DMARC導入から14年、ドメインの68.4%が未だに強制ポリシーを適用せず
DMARC Has Been Public Since 2012. 68.4% of Domains Still Don't Enforce It
2012年から存在するDMARC(Domain-based Message Authentication, Reporting & Conformance)は、受信メールサーバーに対し、ドメインになりすましたメールを報告、隔離、または拒否するよう指示する無料のDNSレコードである。しかし、2026年4月14日から7月28日にかけてCipherCueが追跡した67,336ドメインのDNSレコードを調査した結果、30,362ドメイン(45.1%)はDMARCレコード自体を持たず、レコードを持つドメインのうち10,963(29.7%)のみがp=reject(強制)、10,258(27.7%)がp=quarantine(隔離)を設定しており、合計で68.4%のドメインがDMARCレコードを持たないか、強制ポリシーを設定していないことが判明した。p=none(監視のみ)設定のドメインが最も多く(42.5%)、これは本来一時的な監視フェーズであるべきものが恒久的な状態になっていることを示唆している。強制ポリシーへの移行が進まない主な原因は、送信元を特定し、許可するかブロックするかを判断する作業が煩雑であることだと分析されている。また、SPFは72.7%のドメインで導入されているのに対し、BIMIは2.6%、MTA-STSは1.4%、DNSSECは0.0%と adoption 率が低いことが示された。DMARCのコア仕様は2026年5月にRFC 9989、RFC 9990、RFC 9991として更新されたが、既存のタグの意味は変わらない。一方、BIMIはIETFの標準仕様として採択されておらず、 adoption 率の低さの一因となっている可能性がある。
- DMARC導入から14年経過した2026年7月時点で、調査対象67,336ドメインのうち68.4%がDMARC強制ポリシーを適用していない
- DMARCレコードを持つドメインのうちp=reject(強制)を設定しているのはわずか29.7%
- 2026年5月にDMARCコア仕様がRFC 9989, RFC 9990, RFC 9991として更新された
メールセキュリティの基本規格であるDMARCの導入率が14年経っても低水準であることは、セキュリティ関連スタートアップやサービスプロバイダにとって継続的な市場機会を示唆する。特に、DMARC強制ポリシーへの移行が進まない原因が「送信元特定の煩雑さ」にあると分析されており、これを自動化・簡略化するソリューションへの需要は大きい。また、SPF導入率72.7%に対してBIMIは2.6%、MTA-STSは1.4%と極めて低いことから、メール認証エコシステム全体で未開拓領域が多く残されている。DMARC仕様のRFC更新(9989/9990/9991)は標準化の進展だが、実装率向上には直結していない点に注意が必要。