GoDaddyのデフォルトDMARCポリシー変更とドメインセキュリティへの影響

GoDaddyの仕様変更とドメインセキュリティ

2025年9月23日
著者: Yunes Tarada
翻訳: 東條百々朱

この記事はPowerDMARCのブログ記事 GoDaddy’s Default DMARC Policy Shift – What It Means for Your Domain Security の翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。

主なポイント

GoDaddyは現在、新規ドメインに対して、デフォルトでDMARCの「quarantine」ポリシーを適用しています。
これにより、なりすましメールが受信トレイへ直接届くリスクを抑え、メールセキュリティを強化できます。
新規ドメイン所有者にとって、DMARC導入のハードルを下げる前向きな取り組みです。
ただし、より強力な保護を実現するには、「reject」ポリシーへの移行が推奨されます。
PowerDMARCは、自動化されたDMARC運用、詳細なレポート、高度なポリシー管理機能を提供します。

サイバー犯罪者は、フィッシング、スプーフィング、その他のメールベースの攻撃を行うために、設定が不十分なドメインを継続的に悪用しています。
こうした状況を受け、世界最大級のドメインレジストラであるGoDaddyは、2025年4月から、新規登録されるすべてのドメインに対してDMARCポリシーを自動的にDNSへ追加することを発表しました。
では、この変更はドメイン所有者、MSP（マネージドサービスプロバイダ）、そしてメールセキュリティ全体にどのような影響を与えるのでしょうか。

GoDaddyのデフォルトDMARCポリシー変更とは

2025年4月以降、GoDaddyは以下のDMARC施策を導入しています。

新規登録または移管されたすべてのドメインに、デフォルトのDMARCレコードを自動設定
初期ポリシーを「quarantine」に設定し、認証に失敗したメールをスパムフォルダまたは迷惑メールフォルダへ振り分け
スプーフィング対策を強化するため、M3AAWGのベストプラクティスに準拠
既存顧客のドメインにもDMARC保護を拡張する方法を検討中

この変更がドメイン所有者にとって重要な理由

初日からドメインを保護: ドメイン所有者は、最低限のメール保護を実現するためにDMARCを手動で設定する必要がなくなります。
これにより、設定の複雑さや運用負荷を大幅に軽減できます。
特にDNS認証技術に詳しくないドメイン所有者にとって、大きなメリットとなります。
スプーフィング攻撃の削減: デフォルトで「quarantine」ポリシーが設定されることで、攻撃者がそのドメインを偽装したメールを送信しにくくなります。
「reject」ほど厳格ではありませんが、認証に失敗したメールが受信トレイへ直接届くことを防ぐ効果があります。
ベストプラクティスの普及: この取り組みによって、顧客はより強固なメールセキュリティ設定へ移行しやすくなります。

GoDaddyのDMARC「quarantine」だけでは十分ではない理由

GoDaddyのデフォルトDMARCポリシーは、DMARCをまったく導入していない状態と比べれば大きな改善です。
しかし、「quarantine」は認証に失敗したメールを隔離するだけであり、「reject」のように受信自体を拒否するものではありません。

また、多くの組織では長期間にわたって「p=none（監視モード）」を使い続けています。
この設定ではメール送信状況を把握することはできますが、スプーフィングを防止することはできません。
本格的なメールセキュリティを実現するには、組織ごとのメールインフラ、リスク許容度、ビジネス要件に合わせてDMARCポリシーを最適化する必要があります。