pct=100の値に相当します。
その他の技術的な更新情報
- パブリックサフィックスリストの仕組みは、パブリックサフィックスドメイン（PSD）をより適切にサポートするため、DNSツリー探索アルゴリズムに置き換えられました。
- メールの転送やメーリングリストはメール認証の妨げとなる可能性があるため、DMARCbisでは p=reject ポリシーをメーリングリストで使用することを推奨していません。
- このIETF文書で定義されている通り、集計レポートにはいくつかの変更が加えられています。RUAの更新により、DMARCポリシーレコードやレポートの送信先は変更されず、レポート送信者がレポートに含まれるXMLをどのように構成するかという点のみが変更されます。
pctタグの場合と同様、IETFの評価にすべての専門家が同意しているわけではありません。当社のプロフェッショナルサービス部門ディレクターであるアッシュ・モリンもその一人です。「ユーザーが利用しているメーリングリストを特定するためにDMARCデータを慎重に検証すれば、 p=reject移行を安全に行うことは十分に可能です。 MailmanやLSoft LISTSERVといった最新のメーリングリストソフトウェアには、すでにDMARC対策が組み込まれています。また、『p=reject公開しない』ことをベストプラクティスとして扱うことには注意が必要です。それはベストプラクティスではないからです。」
DMARCbisへの対応準備方法
既存のv=DMARC1レコードは引き続き有効であり、変更が公開された後も標準として使用されます。とはいえ、DMARCbisが公開された際には、ドメイン所有者は変更点を活用できるよう、DMARCレコードを見直し、更新する必要があります。
DMARCbisの更新が公開されたら、DMARCレコードを確認し、修正後のDMARC仕様に準拠しているかを確認してください：
- 不要になったpct（パーセンテージ）、rf（レポート形式）、およびri（レポート間隔）タグを削除してください。
- 前述の新しいタグ「np」（ 存在しないポリシー）、「psd」（ パブリックサフィックスドメイン）、および「t」（テストモード）を追加します。
現在のDMARCレコードは依然として有効ですか？
はい！既存のDMARCレコードは廃止されることはなく、DMARCbisが公開されても引き続き機能します。ただし、DMARCbisの更新内容を反映させることで、DMARCレコードを業界標準の最新バージョンに合わせることができます。
DMARCbisはいつ公開されるのでしょうか？
この記事の執筆時点で、DMARCbisは現在「IETFラストコール」段階にあり、2025年に公開される見込みです。
dmarcianがお手伝いします
dmarcianは、メールセキュリティの専門家チームを擁し、ドメインセキュリティを通じてメールとインターネットの信頼性を高めることを使命として、今後のDMARCの更新を踏まえた組織のドメインカタログの評価を支援いたします。当社は、DMARCの導入から長期的な運用管理まで、全面的にサポートいたします。
さらに詳しく議論を続けたい方は、ぜひ dmarcian Forum へお越しください。
