DMARC導入から14年、68.4%のドメインが未適用
原題: DMARC Has Been Public Since 2012. 68.4% of Domains Still Don't Enforce It
なぜ重要か
メール認証の実態を大規模調査したデータは、企業のフィッシング対策の現状を示す重要な指標となり、セキュリティ製品・サービス市場の需要動向を把握するうえで参考になる。
セキュリティ企業CipherCueが2026年4月14日から7月28日にかけて67,336ドメインを調査した結果、45.1%がDMARCレコード未設定、23.3%が監視のみのp=noneポリシーで、合計68.4%が実質的にDMARCを適用していないことが明らかになった。完全適用（p=reject）はわずか16.3%（10,963ドメイン）だった。
DMARCは2012年に公開された無料のDNS標準規格で、受信メールサーバーに対して認証に失敗したメールの扱い方（報告・隔離・拒否）を指示するものだ。CipherCueは2026年4月14日から7月28日にかけて、自社が追跡する67,336ドメインのDNSレコードを調査し、その結果を公表した。
調査結果によると、30,362ドメイン（45.1%）はDMARCレコード自体が存在しなかった。レコードを保有する36,974ドメインの中でも、最大グループは15,709ドメイン（全体の23.3%、レコード保有ドメインの42.5%）の「p=none」で、データ収集のみを行い隔離や拒否は要求しない。「p=quarantine」（隔離）は10,258ドメイン（15.2%）、完全適用の「p=reject」は10,963ドメイン（16.3%）にとどまった。
p=noneは本来、数週間程度の一時的な監視フェーズとして設計されているが、標準公開から14年が経過した現在も、多くのドメインにとって恒久的な状態となっている実態が明らかになった。
CipherCueは、p=noneから適用ポリシーへの移行が進まない原因として、RUA（集計レポート）の受信先の分散を指摘している。36,974のDMARCレコードから抽出したrua=アドレスを集計すると、26,179件のレポート送信先アドレスに対して10,268の異なるドメインが存在し、そのうち79%にあたる8,113ドメインはデータセット中に1回しか登場しなかった。集中しているものはProofpointの報告エンドポイントが1,605回、Cloudflareが1,273回、dmarcianが複数リージョンで多数登場している。つまり、送信元ごとに認証可否を精査してポリシーを移行する作業の複雑さが、運用上の障壁となっていると同社は分析している。
なお、DMARCはドメインのFromアドレスを偽装する直接スプーフィングへの対策であり、類似ドメイン登録、表示名詐称、侵害済みアカウントからのフィッシングには対応しないと同社は注記している。