DMARCレコードとは？
DMARCはSPFとDKIMの上に構築され、認証に失敗したメールをどう扱うか、そしてレポートをどこへ送るかを受信側に伝えます。'p=none'のポリシーは監視のみですが、'quarantine'や'reject'はドメインをなりすましから実際に保護します。IPeekは_dmarc.your-domainのレコードを読み取り、各タグを解析して、ポリシーの強度を評価します。
DMARCとアライメントの仕組み
DMARCはv=DMARC1で始まる_dmarc.your-domainのTXTレコードです。メッセージがSPFまたはDKIMを通過し、その認証済みドメインが表示上のFromドメインとアライメント（整合）したときに合格します。鍵となるのがアライメントです。なりすまし業者は自分のドメインで素のSPFやDKIMを通過させることはできても、あなたのドメインと整合させることはできません。v=DMARC1; p=reject; rua=mailto:reports@your-domain; adkim=s; aspf=s というレコードは、拒否を強制し、DKIMとSPFの両方に厳格なアライメントを要求します。
p=none・quarantine・rejectの読み解き方
pタグはポリシーを設定します。p=noneは監視のみで、メールは流れ続けますが、誰があなたを名乗って送信しているかを把握するためのレポートを収集します。p=quarantineは失敗したメールを迷惑メールへ振り分け、p=rejectは完全にブロックするため、なりすましに対する最も強力な保護となります。pctタグで強制を段階的に引き上げることができ（例：pct=25）、spでサブドメインに別のポリシーを設定できます。まずnoneでデータを収集し、正規の送信者が合格することを確認してから、quarantine、rejectへと締めていきます。IPeekは現在のポリシーの強度を評価します。
DMARCレポートとruaタグ
DMARCを実用的にするのがレポート機能です。ruaタグは、自社ドメインを名乗ってメールを送った送信元と、それらがSPF、DKIM、アライメントを通過したかどうかを要約した日次の集約XMLレポートを受け取るメールボックスを指定します。ポリシーを締める前に、これらのレポートを使って認可し忘れた正規送信者を見つけてください。オプションのrufタグはフォレンジック（失敗ごと）レポートを要求しますが、プライバシー上の理由から、ほとんどの受信側はもはや送信していません。ruaがなければ、手探りでポリシーを強制することになります。