DMARCの執行ギャップが継続：2026年における企業ドメインの68.4%が執行されていない

DMARCの執行ギャップが継続：2026年における企業ドメインの68.4%が執行されていない

概要

DMARCは2012年から存在する無料のDNSレコードで、受信メールサーバーに認証に失敗したメールの扱い方を指示します。CipherCueが追跡した67,336の企業ドメインの2026年のスナップショットでは、68.4%がDMARCレコードを持っていないか、レコードがp=noneに設定されており、これにより隔離または拒否の執行が行われていません。

執行ギャップの詳細

調査対象の67,336ドメインのうち、30,362（45.1%）がDMARCレコードを持っていません。レコードを公開している36,974ドメインのうち、15,709（レコードがあるドメインの42.5%、全ドメインの23.3%）がp=noneに設定されています。p=quarantineを使用しているのは10,258ドメイン（全体の15.2%）、p=rejectを使用しているのは10,963ドメイン（全体の16.3%）です。したがって、レコードがないか、p=noneという非執行ポリシーが設定されているドメインは合計46,071ドメイン（全体の68.4%）となります。

p=noneが続く理由

p=noneから執行へ移行する際の主な障害は、日次集約レポート（rua=）を解釈する作業の負担です。レポート配信が有効な各ドメインは、そのドメインから送信されたと主張するすべての送信元のリストを受け取ります。執行を行うには、管理者が送信元ごとにその送信者が正当かどうかを判断する必要があります。rua=アドレスは、ivrejeuw@ag.c1.dmarcian.comやa.8hyzr404@sdmarc.netのような、しばしばハッシュ化された一時的なメールボックスの長い尾を指し、明確な所有者がなく、ポリシーの執行が調査タスクとなり、優先順位が下げられます。

DMARCモニタリングを運営する主体

rua=レポート送信先ドメインをベンダー辞書に照らし合わせたところ、29の名前が付いた宛先にわたって8,862のエンティティが特定されました。トップの宛先はBrevo（1,297エンティティ、14.6%）、Proofpoint（1,094、12.3%）、Valimail（1,068、12.1%）、Cloudflare（978、11.0%）です。DMARCモニタリングがコア製品であるベンダーに限定すると、Valimail、DMARC Analyzer、dmarcian、DMARC Advisor、EasyDMARC、Red Sift、PowerDMARC、Fortra（Agari）が合わせて3,619エンティティ（特定されたエンティティの40.8%）を占めます。

国レベルの違い

執行状況は国によって異なります：

  • ポーランド：レコードなし64.6%、p=none16.3%、p=quarantine11.3%、p=reject7.7%
  • オランダ：レコードなし51.1%、p=none21.1%、p=quarantine14.2%、p=reject13.6%
  • ドイツ：レコードなし45.7%、p=none26.3%、p=quarantine12.9%、p=reject15.0%
  • アメリカ合衆国：レコードなし42.1%、p=none19.0%、p=quarantine16.7%、p=reject22.2%
  • イタリア：レコードなし40.9%、p=none36.8%、p=quarantine11.7%、p=reject10.5%
  • イギリス：レコードなし37.0%、p=none19.2%、p=quarantine18.3%、p=reject25.5%
  • スペイン：レコードなし36.9%、p=none29.5%、p=quarantine18.1%、p=reject15.5%
  • フランス：レコードなし43.0%、p=none29.1%、p=reject5%
  • スペイン：レコードなし36.9%、p=none29.5%、p=quarantine18.1%、p=reject15.5%
  • フランス：レコードなし43.0%、p=none29.1%、p=quarantine12.8%、p=reject15.1% 米国とイギリスはp=rejectのシェアが最も高いが高い（それぞれ22.2%と25.5%）一方で、イタリアはレコードなしの割合が比較的低いにもかかわらずp=noneのシェアが最も高い（36.8%）です。

関連するDNSコントロール

DMARCに加えて、このコホートでは以下が観察されました：

  • SPFが存在するドメイン：48,962ドメイン（72.7%）
  • DMARCが存在するドメイン：36,974ドメイン（54.9%）
  • BIMIが存在するドメイン：1,726ドメイン（2.6%）
  • MTA‑STSが存在するドメイン：957ドメイン（1.4%）
  • DNSSECはフルチェーン検証で0.0%を示しました。著者らはこれは測定の限界であり、どのドメインもDNSSECが設定されていないという主張ではないと指摘しています。 SPFが有効なドメインのうち、52.4%がハードフェイル（‑all）を、43.1%がソフトフェイル（~all）を使用しています。

最近のRFC変更

2026年5月、IETFはRFC 7489を廃止する3つの標準トラックRFCを公開しました：

  • RFC 9989：DMARCコアプロトコル（現在は標準トラック、提案標準）
  • RFC 9990：集約レポート（rua=）
  • RFC 9991：失敗レポート（ruf=） 既存のレコードへの実際的な影響は最小限で、v=、p=、sp=、rua=、ruf=、adkim=、aspf=、fo=タグは意味を保持しています。組織ドメインの検出にPublic Suffix Listルックアップを使用していたものをDNSツリーウォークに置き換えるという実質的な変更があり、外部リストへの依存がなくなります。

SOC 2およびISO 27001の考慮事項

SOC 2およびISO 27001:2022は、DMARCを名前付きコントロールとして普遍的に要求していません。SOC 2は、組織が選択したコントロールがTrust Services Criteriaを満たしているかを評価し、DMARCはメール認証リスク管理の一部として使用される可能性がありますが、例として挙げられていません。ISO 27001:2022の付録Aのコントロール5.14（情報転送）は広範囲にわたっており、DMARCを特定に言及せずともメール認証をカバーできます。

ドメインの例

Cranswick（cranswick.co.uk）は、p=noneのDMARCレコードを公開しており、3つのrua=アドレスがあります：dmarc_agg@vali.email、eu.cp-dmarc.comの自己登録メールボックス、およびrua.easydmarc.euのハッシュアドレスです。これは、単一のドメインが無関係な複数の宛先からレポートを集約できることを示しており、管理者は執行に移行する前にこれらのストリームを調整する必要があります。

方法論の注記

データは、CipherCueが2026年4月14日から2026年7月28日までに実施した独自のDNS観測（DMARC、SPF、MTA‑STS、BIMI、DNSSECへの直接クエリ）に基づいており、67,336ドメインを対象としています。カウントはドメイン単位であり、組織の重複排除は行われていません。大企業が複数のドメインを所有している場合、複数回カウントされることがあります。ベンダーマッピングは、既知の40のrua=レポートエンドポイントドメインの手動で維持された辞書を使用しており、完全な調査ではなく下限値を示します。DNSSECの結果はフルチェーン検証のみを反映しています。

コミュニティの洞察（HNコメント）

コメント者は以下のような実務的および認識上の障壁を指摘しました：

  • 小規模なオペレーターの中には、SPFとDKIMがすでに機能しているためDMARCの付加価値に疑問を抱く者もいます。
  • DNSの変更はしばしば理解が限られたスタッフによって行われ、コピーアンドペーストの設定がp=noneのまま留まることがあります。
  • 大手メールプロバイダーが悪用報告を無視するため、DMARCの perceived benefit が低下すると主張する者もいます。
  • メールを持たないドメイン（またはMXレコードがないドメイン）は「レコードなし」グループにカウントされる可能性があり、統計の関連性を歪めると指摘する者もいます。
  • DMARCは複雑さを加えるだけで受信トレイの信頼性を向上させず、スパムがしばしばSPF/DKIM/DMARCを通過すると主張する者もいます。
  • 逆に、LLMを使ってDNS変更を自動化し、Terraformを介してDMARCレコードを追加しているユーザーもいます。 これらの remarks は、DMARCの存在への認識ではなく、監視から執行へ移行するための運用作業が主なギャップであるという記事の主張を裏付けています。

Sources