Microsoft DMARC必須化2025｜影響範囲と対応
目次
この記事でわかること
- Microsoftが2025年に導入したOutlook.com宛の送信者要件・DMARC強化の内容
- Google・Yahooの要件との共通点と相違点
- Outlook.com宛にメールを送る企業の対応手順
Microsoftの「3つ目の波」が来た
Gmail・Yahooが2024年に大量送信者ガイドラインを引き上げたのに続き、2025年にはMicrosoftがOutlook.com・Hotmail.com・Live.com宛の送信者に同等の要件を導入しました。3社が足並みを揃えたことで、「BtoBだから関係ない」と言える企業はほぼ無くなっています。
Microsoftの新要件の中身
Microsoftが公開したOutlook.com向け新送信者要件は、1日5,000通以上をOutlook.com・Hotmail.com・Live.com宛に送る送信者に次の3点を求めています。
- SPFがpassすること（送信元IPが正規であることをDNSで宣言する）
- DKIMがpassすること（送信メールに正しい電子署名が付与されている）
- DMARCがp=none以上に設定され、SPFまたはDKIMとアラインメントしていること（From列のドメインと認証ドメインが一致）
ポイントはSPF・DKIM・DMARCの「3点セット」が揃っていることと、アラインメント（From列とSPF／DKIMドメインの一致）が満たされていることの2点です。DMARCの最低水準はp=noneでよく、rejectまで強める必要はありません。
Microsoftは段階的な適用ロードマップを公表しており、当初は「要件未達は迷惑メールフォルダ行き」として運用を開始した上で、その後の段階で 550; 5.7.515 Access denied 相当の拒否応答へ移行することが予告されています。現在どの段階で運用されているかは Microsoft の公式ブログで最新情報をご確認ください。
Google・Yahooとの共通点と相違点
共通点
- 1日5,000通という閾値
- SPF＋DKIM両方の認証passを必須化
- DMARC
p=none以上を要求 - From列とSPF／DKIMのアラインメントを要求
相違点
- Googleは5,000通未満の送信者にもSPFまたはDKIMを必須化
- YahooはGoogleと同等の要件を同時期に導入し、運用は現時点でGoogleがやや先行
- Microsoftは2025年5月に運用開始、違反時の扱いは段階的に「迷惑メール行き」から拒否応答へ強化していく方針
5,000通の数え方は1日5,000通の該当判定で整理しています。
Microsoft 365利用との混同に注意
混同されやすいのが、「自社がMicrosoft 365で社員メールを運用している」ケースとの線引きです。
- Microsoft 365 ユーザー側: 自社ドメインをMicrosoft 365で運用し、SPF・DKIM・DMARCを設定する話。詳細はMicrosoft 365 のメール認証設定
- Outlook.com 宛に送る側: 受信者が
[email protected]や[email protected]のとき、送信側が新要件を満たす必要がある話
両者は別レイヤーです。Microsoft 365を運用していても、SPF・DKIMの漏れやアラインメントずれがあれば、自社の正規メールでもOutlook.com宛にだけ届かないケースが出ます。
影響を受けやすい企業像
問題が起きやすいのは次のケースです。
- EC・予約・SaaSのトランザクションメール: 注文確認・パスワード再発行などの自動メールがOutlook.com宛だけ届かなくなる事象が報告されています。ユーザーから「メールが来ない」と問い合わせが来た時点で既に手遅れに近い状態です
- ニュースレター・キャンペーンメール: 外部配信サービスから自社ドメイン名で送っている場合、SPF・DKIM設定が未完了だと到達率が下がります
- IT管理担当者がいない中小企業: DNSが取得時のままで、SPF・DKIM・DMARCが何も設定されていないケース
取るべき対応の手順
1. 現状を把握する
無料のドメイン診断で自社ドメインのSPF・DKIM・DMARCの状態を確認します。Permerrorやp=none未設定の警告が出ていれば、既にOutlook.com宛要件を満たしていない可能性が高いです。
2. SPFのinclude数をチェック
SPFレコードは合計10個までしか参照できません。複数サービス併用で上限を超えると、SPF全体がPermerrorで無効化されます。詳細はDMARC義務化対応の落とし穴を参照してください。
3. DKIMセレクタを確認
DKIMはサービスごとにセレクタ名が異なります。Google Workspaceは google、Microsoft 365 は selector1/selector2、Resend は resend。推測で設定するとほぼ動きません。各サービスの管理画面で指定されたセレクタを使ってください。
4. DMARCを p=none で設定し、レポートを観察
最初から p=reject にすると、漏れのある正規メールまで拒否されて業務が止まります。p=none で1〜2か月レポートを溜めてから段階強化するのが定石です。詳しくはDMARCポリシーの段階強化を参照してください。
5. アラインメントを確認
DMARCがpassするには、From列のドメインとSPFまたはDKIMの認証ドメインの一致が必要です。外部送信サービス利用時に詰まりやすい工程です。
つまずきやすいポイント
- 「Microsoft 365 を使っているから大丈夫」と誤解する: メールサーバーがMicrosoft 365でも、Outlook.com宛要件は別レイヤーです
- 外部配信サービス側のDKIM設定漏れ: Mailchimp等で「サービス側がやってくれているはず」と思い込み、DNS側の公開鍵追加を抜かしているケース
- 古いSPFと新しいSPFが共存: 1ドメインに2つのSPFレコードが存在するとRFC違反でSPF全体が無効化されます
自社の状況を確認してみませんか
設定状況がわからない方は、無料のドメイン診断で現状をチェックできます。 DMARC・SPF・DKIM・SSL の状態が数十秒でレポートされます。 判断に迷う場合はお問い合わせからご相談ください。専門家がわかりやすくサポートいたします。