このチェッカーの仕組み
なぜ今 DMARC が必要か
Gmail と Outlook は 2025 年から、送信者認証を満たさないメールを迷惑メール扱いや受信拒否の対象にしています。政府機関やクレジットカード会社には、なりすましを止める quarantine / reject での運用が求められています。メールが届くかどうかと、自社を名乗るなりすましを止められるかどうかは、どちらも DNS に置く SPF / DKIM / DMARC の設定で決まります。
ブラウザから DNS に直接問い合わせる
入力されたドメインの DNS レコードを、ブラウザから Google Public DNS と Cloudflare DNS の DNS over HTTPS(HTTPS 経由で DNS を引く公開 API)に直接問い合わせます。Google が応答しないときは Cloudflare に切り替えます。このサイトのサーバーは静的ファイルを配信するだけで、入力したドメインも診断結果も受け取りません。診断中に送った問い合わせは、結果票の末尾の「問い合わせログ」で確認できます。
SPF: 参照先を展開してルックアップ回数を数える
SPF レコードの include や redirect を順にたどり、参照先のレコードも取得します。SPF には「評価中の DNS ルックアップは 10 回まで」という上限があり(RFC 7208 §4.6.4)、超えると SPF 全体が無効(permerror)になります。include、a、mx、ptr、exists、redirect を 1 回ずつ数え、ip4 / ip6 は数えません。参照先が存在しない「無効なルックアップ」や、同じ参照先の重複、末尾の all の指定もあわせて確認します。
DKIM: セレクタを推測して探す
DKIM の公開鍵は「セレクタ._domainkey.ドメイン」という名前に置かれ、セレクタ名はメールのヘッダにしか書かれていません。そこでこのチェッカーは、主要サービスの既定セレクタ 15 種類と、SPF の参照先や MX から推定した送信サービスのセレクタを順に問い合わせます。見つかった鍵は RSA の鍵長とフラグを確認します。見つからなくても未設定とは限らないため、「未確認」と表示し、「詳細設定」からセレクタを指定して再診断できるようにしています。
DMARC: Tree Walk で組織ドメインを探す
DMARC レコードは「_dmarc.ドメイン」にあります。サブドメインに無い場合は、RFC 9989 が定める Tree Walk の手順で上位のドメインを順にたどり(最大 8 回)、組織ドメインのレコードを見つけます。見つかったレコードは、ポリシー(p)、サブドメイン用の sp / np、一致条件の adkim / aspf、レポート送り先の rua / ruf を解析し、省略されたタグには既定値を当てはめた「実効ポリシー」を表示します。rua が外部ドメイン宛のときは、宛先側の承認レコードの有無も確認します。
判定基準の出典
「到達性」は Google、Microsoft、Yahoo、Apple が公開している送信者要件に、「なりすまし保護」は総務省・警察庁・経済産業省の要請と内閣官房の政府統一基準に照らして判定します。技術的な正誤は RFC 7208(SPF)、RFC 6376(DKIM)、RFC 9989(DMARC)に基づきます。一覧は判定基準と出典にまとめ、結果票の各項目の i アイコンからも参照できます。
この診断の限界
診断できるのは DNS に公開されている設定だけです。実際に送ったメールが SPF や DKIM に合格するか、受信側がどう扱うかは、送信サーバーの構成や受信側の判定によって変わります。DKIM はセレクタが推測できないと確認できず、TLS の利用など DNS から読めない要件は「未確認」になります。設定変更の直後は DNS の反映待ちで古い結果が出ることもあります。結果は参考情報として、実際のメールヘッダの確認とあわせてお使いください。
用語や手順を詳しく知りたい方は、DMARC とは何か、Gmail・Outlook の送信者要件に対応する手順、p=none から quarantine / reject へ引き上げる手順のガイドをご覧ください。MTA-STS や TLS-RPT、DNSSEC、CAA まで含めてドメインの設定をまとめて確認し、修正用のレコード例を得たい場合は、ドメイン健康診断をお使いください。
よくある質問
- DKIM が「未確認」になります
- 送信サービスによってはセレクタ名が推測できません。自分宛に送ったメールのヘッダで DKIM-Signature の s= を確認し、「詳細設定」から指定してください。
- 結果を共有できますか
- チェック後の URL(?domain=...)を共有すると、開いた人のブラウザで再チェックされます。結果そのものは保存していません。
- 入力したドメインは保存されますか
- 保存しません。ブラウザから Google Public DNS と Cloudflare DNS に直接問い合わせ、このサイトのサーバーには入力も結果も送信しません。詳しくはプライバシーポリシーをご覧ください。
- p=none と quarantine は何が違いますか
- none は「認証に失敗しても何もしない」で、レポートを受け取って実態を観察するための設定です。quarantine は失敗したメールを迷惑メール扱いにし、reject は受信を拒否します。なりすましを実際に止められるのは quarantine と reject で、政府機関やクレジットカード会社への要請もこの水準です。
- SPF のルックアップが 10 回を超えるとどうなりますか
- SPF は permerror(恒久的エラー)となり、レコードが無いのと同じ扱いになります。include を減らすか、送信サービスごとにサブドメインを分けて SPF を分割するのが一般的な対処です。参照先の include が内部でさらに include を持つため、見た目より回数が多いことがあります。
- 送信サービスを複数使っている場合はどうしますか
- SPF レコードは 1 つにまとめ、各サービスの include を並べます。DKIM はサービスごとに別のセレクタで公開できるので、それぞれの手順に従って追加します。DMARC はドメインに 1 つで足ります。すべてのサービスが SPF か DKIM のどちらかで From ドメインと一致していれば、DMARC には合格します。
- サブドメインから送るメールも診断できますか
- できます。サブドメインを入力すると、そのサブドメインの SPF と DKIM を確認し、DMARC はサブドメインに無ければ上位のドメインをたどって探します。見つかったレコードの sp タグ(省略時は p と同じ)がサブドメインに適用されます。
- Gmail の「1 日 5,000 通」の要件とは何ですか
- Google は、Gmail 宛に 1 日 5,000 通以上送る送信者に、SPF と DKIM の両方、DMARC の公開、From ドメインとの一致を求めています。それ未満の送信者にも SPF か DKIM のどちらかは必要です。この診断の「到達性」はこの区分で判定しています。
- 診断結果と実際の受信結果が違います
- この診断は DNS の設定だけを見ています。実際のメールでは、送信サーバーの IP が SPF に含まれていない、署名に使うセレクタが違う、転送で SPF が崩れる、といった理由で結果が変わります。自分宛に送ったメールの Authentication-Results ヘッダで、受信側の判定を直接確認してください。
- DMARC レポート(rua)は何に使いますか
- 受信側が日次で送ってくる集計レポートで、どの IP からどれだけのメールが自ドメインを名乗り、認証に合格したかがわかります。正規の送信元がすべて合格していることを確かめてからポリシーを引き上げる、という判断に使います。XML 形式のため、読むには可視化ツールが必要です。
- 無料で使い続けられますか
- このチェッカーは無料で、登録も不要です。ブラウザと公開 DNS だけで動くため、運営側にほとんど費用がかからない設計にしています。
判定基準と出典
判定は次の公式文書に基づきます。結果票の各項目の i アイコンからも参照できます。