DMARC・SPF・DKIMとは｜違いと2級で問われる点

三つとも、メールの送信元のドメインがなりすまされていないかを、受信側が確かめるための仕組み（送信ドメイン認証）です。どれもドメインの持ち主が DNS に情報を公開し、受信側のメールサーバがそれを参照して判定します。

MCPC の公式テキストのページでは、『モバイルシステム技術テキスト 第11版』（2026年2月発刊、第42回から適用）の改版の要点として、なりすまし防止のための送信ドメイン認証 DMARC の記述が加わったことが示されています（2026年9月27日確認）。

具体的な判断へ進むにはDMARCのアライメントを確認してください。

違いは「何を材料に、どのドメインを確かめるか」です。次の表で、見る場所と弱点をセットで押さえてください。

SPF と DKIM だけでは、「認証されたドメイン」と「利用者が見る From のドメイン」が別でも合格になってしまいます。攻撃者が自分の持つドメインで SPF を通し、From には実在の企業のドメインを書く、というなりすましを防げません。この穴を埋めるのが DMARC です。

DKIM の署名は公開鍵暗号の仕組みを使います。署名と検証の鍵の向きは共通鍵暗号と公開鍵暗号の違い、DNS の問い合わせの流れはDNSの仕組みとはで確認できます。

RFC 7489 は、アライメントを「From のアドレスのドメインが、SPF または DKIM（あるいは両方）で認証されたドメインと一致すること」と説明しています。SPF と DKIM のどちらか一方でも、認証に成功し、かつアライメントが取れていれば DMARC は合格です。

一致の判定には二つのモードがあり、DKIM は adkim、SPF は aspf というタグで指定します。relaxed（r、初期値）は組織のドメインが同じなら一致、strict（s）はドメイン名が完全に同じ場合だけ一致とみなします。

ポリシーは、DNS の「_dmarc.ドメイン名」に TXT レコードとして公開します。p=none は特別な処理を求めず結果の報告だけを受け取る段階、p=quarantine は疑わしいメールとして迷惑メールフォルダなどに隔離するよう求める段階、p=reject は受信を拒否するよう求める段階です。一般には none で報告を見て、正規のメールが失敗していないことを確かめてから段階的に強めます。

2026年5月に公開された RFC 9989 は、RFC 7489 を置き換え、DMARC を標準化の区分（Standards Track）に位置付けました。p の3つの値とアライメントの考え方は引き継がれ、適用する割合を指定する pct タグが削除され、存在しないサブドメインに対するポリシーを示す np タグと、試験運用中であることを示す t タグが加わっています（2026年9月時点）。

MCPC の公式ページでは、モバイルシステム技術検定2級（100問・100分・4者択一）の出題カテゴリに「情報セキュリティ管理」があり、比率は9%と示されています（2026年9月27日確認）。当サイトでは、公式テキスト第11版の第11章「情報セキュリティ」がこの範囲に当たると推定しています（章名からの当サイトの判断で、公式の発表ではありません）。

4択では、次のような観点が考えられます。出題頻度は公表されていないので、特定の型が多いとは言えません。

• ✓仕組みの対応：説明文が SPF・DKIM・DMARC のどれに当たるかを選ばせる。
• ✓ポリシーの意味：none・quarantine・reject のそれぞれの扱いを問う。
• ✓アライメント：From のドメインとの一致が必要であることを問う。
• ✓公開場所：これらの情報が DNS に公開されることを問う。

試験全体の形式・日程・受検料はモバイルシステム技術検定2級とはにまとめています。情報・サイバーセキュリティ管理士でのメール・Webの論点はネットワーク・Webセキュリティの対策で扱っています。

略語が並ぶため、「何を見るか」を入れ替えた選択肢に注意します。

似たドメインや SMS を使った誘導への備えは、マルウェアとフィッシングの手口で整理しています。