会社の迷惑メール対策｜受信フィルター・DMARC・フォームの見分け方

この記事の監修者

齊藤 真也

株式会社ファーストネットジャパン 代表取締役

1998 年創業時からアプリ開発・Web マーケティング・フルリモート SES・ホームページ制作・翻訳・グラフィックデザインなど幅広い IT／クリエイティブ領域を手がけ、4,000 件超のプロジェクトを統括。セキュリティ対策・SEO・システム開発から中小企業のWeb戦略支援まで、技術とデザインの両面でクライアントの課題解決を27年以上にわたり支援してきた。
大阪本社・東京オフィスの2拠点体制で、全国の企業のデジタル化をサポート。
高松市出身。座右の銘は「圧倒的努力」。

会社のメールに迷惑メールが多いときは、受信フィルター、自社ドメインのなりすまし対策、問い合わせフォームの対策を分けて確認することが近道です。すべてを「スパム」とまとめて設定を強くすると、お客様からの相談や請求書まで届かなくなるおそれがあります。

DMARCは、主に自社ドメインを差出人に使ったなりすましへの対策です。自社のDNSに設定するだけで、外部から届く迷惑メール全般を止められるわけではありません。受信トレイを整理したいのか、自社を装うメールを減らしたいのか、フォームの売り込みを止めたいのかで、調べる場所が変わります。

この記事では、会社の総務・Web・情報システム担当者に向けて、原因の切り分け、設定の見直し方、必要なメールを守る確認手順、外部へ依頼する範囲を解説します。ファーストネットジャパンでは、利用中のメールサービスやホームページの構成を確認し、迷惑メール対策の調査・設定・フォーム改修をご相談いただけます。

会社の迷惑メール対策は、3つの経路を分けるところから

最初に、困っているメールを数件選び、「どこを通って届いたのか」を確認します。同じ代表アドレスに届いていても、外部から直接送られたメールと、フォームが自動送信した通知メールでは対処が異なります。件名や差出人の表示名だけで決めず、受信日時とフォームの受付履歴を照合しましょう。

フォーム経由と分かった場合は、問い合わせフォームの営業メール・スパム対策で、原因別の対処法と当社のフォーム導入例を紹介しています。本記事は、会社のメール受信と送信ドメインの認証を中心に扱います。

「減らしたいもの」を受信件数と確認負担に分ける

対策の目的は、迷惑メールの件数を減らすことだけではありません。毎朝の仕分けを短くする、危険なリンクを開く機会を減らす、本来の相談を見落とさない、といった業務上の目的を先に決めます。隔離によって受信トレイが減った場合と、サーバーが受信自体を拒否した場合も区別します。

例えば、代表アドレスだけが困っているなら、最初から全社員の設定を同じにする必要はありません。代表アドレス、採用窓口、請求窓口それぞれで、受け取りたい相手とメールの種類を確認します。新規のお客様から連絡が来る窓口では、知らない差出人を一律に拒否する運用は向きません。

費用は「調査・設定・検証・運用」の範囲で変わる

ファーストネットジャパンへの迷惑メール対策のご依頼は、現在の環境と必要な作業を確認して個別にお見積もりします。メールソフトの設定だけで対応できる場合と、DNS・外部配信サービス・フォームまで調べる場合では作業量が違います。原因が分からない段階では、まず調査範囲を決めることが大切です。

既存契約に含まれる機能を使えるかを先に調べ、新しい有料サービスを追加する必要がある場合は、設定作業の費用とサービス利用料を分けて確認します。調査だけで終える場合の費用、追加作業が必要になったときの承認方法、運用開始後の調整範囲も見積もりに入れておくと安心です。

直接届く迷惑メールは、受信側の設定と隔離先を見直す

メールソフトとメールサービスの管理画面を区別する

OutlookやThunderbirdなどのメールソフトは、契約先のメールを読むための窓口です。「Outlookを使っている」だけでは、メールを受信するサービスまで分かりません。Microsoft 365、Google Workspace、レンタルサーバーのメールなど、実際の契約先を確認しましょう。Webサイトのサーバーとメールの管理先が違う構成もあります。

特定のパソコンだけに振り分けルールを作った場合、そのパソコンを起動していない時間や、スマートフォンで見るときに同じ処理になるとは限りません。会社全体で減らしたいなら、サーバー側のフィルターと各端末のルールの役割を整理します。どちらで判定・移動したかが分かると、誤判定を直す場所も絞れます。

判定の強さより先に、判定後の処理を確認する

迷惑メールと判定した後に、件名へ印を付ける、迷惑メールフォルダーへ移す、隔離する、拒否するなど、サービスによって処理が異なります。フィルターが有効でも、通常の受信トレイに残す設定なら、担当者の画面では減って見えません。検知されているかと、見える場所が変わるかを別々に確認します。

エックスサーバーの公式マニュアルでは、迷惑メールの検知時にどう扱うかを設定でき、処理内容によって後続の転送や自動応答の対象から外れることも説明されています。取引先への転送や受付の自動返信を使っている会社では、保存先だけでなく後続処理への影響も確認してください。

出典：エックスサーバー公式：迷惑メールフィルタ設定

Microsoft 365にも、スパムやフィッシングなどの判定に応じた処理があります。利用プラン、管理権限、適用されているポリシーによって確認できる項目が変わるため、普段のメールソフトの画面だけで設定が終わったと考えず、管理者側の適用状況まで確認します。

出典：Microsoft公式：クラウド組織のスパム対策保護

許可・拒否ルールを増やす前に、既存ルールを点検する

取引先のメールが届かない問題を避けようとして、広い範囲を「必ず許可」にしていると、期待した判定を通らない場合があります。反対に、件名の単語、海外からのメール、フリーメールという理由だけで拒否すると、必要な連絡も巻き込みます。ルールを追加する前に、過去に誰が何のために作った条件なのかを確認しましょう。

DMARCでできること・できないことを理解する

自社ドメインをかたるメールの判断材料を受信側へ伝える

DMARC（ディーマーク）は、メールの差出人として表示されるドメインと、SPFまたはDKIMで認証されたドメインの整合性を確認する仕組みです。SPFは送信元サーバーを、DKIMは電子署名を使った検証を担います。DMARCでは、どちらかの認証が成功し、その認証ドメインが差出人のドメインと定められた条件で整合していることが必要です。

ドメインの管理者はDNSにポリシーを公開し、DMARCに失敗したメールをどのように扱ってほしいかを受信側へ伝えます。最終的な処理は受信側の判断や設定にも左右されます。自社の正規メールを受信者が判断しやすくする仕組みであり、相手の受信トレイへの到達を保証するものではありません。

出典：IETF：DMARC仕様（RFC 9989）

自社のDMARC設定と、外部メールの受信判定は別

自社ドメインにDMARCを設定することと、受信サービスが外部から届くメールのDMARC結果を使って判定することは別です。前者は自社の差出人ドメインを守るための設定、後者は受信する側の仕組みです。「DMARCを設定した」と説明するときは、どちらを変更したのかを明確にします。

また、差出人の表示名だけを社長や会社名に変えたメール、よく似た別のドメインを使うメールは、自社ドメインのDMARCだけでは防げません。攻撃者が管理するドメインで認証に成功したメールでも、内容が安全とは限りません。送信者の認証と、本文・リンク・添付ファイルの安全性は別の確認が必要です。

出典：フィッシング対策協議会：なりすまし送信メール対策

DMARC設定後に迷惑メールが減ったら、何が変わったか確認する

当社でもDMARCの設定後に、迷惑メールの受信状況が改善したと感じたことが、本記事を作成するきっかけになりました。ただし、体感だけでDMARCの効果と断定したり、他社でも同じ割合で減ると案内したりはしていません。

確認する際は、変更前後の同じ長さの期間で、受信トレイに残った迷惑メール、隔離されたメール、自社ドメインをかたるメール、必要な連絡の誤判定を分けます。受信側の機能更新や別のルール変更、送信される量の変動が重なっていることもあります。DMARCレポートも、自社の受信箱に来る全迷惑メールを数える資料ではありません。

SPF・DKIM・DMARCは、正規の送信経路を整理してから設定する

社員のメール以外に、フォームや請求サービスも確認する

会社のドメインを使ってメールを送るのは、社員のメールソフトだけではありません。お問い合わせフォーム、予約システム、採用管理、請求書サービス、メール配信ツール、複合機なども候補になります。利用部門ごとに「どのサービスが、どの差出人アドレスで、誰に送っているか」を確認してください。

例えば、社員の送信だけを確認してDMARCの拒否ポリシーを設定すると、別サービスから送る請求書や自動返信が認証条件を満たしていないことを見落とす可能性があります。頻繁に送るメールだけでなく、月末にしか使わない経路も一覧に含めます。担当者が退職して構成が分からない場合は、推測で消さずに利用部門と管理会社を照合します。

Googleの公式手順でも、第三者のサービスから送るメールが適切に認証されるかを確認するよう案内されています。サービスごとの公式手順を確認し、DNSの管理先と送信サービスの設定先を取り違えないことが大切です。

出典：Google公式：DMARCを設定する

ポリシーは監視から始め、通常業務のメールを確認する

監視用ポリシーを置くだけで受信箱の迷惑メールが消えるわけではありません。レポートを受け取る設定と確認担当を決め、正規のサービスが意図どおり認証されるかを見ます。観測期間は日数だけで決めず、通常の業務サイクルを含めて判断します。月次請求などの経路は、別途テスト送信で確認する方法もあります。

GoogleはDMARCを段階的に導入することを推奨しています。具体的なDNS値や適用方法は利用サービスの現行仕様に合わせて決め、説明用の設定例をそのまま本番へコピーしないようにします。変更前の値と、問題が起きた場合に戻す担当・手順を残してください。

出典：Google公式：推奨されるDMARCの導入手順

フォーム通知と自動返信の認証も確認する

お問い合わせフォームでは、管理者へ届く通知と、お客様へ送る自動返信が別の経路・差出人になっている場合があります。管理者通知が届くという理由だけで、自動返信も正常だとは判断できません。送信者欄に入力者のアドレスをそのまま使っている構成では、送信認証との関係も確認します。

フォーム送信後のメールが届かない問題は、WordPressのお問い合わせメールが届かないときの確認手順で解説しています。迷惑投稿を減らす作業と、正規の通知を確実に確認できるようにする作業を一緒に検討しましょう。

フォーム営業メールは、メール設定だけでは解決しない

フォームの通知メールは、自社のWebサーバーや契約中のフォームサービスが送信します。そのため、営業目的の入力内容でも送信元の認証に成功することがあります。自社のDMARCを設定しただけで、その文章が営業目的か、お客様の相談かを判定できるわけではありません。

フォームの問題では、営業送信を控えてもらう案内、自動投稿への対策、内容の判定、受付後の分類を組み合わせます。ボット対策が有効でも、人が入力する売り込みが残る場合があります。逆に「提案」「見積もり」などの語をすべて拒否すると、自社へ依頼したいお客様の文面を止めかねません。

当社の既存記事では、自社フォームに実装した案内とルールに基づく内容判定を紹介しています。フォーム側の改修を検討する方は、前半の関連リンクから具体的な対策をご確認ください。直接受信とフォーム経由が混在している場合は、最初の調査で両方を仕分けて対応範囲を決めます。

なお、Webサイト上からメールアドレスの表記を消しただけでは、すでに知られたアドレスへの送信は止まりません。フォームへ集約する場合も、既存取引先の連絡方法、緊急時の窓口、フォーム自体の迷惑投稿対策を合わせて考えます。アドレス変更は、業務連絡や各サービスへの登録変更まで含む作業です。

必要なメールを止めないための確認手順

変更前に、必ず通したいメールを具体的に決める

「メールが届けば完了」では確認が足りません。既存取引先、新規のお客様、採用応募、請求書、パスワード再設定など、業務で使うメールを一覧にします。Webフォームは管理者通知と自動返信を別項目にし、転送先がある場合はそこまで届くかも確認します。

検証のために実際の取引先へ突然メールを送る必要はありません。社内で管理するテスト用アドレスや、事前に合意した確認先を使い、件名にテストであることを示して実施します。本文・添付・宛先は個人情報や業務機密を含めない内容にします。通常業務でしか確認できない経路は、その担当者と日程を決めます。

隔離を確認する担当と、戻す条件を決める

隔離したメールを誰も見なければ、誤判定された問い合わせを見逃します。導入直後は確認の頻度を決め、必要なメールが見つかったときの連絡先と復旧手順を共有します。保管期限、本人が解除できる範囲、管理者の承認が必要な範囲はサービスごとに確認してください。

重要な連絡が届かなくなったときは、変更した項目と発生時刻を照合します。設定を複数同時に変えると原因が分かりにくくなるため、可能な範囲で段階的に変更します。受信拒否で内容を残せない方式へ進める場合は、調査に使える記録と、配送エラーの確認方法も決めておきましょう。

なりすましとアカウントの不正利用を混同しない

自社の名前を使う不審なメールがあるだけでは、アカウントが乗っ取られたとは断定できません。一方、正規アカウントから身に覚えのない送信がある場合は、迷惑メールの振り分けだけで終えず、管理者へ連絡してログイン・送信履歴や転送設定を調べる必要があります。

送金先の変更や認証情報の入力を求められたときは、そのメールへの返信だけで真偽を確かめず、以前から把握している電話番号など別の経路で確認します。IPAも、企業を狙うメール攻撃と対策を公開しています。自社の認証設定が整っていても、業務上の確認手順は続けてください。

出典：IPA：企業組織を狙うメールを悪用した攻撃の手口と対策

迷惑メール対策を依頼するときの流れと準備

原因を特定してからでなければ相談できない、ということはありません。「会社の代表アドレスに直接来る」「フォーム通知の中に営業が多い」「設定を変えてから請求書が届かない」など、起きていることを伝えると、調べる範囲を相談できます。

1. 症状と管理先を整理：対象アドレス、利用サービス、発生時期、影響している部署を確認します。
2. 調査範囲と見積もりを決定：受信設定、認証、フォームのどこを調べるかと、対応可否・費用を整理します。
3. 変更方法を合意：対象設定、作業日時、確認担当、問題が出た場合の戻し方を決めます。
4. 設定・改修と検証：合意した範囲を変更し、迷惑メールの扱いと通常メールの到達を確認します。
5. 運用を引き継ぎ：変更内容、確認先、誤判定への対応、継続監視の有無を共有します。

期間は、管理権限の確認、既存管理会社との調整、DNSの反映、通常業務の送信確認などで変わります。設定作業が短時間で終わっても、認証レポートや月次のメールを確認する期間は別です。相談時には「設定を変える日」と「運用を確認して区切る日」を分けて予定を決めます。

相談時は、分かる情報から伝えればよい

準備するとよいのは、メールサービス名、対象ドメイン、影響するアドレスや人数、いつから増えたか、既存の管理会社、直前に変更した設定です。フォームも関係する場合は、そのページのURLを添えます。詳しい仕組みが分からなければ、契約サービス名や症状だけでも調査の入口になります。

通常のお問い合わせ欄に、パスワード、認証コード、秘密鍵、取引先のメール全文を入力する必要はありません。ヘッダーやログが必要な場合は、共有範囲と方法を相談したうえで取り扱います。画面を共有するときも、顧客名や本文など調査に不要な情報を隠してください。

相談メモの記入例（架空の例）

「代表アドレスで迷惑メールの確認に時間がかかっています。メールはレンタルサーバー、閲覧はOutlookです。問い合わせフォームの通知も同じ宛先で受けています。直接届くメールとフォーム通知の切り分け、受信設定とDMARCの確認を希望します。お客様のメールを止めない検証と、設定後の確認方法まで相談したいです。DNSの管理先は現在確認中です。」

対策後は、迷惑メールと必要なメールの両方で評価する

対策の効果は、受信トレイの件数だけでは判断できません。迷惑メールが隔離へ移ったのか、送信量自体が少なかったのか、必要なメールまで止まっていないかを合わせて確認します。受信設定を変えた日と、変更した内容を記録し、同じ対象・同じ長さの期間で比べましょう。

社内の記録は、日付、対象アドレス、受信トレイに残った迷惑メールの件数、隔離件数、必要なメールの誤判定、確認にかかった時間を列にするだけでも始められます。自社ドメインをかたるメールを調べる場合は、認証レポートの確認結果を別欄に残し、受信件数と混ぜないようにします。

例えば「受信トレイの迷惑メールは減ったが、毎日の隔離確認に同じ時間がかかる」なら、振り分けの精度や確認方法に改善の余地があります。「件数は同じでも、お客様の相談を探しやすくなった」なら、業務上の効果があります。最初に決めた目的に沿って評価し、削減率だけを追わないことが重要です。

新しいメール配信ツールの導入、フォームの変更、サーバー移行、担当者の交代は再確認のタイミングです。サービスを追加した後に認証条件を満たしているか、隔離の通知先が古い担当者のままになっていないかを確認します。設定値と管理先を社内へ残せば、次の変更時にも対応しやすくなります。

迷惑メールが減ると社内事務の生産性はどのくらい上がる？20人の会社の試算例

迷惑メールが来なければ、仕分けや削除に使っていた時間を、顧客対応・請求処理・資料作成などに回せます。例えば、メールを確認する社員が20人、1人に届く迷惑メールが1日20通、1通の判別・削除に15秒、月の稼働日が20日と仮定します。以下は効果を考えるための架空の試算であり、当社の導入実績や削減保証ではありません。

計算式は「1人1日あたりの削減通数 × 1通の処理秒数 × 人数 × 稼働日数 ÷ 3,600」です。15通減なら、15 × 15秒 × 20人 × 20日 ÷ 3,600 ＝ 月25時間となります。作業時間を1時間2,500円と仮定して金額換算すると、月62,500円相当です。ただし、これは時間の価値を比べる目安で、給与や支出がそのまま減るという意味ではありません。

受信トレイから消えても、隔離フォルダーの点検や誤判定への対応に時間がかかる場合があります。例えば、会社全体の追加点検が1日10分なら、月3時間20分を差し引き、実質的に確保できる時間は月21時間40分です。初期設定・調査の費用と、毎月の確認負担も分けて判断します。

この例では迷惑メールの確認作業を75％短縮できますが、会社全体の生産性が75％上がるわけではありません。同じ勤務時間で処理できた請求書や回答できた問い合わせが増えたか、処理待ちが短くなったかを確認して、事務の生産性向上を評価しましょう。自社の人数・件数・処理時間に置き換えると、対策にかける費用と期待する効果を相談しやすくなります。

よくある質問

DMARCを設定すれば、会社に届く迷惑メールはすべて減りますか？

自社ドメインへのDMARC設定は、主にそのドメインを差出人に使うなりすましへの対策です。外部から届く迷惑メール全般は、受信側のフィルターや隔離の運用を合わせて見直す必要があります。

SPF・DKIM・DMARCはどれか1つだけで十分ですか？

役割が異なります。DMARCでは、SPFまたはDKIMの認証成功に加え、その認証ドメインと差出人ドメインの整合性が必要です。実際の導入では送信に使う各サービスを確認し、対応するSPF・DKIMとDMARCを適切に組み合わせます。

迷惑メールを完全にゼロにできますか？

完全な排除は保証できません。受信トレイに残る迷惑メールと確認負担を減らし、必要なメールの誤判定を抑えることを目標に、受信設定・認証・フォーム・運用を組み合わせます。

問い合わせフォームの営業メールにもDMARCは有効ですか？

フォームの入力内容が営業目的かどうかをDMARCで判定することはできません。フォーム通知が正規の送信元として認証される場合もあるため、入力画面の案内、ボット対策、内容判定などをフォーム側で検討します。

迷惑メール対策の依頼費用と期間はどのくらいですか？

対象ドメインやアカウント数、管理権限、送信サービス、フォーム改修の有無などで変わるため、現状確認後に個別にお見積もりします。設定作業と、その後の通常メール・認証レポートの確認期間は分けてご案内します。

他社管理のメールや、原因が分からない状態でも相談できますか？

ご相談いただけます。利用サービス、対象アドレスの症状、発生時期、フォームのURLなどを分かる範囲でお知らせください。契約・構成・管理権限を確認し、調査や設定変更の対応可否をご案内します。

会社の迷惑メール対策はファーストネットジャパンへ

ファーストネットジャパンは、1998年創業、4,000件超の制作実績を持つ大阪市中央区のWeb制作会社です。この実績数はWeb関連の制作全体であり、迷惑メール対策だけの導入件数ではありません。ホームページと周辺の運用環境を確認し、業務に合う改善方法をご提案します。

迷惑メールのご相談では、利用中のメールサービス、直接受信とフォーム通知の違い、送信認証の状態、管理権限を確認します。そのうえで、受信設定の見直し、SPF・DKIM・DMARCの設定支援、必要に応じたフォーム改修、通常メールの確認まで、今回の対応範囲を整理します。

他社が管理する環境も、契約・構成・権限を確認して対応可否をご案内します。サービス提供元の権限が必要な操作や、既存管理会社の担当範囲は、調整が必要になることがあります。設定だけのスポット対応と、継続的な確認・調整のどちらが必要かも相談時に決められます。

「DMARCを設定したい」「迷惑メールが多いが原因は分からない」「営業メール対策で本来の問い合わせを止めたくない」という段階からご相談ください。Webサイト側を含む運用については、ホームページ保守・管理サービスでもご案内しています。

この記事の監修者

齊藤 真也

株式会社ファーストネットジャパン 代表取締役

1998 年創業時からアプリ開発・Web マーケティング・フルリモート SES・ホームページ制作・翻訳・グラフィックデザインなど幅広い IT／クリエイティブ領域を手がけ、4,000 件超のプロジェクトを統括。セキュリティ対策・SEO・システム開発から中小企業のWeb戦略支援まで、技術とデザインの両面でクライアントの課題解決を27年以上にわたり支援してきた。
大阪本社・東京オフィスの2拠点体制で、全国の企業のデジタル化をサポート。
高松市出身。座右の銘は「圧倒的努力」。