この記事の結論
貴社の名前をかたるメールを取引先に届きにくくするには、DNS に SPF・DKIM・DMARC を設定します。DMARC は監視（none）から始め、本物のメールがすべて合格してから、隔離（quarantine）、拒否（reject）へ強めます。
- 最初に、会社のドメインでメールを送っている仕組みを全部書き出します
- 設定の有無は、DNS の公開情報とテストのメールで外から確かめられます
- Gmail と Yahoo!メールは、認証の無いメールを迷惑メールにしたり、受け取らなかったりすることがあります
うちの名前で偽の請求書が届いた、と取引先から電話が来た
なりすましメールで困るのは、貴社の名前で取引先に届く偽の請求書です
IPA は、ビジネスメール詐欺の手口の1つ目に「取引先との請求書の偽装」を挙げています。攻撃者が取引先になりすまし、攻撃者の口座に差し替えた偽の請求書を送り付けて、振り込ませる手口です。
貴社がなりすまされる側になると、偽の請求書は貴社の名前で取引先に届きます。お金を失うのが取引先でも、問い合わせへの対応と取引先への説明は貴社が負います。
本物
なりすまし
受け取った人の画面どちらも差出人は keiri@貴社のドメイン と表示され、見た目では区別がつきません
見分ける手がかり取引先のメールサーバーは、差出人のドメインの DNS を見て、本物の送信元かを判定します。貴社の DNS に SPF・DKIM・DMARC が無ければ、手がかりがありません。
SPF・DKIM・DMARC は、確かめるものと役割が違います
3つとも、貴社のドメインの DNS（ドメインごとに公開する設定）に書き込みます。受け取る側のメールサーバーが、その中身を見て判定します。
SPF送ってよいサーバーの一覧
貴社のドメインで送ってよいサーバーを、DNS に一覧で書きます。受け取る側は、送ってきたサーバーが一覧にあるかを見ます。
DNS に置くもの（Microsoft 365 だけで送る例）v=spf1 include:spf.protection.outlook.com -all
DKIMメールに付ける電子署名
送るメールに電子署名を付け、確かめるための公開鍵を DNS に置きます。受け取る側は、書き換えの有無と、署名したドメインを確かめます。
DNS に置くものselector1._domainkey などの名前で、公開鍵の記録
DMARC差出人との一致と、不合格の扱い
SPF か DKIM の合格が、画面に出る差出人のドメインと一致するかを見ます。不合格のメールの扱いを宣言し、結果の報告を受け取れます。
DNS に置くもの_dmarc の名前で v=DMARC1; p=none; rua=mailto:報告の受け取り先
SPF が確かめるのは送信の途中で使う裏側のアドレスで、DKIM も署名したドメインが差出人と同じとは限りません。画面に出る差出人と一致するかを見るのが DMARC で、Microsoft も3つをそろえるよう案内しています。
DMARC で止まらないメール
DMARC が守るのは、貴社のドメインそのものを名乗るメールです。綴りの似た別のドメインや、乗っ取られた本物のアカウントからのメールは止まりません。IPA は、急な振込先の変更をメール以外で確かめることと、メールへの多要素認証を勧めています。
自社の設定は、DNS の公開情報とテストのメールで確かめます
東海3県の中小企業100社のドメインを、外から確認できる範囲（DNS の公開情報）で調べました（自社調べ・2026年8月）。DMARC が設定されていなかったのは59社、SPF が無かったのは9社でした（両方とも無かったのは7社）。
棒の長さは、調べた100社に対する比です
総務省の情報通信白書（令和8年版）でも、JP ドメインでの導入は2025年12月時点で SPF が約89.6％、DMARC が約37.2％です。SPF はあっても DMARC の無いドメインが多いのは、当社の調べと同じです。
自社のアドレスから、個人の Gmail へ送って確かめる
署名元に貴社のドメインが出ていれば、DKIM の署名が付いています。ほかのメールソフトでは、ヘッダーの Authentication-Results の行で、spf=pass・dkim=pass・dmarc=pass かを見ます。
Yahoo!メールでも、メールの認証情報の画面で、PASS かエラーかを確かめられます。
DNS の公開情報を、コマンドで見る
Windows のコマンドプロンプトで入力（example.co.jp を貴社のドメインに替える）
nslookup -type=TXT _dmarc.example.co.jpDMARC を見る
nslookup -type=TXT example.co.jpSPF を見る
設定の前に、会社のドメインでメールを送っている仕組みを洗い出します
SPF の一覧に無いサーバーや、DKIM の署名を付けていないサービスから送ったメールは、DMARC で不合格になります。洗い出す前に拒否（reject）にすると、本物の請求書や通知が取引先に届かなくなります。
メールサーバー
Microsoft 365・Google Workspace・レンタルサーバーなど、社員がふだん送るメール。
複合機
スキャンしたファイルのメール送信や、トナー切れなどの通知。
会計・請求のソフト
請求書や見積書を、ソフトから直接メールで送る機能。
メルマガ・一斉配信
お知らせやメルマガを、外の配信サービスから送るもの。
WEBサイトのフォーム
問い合わせの自動返信や、予約・注文の確認のメール。
機器と業務システムの通知
NAS のバックアップの結果や、業務システムからのお知らせ。
1つずつ、差出人が貴社のドメインかと、社外へ送っているかを確かめます。社外へ送るものは、サービスの説明書で、SPF に足す値と DKIM の設定のしかたを確かめます。
洗い出した結果は、パソコンや機器の台帳と並べて持つと、担当が替わっても追えます。台帳の作り方は「中小企業のIT資産管理の始め方」に書きました。
SPF と DKIM でつまずきやすい3つ
- SPF の行は、1つのドメインに1つだけです。サービスごとに行を足すと SPF 全体が無効になるので、1行の中に include で足します。
- SPF がたどる参照（include など）は、合わせて10回を超えると不合格です。外の配信サービスは news.貴社のドメイン のようなサブドメインから送ると、参照の数と評判を本体と分けられます。
- Microsoft 365 を貴社のドメインで使っていても、DKIM の署名は管理者が有効にするまで付きません。DNS に CNAME の記録を2つ作り、Microsoft Defender の管理画面で有効にします。
DMARC は none から始め、quarantine、reject の順に強めます
いきなり拒否にすると、洗い出しで漏れた本物のメールまで届かなくなります。Google も Microsoft も、まず none で結果を見て、段階的に強める進め方を案内しています。
1p=none
監視
不合格のメールの扱いは変えず、報告だけを受け取ります。Google は、まず1週間、報告を毎日見るよう案内しています。
v=DMARC1; p=none; rua=mailto:報告の受け取り先
2p=quarantine
隔離
不合格のメールは、迷惑メールのフォルダなどへ。pct で一部のメールから当てます。Microsoft の例は10・25・50・75・100の順です。
v=DMARC1; p=quarantine; pct=10; rua=mailto:報告の受け取り先
3p=reject
拒否
不合格のメールは、受け取りを拒否されます。国がクレジットカード会社等に求めたのも、この拒否の運用です。
v=DMARC1; p=reject; rua=mailto:報告の受け取り先
次の段に進む目安報告を見て、洗い出した本物の送信元がすべて合格している
全体の順番
- 洗い出す貴社のドメインでメールを送っている仕組みを、全部書き出す
- SPF をそろえる送ってよいサーバーとサービスを1行にまとめる
- DKIM を付けるGoogle は、DMARC の48時間以上前に済ませるよう案内しています
- DMARC を none で入れる報告の受け取り先を決めて、DNS に書く
- 報告を見て直す不合格になった本物の送信元を、SPF と DKIM に足す
- 強めるquarantine を一部のメールから当て、reject へ進める
報告の宛先と、使わないドメイン
報告は XML のファイルで、受け取った側のメールサービスから、およそ1日1回届きます。個人の受信箱でなく専用の受け取り先を用意し、集計するサービスで読むのが現実的です。
メールを送らないドメインにも設定します。Microsoft の案内は、SPF が v=spf1 -all、DMARC が v=DMARC1; p=reject; です。国の要請も、メールを送らないドメインを含めていました。
Gmail と Yahoo!メールは、認証の無いメールを拒否することがあります
取引先や個人のお客様に Gmail のアドレスの方がいれば、1通でも Google の要件がかかります。2026年10月時点の、それぞれの公式の案内は次のとおりです。
| 比べる点 | Gmail（Google） | Yahoo!メール（LINEヤフー） |
|---|---|---|
| 対象 | 個人用の Gmail（末尾が @gmail.com・@googlemail.com）宛て。Google Workspace のアカウント宛ては対象外 | Yahoo!メール宛て |
| すべての送信者 | SPF か DKIM、正引きと逆引きの DNS レコード、TLS での送信、迷惑メール率0.3％未満など | 送信ドメイン認証を推奨。「SPF か DKIM、もしくは DMARC の認証を導入・判定クリアしていないメール」は、迷惑メールの判定や受信の拒否の場合がある |
| 大量送信者 | 1日に約5,000件以上送ると、SPF と DKIM の両方、DMARC（p=none でよい）、差出人のドメインの一致、ワンクリックの配信停止。一度当てはまると、その扱いが続く | 件数の基準は示していない。Gmail と同様の措置の予定は無い（2024年12月時点） |
| 時期 | 2024年2月から。2025年11月から、満たさないメールへの措置を強化 | 2024年12月11日のお知らせ |
メルマガを個人の Gmail に送る会社は、配信サービスの設定が大量送信者の要件を満たすかも確かめます。Google は、満たさないメールを迷惑メールに振り分けたり、拒否したりすることがあるとしています。
インフィニティにできること
インフィニティは名古屋・丸の内の会社で、サポート契約は280社強です。サービスの地図の①ドメイン・WEB・メールでは、ドメインを整理して自社の名義で持つところから、メールのクラウドへの移行、なりすましメールの対策までを受け持ちます。
いまの設定を先に知りたい場合は、無料WEBサイト診断をお使いください。URL を送っていただくと、なりすましメールを止める設定が入っているか、通信を守る証明書（SSL）、表示の速さを外から調べ、2営業日で A4 のレポートをお届けします。
お申し込みは相談フォームから、内容に「無料WEBサイト診断を希望」と、診断したい URL をお書きください。外から調べた結果は、IT見えるBOX のページでも紹介しています。
メールの置き場を移すなら、Microsoft 365 導入支援で、いまのメールアドレスのまま移します。導入の前にドメインとメールの設定を確かめ、切り替えは休日か夜間に行います。訪問は愛知・岐阜・三重と大阪、遠隔は全国です。
URL を送っていただければ、なりすましメールを止める設定を外から調べます
参考
- IPA「ビジネスメール詐欺のパターンとは」
- IPA「ビジネスメール詐欺の対策について知る」
- 総務省「令和8年版 情報通信白書 送信ドメイン認証技術の導入状況」
- 総務省・警察庁・経済産業省「クレジットカード会社等に対するフィッシング対策強化の要請」（2023年2月1日）
- Google「メール送信者のガイドライン」
- Google「メール送信者のガイドラインに関するよくある質問」
- Google「推奨される DMARC のロールアウト」
- Google「Gmail のメールが認証されているかどうかを確認する」
- Yahoo!メール「急増している迷惑メールへの対策について」（2024年12月11日）
- Yahoo!メール「【注意喚起】Yahoo!メールでの迷惑メール状況と対処法のご案内（2026年10月）」
- Microsoft Learn「Microsoft 365 ドメインの有効なメール ソースを識別するように SPF を設定する」
- Microsoft Learn「カスタム ドメインで DKIM をメールに使用する方法」
- Microsoft Learn「Microsoft 365 で電子メールを検証するように DMARC を設定する」