Google WorkspaceのDMARC設定方法｜レコード・レポートまで解説

Google Workspace で企業のメールを運用する際は、第三者によるなりすましメールへの対策が欠かせません。
DMARC を設定すれば、自社ドメインを悪用した不正なメールへの対策を強化できます。ただし、設定を誤ると正当なメールの到達性に影響するため、慎重な対応が必要です。

本記事では Google Workspace の DMARC 設定方法から、前提条件となる SPF・DKIM の事前チェック、レポートの活用、安全なポリシー運用まで解説します。

株式会社フライトソリューションズではお客様の要望に合わせて、迅速かつ丁寧なグループウェアの導入支援サービスを提供しています。導入を検討している方は、ぜひ弊社にお任せ下さい。

1. Google Workspace の DMARC とは？基本と導入する目的

DMARC は、自社ドメインを悪用したなりすましメールへの対策を強化する仕組みです。Google Workspace で企業メールを運用する場合も、SPF・DKIM と組み合わせて設定することで、メールの信頼性を高められます。

Google Workspace で DMARC を設定する必要性

Google Workspace で DMARC を設定する主な目的は、自社ドメインを装った不正なメールから企業の信用を守ることです。

なりすましメールは、企業のメールアドレスを偽装して取引先や顧客へ送信される場合があります。受信者が正規のメールと誤認すれば、情報漏えいや金銭的な被害につながる恐れがあります。

DMARC を設定すると、受信側のメールサーバーに対して、認証に失敗したメールをどのように扱うか指示できます。

SPF・DKIM・DMARC の役割と違い

メールのなりすまし対策には、SPF・DKIM・DMARC という3つの認証技術が使われます。それぞれ確認する内容が異なり、組み合わせることでメールの信頼性を高められます。

認証技術	役割	確認する内容
SPF	送信サーバーの確認	許可されたサーバーから送信されたか
DKIM	電子署名による認証	署名が有効で、メールが改ざんされていないか
DMARC	認証結果とドメインの整合性確認	SPF・DKIM の結果を基に、認証失敗時の扱いを判断する

DMARC は SPF または DKIM のいずれかで認証に成功し、差出人ドメインとの整合性も満たしていれば認証に成功します。

DMARC でなりすまし対策とメール到達性を両立する考え方

DMARC を導入する際は、セキュリティ強化だけでなく、正当なメールの到達性にも配慮する必要があります。
DMARC のポリシーを厳しく設定すると、認証に失敗したメールが隔離されたり、拒否されたりする可能性があります。

例えばメルマガ配信ツールや顧客管理システムから送信するメールの認証設定が不十分な場合、業務に必要なメールまで届かなくなる恐れがあります。そのため、最初は監視用のポリシーで送信状況を把握し、問題を解消してから段階的に制限を強める方法が有効です。

2. Google Workspace で DMARC 設定前に確認したいこと

DMARC を安全に導入するには、現在のメール認証設定と送信元を把握する必要があります。特に複数の外部サービスを利用している企業では、事前確認が不足すると正当なメールに影響する可能性があります。

SPF 設定と正当なメール送信元を整理する方法

SPF の設定では、自社ドメインからメールを送信するサーバーが正しく登録されているか確認します。
Google Workspace だけを利用してメールを送信している場合、SPF レコードの基本的な設定例は次のとおりです。

v=spf1 include:_spf.google.com ~all

DNS に登録された SPF レコードを確認し、外部のメール配信サービスを含む実際の送信元が反映されているか照合しましょう。
SPF レコードは同一ドメインに複数作成せず、必要な情報を1つにまとめます。また、DNS 参照回数の制限にも注意が必要です。

DKIM の設定状況を確認するポイント

DKIM は、送信メールに電子署名を付けることで、送信元の正当性およびメールの改ざんがないことを確認する仕組みです。Google Workspace では、管理コンソールの Gmail に関する設定から DKIM の認証状況を確認できます。

未設定の場合は DKIM キーを生成し、指定された DNS レコードを登録したうえで認証を開始します。設定後は実際にメールを送信し、メールヘッダーに表示される DKIM の認証結果を確認しましょう。

Google Workspace の DKIM 設定は外部サービスからの送信には自動適用されないため、サービスごとに対応状況や設定内容を確認しましょう。

外部サービスや委託先からのメール送信を洗い出す方法

外部サービスや委託先からのメール送信を洗い出すには、既存のシステム台帳と関係部署への確認を組み合わせる方法が効果的です。

まず社内のシステム台帳や契約情報を確認し、自社ドメインを使用しているメール送信サービスを整理します。あわせて関係部署や委託先に利用状況を確認し、把握できていない送信元がないか調査しましょう。

すでに DMARC レポートを受信している場合は、記録された送信元 IP アドレスや認証ドメイン、送信件数を確認しましょう。既存の管理情報と照合することで、未確認の送信元を発見する手掛かりになります。

送信元を特定したら、次の情報を一覧にまとめます。

確認項目	記載する内容
サービス名	メール配信ツールやCRMなどの名称
管理担当者	社内の担当部署・責任者
送信ドメイン	メールの差出人として使用するドメイン
SPF・DKIM	確認証方式の設定状況

なお、DMARC レポートには調査期間中に送信実績がないサービスは記録されません。関係部署への確認も併用し、送信元一覧を定期的に更新しましょう。

3. Google Workspace の DMARC レコード設定方法

Google Workspace で DMARC を利用するには、ドメインの DNS に専用の TXT レコードを登録します。設定内容によってメールの扱いが変わるため、各項目の意味を理解してから作業を進めましょう。

DMARC レコードの基本構造と主なタグ

DMARC レコードには、認証に失敗したメールの扱いや、レポートの送信先を指定する情報を記載します。

DMARC を監視目的で使用する基本的な設定例は次のとおりです。

ホスト名: _dmarc
種別: TXT
値: v=DMARC1; p=none; rua=mailto:dmarc-report@example.com

主なタグには、次のような役割があります。

• v：DMARC のバージョンを指定します。
• p：認証に失敗したメールの扱いを指定します。
• rua：集計レポートを受信するメールアドレスを指定します。
• pct：ポリシーを適用する割合を指定します。未設定の場合は100%です。

例えば p=none は監視用、p=quarantine は隔離を要求する設定、p=reject は拒否を要求する設定です。なお、最終的なメールの扱いは受信側の判断にも左右されます。

DNS に DMARC レコードを設定する手順

DMARC レコードは Google Workspace の管理コンソールではなく、ドメインの DNS 管理画面で設定します。

設定は次の手順で進めましょう。

1. DNS 管理画面を開く： ドメイン管理サービスにログインし、DNS レコードの編集画面を開きます。
2. TXT レコードを追加する： ホスト名に _dmarc を指定し、作成した DMARC レコードを値に入力します。
3. 設定内容を保存する： 入力したホスト名やレコードの値に誤りがないか確認し、保存します。
4. 公開状況を確認する： DNS の確認ツールを利用し、レコードが正しく公開されているか確認します。

なお、DNS サービスによっては、_dmarc.example.com のようにドメイン名を含めた入力が必要な場合があります。
また、同じドメインに DMARC レコードを複数登録しないよう注意し、既存のレコードがある場合は内容を変更してください。

初期設定から始める DMARC 設定の進め方

DMARC の初期設定では、認証に失敗したメールをすぐに拒否せず、監視から始める方法が適しています。
最初は p=none （監視）を指定し、集計レポートを受信できる状態にします。

その後、一定期間レポートを確認し、正当なメールが SPF・DKIM の認証に成功しているか調査します。
認証に失敗している送信元が見つかった場合は、送信サービスの設定やドメインの整合性を確認して修正しましょう。

Google Workspace 以外のサービスも含めて問題が解消された段階で、隔離や拒否を行うポリシーへの変更を検討します。

4. DMARC レポートの見方と活用方法

DMARC レポートは、メールの認証状況や送信元を把握するための重要な情報源です。レポートを継続的に分析すれば、不正な送信の兆候や設定に問題がある正当な送信元を発見しやすくなります。

DMARC レポートで確認できる主な情報

DMARC の集計レポートには、送信元 IP アドレス、メールの送信件数、SPF・DKIM の認証結果、適用されたポリシーなどが記録されます。

確認項目	確認する目的
送信元 IP アドレス	メールを送信したサーバーを把握する
送信件数	特定の送信元からの送信量を確認する
SPF・DKIM の認証結果	認証失敗の原因を調査する
DMARC の判定結果	ドメインの整合性を含めた認証状況を確認する
適用されたポリシー	受信側で報告された処理方針を把握する

DMARC レポートは一般的に XML 形式で提供されます。正当な送信サービスで認証失敗が続く場合は、SPF・DKIM の設定やドメインの整合性を確認しましょう。ただし、認証失敗だけで不正なメールとは断定できません。

SPF・DKIM の認証結果から問題を見つける方法

DMARC レポートで問題を見つけるには、まず送信元 IP アドレスや送信件数を確認し、認証に失敗している送信元を探します。
次に、該当する送信元の SPF・DKIM の認証結果とドメインの整合性を、次の表に沿って確認しましょう。

確認事項	確認する内容
SPFの認証結果	送信元がSPFで認証されているか
DKIMの認証結果	メールの電子署名が正しく認証されているか
ドメインの整合性	認証に使用されたドメインが差出人ドメインと整合しているか
送信元IPアドレス	認証に失敗したメールがどの送信サービスから送られたか

SPF・DKIM の認証自体が成功していても、差出人ドメインとの整合性が取れていなければ、その認証結果では DMARC の認証に成功できません。

問題が見つかった場合は、該当する送信サービスを特定し、SPF の登録漏れや DKIM の設定不備を確認しましょう。外部サービスから送信している場合は、サービス側の認証設定も調査してください。

なお、DMARC は SPF または DKIM のどちらか一方で認証とドメインの整合性を満たせば成功します。両方の認証に成功する必要はありません。

DMARC レポートを活用して送信元を整理する方法

正当なメール送信元を継続的に管理するには、DMARC レポートに記録された送信元 IP アドレスや認証ドメインを、社内の送信元一覧と照合しましょう。

一覧にない送信元が見つかった場合は、関係部署や委託先に利用状況を確認します。正当な送信サービスであれば、サービス名や管理担当者、SPF・DKIM の設定状況を一覧に追加してください。

次に、送信元ごとの送信件数や認証失敗件数を確認し、対応の優先順位を決めます。業務で利用しているサービスに認証失敗が多い場合は、メールの送受信に影響する可能性があるため、優先的に設定を見直しましょう。

また、認証失敗件数の推移や未確認の送信元数を定期的に記録すると、設定改善の効果を確認できます。記録した情報は、経営層へのセキュリティ報告にも活用できます。

5. DMARC ポリシーを安全に運用するためのポイント

DMARC は設定して終わりではなく、認証状況を確認しながら継続的に運用する必要があります。特に複数の送信サービスを利用する企業では、ポリシー変更による影響を把握し、段階的に強化することが重要です。

DMARC レポートを確認しながらポリシーを変更する方法

DMARC のポリシーは、一般的に p=none、p=quarantine、p=reject の順に強化します。最初の p=none では認証状況を監視し、正当なメールに問題がないか確認します。

問題が解消されたら p=quarantine に変更し、認証に失敗したメールを迷惑メールフォルダなどへ隔離するよう受信側に要求します。さらに認証状況が安定していれば、p=reject に変更して拒否を要求する運用を検討できます。

各段階で DMARC レポートを確認し、正当なメールの認証失敗が増えていないか検証しましょう。

DMARC ポリシーを強化する前に確認すること

DMARC ポリシーを強化する前には、正当なメールの認証状況と、問題発生時の復旧手順を確認する必要があります。
特にメール配信サービスや顧客対応システムは、認証失敗による業務影響が大きいため、次の項目を確認しましょう。

• 認証状況： 送信元一覧と DMARC レポートを照合し、正当なメールが認証に成功しているか確認します。
• 未確認の送信元： 利用状況が不明な送信元が残っていないか調査します。
• 復旧手順： 変更前の DNS レコードを保存し、以前のポリシーへ戻す手順を決めます。
• 監視体制： 変更後の確認担当者と障害発生時の連絡先を明確にします。

事前に確認事項を整理することで、ポリシー変更による業務への影響を抑えられます。なお、DNS の変更が反映されるまでには時間がかかるため、変更後も認証状況を継続して確認しましょう。

Google Workspace の DMARC 設定を専門家へ相談したほうがよいケース

Google Workspace の DMARC 設定は自社でも実施可能ですが、外部ツールとの連携が多い環境や、メールの停止が許されない企業では、専門知識を持つパートナーへの相談が有効です。

特に複数の外部メール配信サービスを利用している場合は、サービスごとに SPF・DKIM の設定状況を確認する必要があります。
また、認証失敗が多い場合や、メールの到達性に影響する設定変更を予定している場合も、慎重な対応が求められます。

フライトソリューションズの導入・運用支援

株式会社フライトソリューションズでは、Google Workspace の導入支援に加え、DMARC レコードの登録や変更に伴う DNS 設定をサポートしています。「DNS の設定方法がわからない」「設定ミスによるメールへの影響を避けたい」とお考えの方は、ぜひお気軽にお問い合わせください。

6. まとめ

Google Workspace の DMARC 設定は、自社ドメインを悪用したなりすましメールへの対策に役立ちます。
安全に導入するためには、SPF・DKIM の設定状況と正当な送信元を確認し、p=none で認証状況を把握することが重要です。

DMARC レポートを活用して問題を解消しながら、段階的にポリシーを強化しましょう。設定変更後の監視や復旧手順も整えることで、メールの到達性に配慮した継続的な運用につながります。

株式会社フライトソリューションズではお客様の要望に合わせて、迅速かつ丁寧なグループウェアの導入支援サービスを提供しています。導入を検討している方は、ぜひ弊社にお任せ下さい。