Certadomain
ドメインを総合診断する
ガイド ／ 診断結果の項目一覧

診断結果の項目一覧：各コードの意味と対処法

診断結果に出てくる項目名の意味と、次にやることを、分野別にまとめた用語集です。

公開: 2026年11月13日

診断ツールの結果に表示される項目（コード）を、メール認証、DNS、登録情報、フィッシング判定、乗っ取り診断、類似ドメイン検出に分けて、意味と対処法を一覧にしました。結果画面の項目名で、このページ内を検索すると、該当の説明が見つかります。

項目には、緊急に対応すべきもの（重大）、確認が必要なもの（注意）、状況を知らせるもの（情報・良好）があります。すべてを機械的に「直す」のではなく、自社の運用に合っているかを考えながら、優先順位を付けてください。

SPF（送信元の許可リスト）

SPFは「このドメインのメールを送ってよいサーバー」をDNSに公開する仕組みです。詳しくはSPFとは、SPFの10回制限をご覧ください。

項目意味対処
SPF_MISSINGSPFレコードがありません。受信側が、送信元の正当性を検証できません。利用している送信サービスを洗い出し、v=spf1で始まるTXTレコードを1つ作成します。
SPF_MULTIPLESPFレコードが複数あります。仕様違反で、SPFが無効になります。1つのレコードにまとめ、不要なものを削除します。
SPF_PASS_ALL末尾が+allで、誰でもそのドメインを名乗って送信できる状態です。至急、-allまたは~allに修正します。
SPF_NEUTRAL_ALL末尾が?all（neutral）で、検証が実質的に効いていません。送信元が整理できていれば、-allまたは~allにします。
SPF_NO_ALL末尾のallがなく、判定が曖昧です。末尾に-all（推奨）または~allを追加します。
SPF_LOOKUP_OKDNSルックアップ数が、上限（10回）に対して余裕のある範囲です。対応は不要です。送信サービスを増やす際に再確認します。
SPF_LOOKUP_WARNルックアップ数が上限に近づいています。サービスを足すと超過します。不要なincludeを削除するか、サブドメインに分けます。
SPF_LOOKUP_EXCEEDEDルックアップ数が10回を超えています。SPFがpermerrorになり、認証が壊れています。SPFの10回制限の手順で、ルックアップを減らします。
SPF_VOID_LOOKUPS存在しない名前への参照（void lookup）があります。使われていないサービスのincludeや、削除済みのホストの参照を削除します。

DKIM（電子署名）

DKIMは、メールに電子署名を付けて、改ざんと送信元の詐称を検出する仕組みです。詳しくはDKIMとはをご覧ください。

項目意味対処
DKIM_FOUNDDKIMの公開鍵（セレクタ）を確認できました。対応は不要です。実際のメールの署名で、dkim=passになっているかも確認します。
DKIM_NONE_COMMONよく使われるセレクタ名では、DKIMを確認できませんでした。セレクタは任意の名前のため、未設定とは断定できません。実際に送ったメールのヘッダーで、セレクタ名（s=）を確認し、DNSの公開鍵が登録されているかを見ます。

DMARC（なりすまし時の扱い）

DMARCは、SPF・DKIMの結果をふまえて、なりすましメールの扱いを指示する仕組みです。詳しくはDMARCとは、DMARCレポートの読み方をご覧ください。

項目意味対処
DMARC_MISSINGDMARCレコードがありません。なりすましメールを拒否できず、大手プロバイダの一括送信者要件も満たしません。まずp=noneとruaを設定し、レポートを集めます。
DMARC_MULTIPLEDMARCレコードが複数あり、無効です。1つにまとめます。
DMARC_POLICY_INVALIDDMARCのポリシー（p=）の値が正しくありません。none、quarantine、rejectのいずれかに修正します。
DMARC_POLICY_NONEポリシーがp=noneで、監視のみです。なりすましメールはまだ拒否されません。レポートを確認し、段階的にrejectへ進めます。
DMARC_POLICY_QUARANTINEポリシーがp=quarantineで、なりすましは迷惑メール扱いになります。問題がなければ、p=rejectへの引き上げを検討します。
DMARC_POLICY_REJECTポリシーがp=rejectで、なりすましメールは拒否されます。最も保護された状態です。対応は不要です。送信サービスを追加するときは、認証の設定も合わせます。
DMARC_PCT_PARTIALポリシーの適用率（pct）が100%未満に絞られています。段階導入の途中であれば問題ありません。完了したら100%にします。
DMARC_NO_RUA集計レポートの送信先（rua）がなく、誰がドメインを名乗って送っているか把握できません。rua=mailto:...を追加します。
DMARC_INHERITED_NONEサブドメイン自体にはDMARCレコードがなく、組織ドメインのポリシー（p=none）を引き継いでいます。組織ドメインのポリシーを引き上げます。
DMARC_INHERITED_QUARANTINE組織ドメインのポリシー（p=quarantine）を引き継いでいます。必要に応じて、rejectへの引き上げを検討します。
DMARC_INHERITED_REJECT組織ドメインのポリシー（p=reject）を引き継いでいます。対応は不要です。

MX（メールの受信先）

MXレコードは、そのドメイン宛のメールを受け取るサーバーを示します。

項目意味対処
MX_FOUNDMXレコードを確認できました。対応は不要です。
MX_MISSINGMXレコードがありません。このドメインは、メールを受信しない設定の可能性があります。メールを使うドメインなら、MXを設定します。使わないドメインなら、問題ありません。
NO_MX（フィッシング判定）MXレコードがなく、メール受信を設定していないドメインです。判定材料のひとつです。単独では、問題とは限りません。
MX_UNRESOLVEDMXの宛先のIPアドレスが引けません。MXのホスト名の綴りと、そのホストのAレコードを確認します。
MX_ALL_UNRESOLVEDすべてのMXの宛先が引けず、メールを受信できません。至急、MXの宛先を修正します。
MX_CNAMEMXの宛先がCNAMEになっています。仕様違反で、メールが届かないことがあります。MXの宛先は、AまたはAAAAレコードを持つホスト名に直します。

ネームサーバー（NS）

ドメインの名前解決を担当するサーバーの設定です。詳しくはネームサーバーの冗長化をご覧ください。

項目意味対処
NS_NONEネームサーバーが見つかりません。ドメインが存在しないか、委任が設定されていません。レジストラで、ネームサーバーの設定を確認します。
NS_SINGLEネームサーバーが1台だけです。障害時に、ドメイン全体が引けなくなります。2台以上（できれば別のネットワーク）にします。
NS_COUNT_OKネームサーバーが複数台あり、冗長化されています。対応は不要です。
NS_SAME_NETWORKすべてのネームサーバーが、同じネットワーク（/24）にあります。別のネットワークのネームサーバーを追加します。
NS_DIVERSITY_OKネームサーバーが、複数の異なるネットワークに分散されています。対応は不要です。
NS_NO_IPV6IPv6アドレスを持つネームサーバーがありません（任意の項目です）。DNSプロバイダがIPv6に対応していれば、有効にします。
NS_UNRESOLVEDネームサーバーのIPアドレスが引けません。ネームサーバーのホスト名の綴りと、そのAレコードを確認します。
NS_UNREACHABLEネームサーバーから応答がありません（タイムアウト）。停止中か、遮断されている可能性があります。サーバーの稼働とファイアウォールの設定を確認します。
NS_PRIVATE_ADDRESSネームサーバーが、プライベートIPアドレスを指しており、インターネットから到達できません。公開のアドレスに修正します。
NS_LAMEネームサーバーが、このゾーンに対して権威のある応答をしません（lame delegation）。そのサーバー上のゾーンの有無を確認し、委任から外すか、ゾーンを復旧します。
NS_DELEGATION_MISMATCH親ゾーンの委任（レジストラの設定）と、ゾーン側のNSレコードが一致していません。両者を同じ内容に揃えます。
NS_SOA_MISMATCH同じプロバイダのネームサーバー間で、SOAシリアルが一致していません。ゾーン転送の遅れや失敗がないか確認します。
NS_SOA_DIFFERSネームサーバー間でSOAシリアルが異なります。複数のDNSプロバイダを併用している場合は正常です。併用していなければ、設定を確認します。
NS_DOMAIN_UNREGISTEREDネームサーバー名のドメインが登録されていません。第三者に取得されると、DNSを乗っ取られるおそれがあります。至急、ネームサーバーの指定を見直します。

DNSSECとCAA

DNS応答の検証と、証明書の発行元の制限です。詳しくはDNSSECとCAAをご覧ください。

項目意味対処
DNSSEC_VALIDDNSSECが有効で、署名の検証に成功しています。対応は不要です。鍵の期限や、更新の運用を確認します。
DNSSEC_OFFDNSSECは有効ではありません（導入は任意です）。必要に応じて、導入を検討します。
DNSSEC_NO_DSゾーンは署名されていますが、親ゾーンにDSレコードが登録されていないため、DNSSECが機能していません。レジストラで、DSレコードを登録します。
DNSSEC_DS_WITHOUT_DNSKEY親ゾーンにDSがあるのに、ゾーンにDNSKEYがありません。ドメインが引けなくなる恐れがあります。至急、DNSプロバイダで署名を有効にするか、DSを削除します。
DNSSEC_BROKENDNSSECの署名の検証に失敗しています。検証を行うリゾルバーから、ドメインが引けなくなっている可能性があります。至急、DSレコードと署名の状態を確認します。
DNSSEC_UNVERIFIEDDS/DNSKEYの設定はありますが、検証結果を確認できませんでした。時間をおいて再確認するか、別の検証ツールで確認します。
CAA_PRESENTCAAレコードで、証明書の発行元が制限されています。使っている認証局が、許可リストに含まれているかを確認します。
CAA_MISSINGCAAレコードがありません（任意の項目です）。設定すると、意図しない認証局による発行を減らせます。

ドメイン登録情報

有効期限と、不正な移管を防ぐロックの状態です。詳しくはドメインの失効と移管ロックをご覧ください。

項目意味対処
REG_EXPIRY_OK有効期限まで、十分な日数があります。対応は不要です。自動更新が有効かも確認します。
REG_EXPIRES_SOON有効期限が近づいています。更新の手続きと、自動更新・支払い方法を確認します。
REG_EXPIREDドメインの有効期限が切れています。至急、レジストラで更新します。
REG_LOCKEDドメインロック（移管ロック）が有効です。対応は不要です。
REG_NO_LOCKドメインロックが有効ではありません。レジストラの管理画面で、ロックを有効にします。
REG_UNAVAILABLE登録情報を取得できませんでした（この拡張子がRDAP/WHOISに未対応、または、一時的な取得失敗）。その場合、総合診断は、メール認証のみで採点します。

フィッシングサイト判定

ドメイン名のパターンと登録日などから、フィッシングの特徴を探します。詳しくはフィッシングサイトのドメインの特徴をご覧ください。

項目意味対処
LOOKS_CLEANフィッシングの主要なパターンは検出されませんでした。安全の保証ではありません。他の情報と合わせて判断します。
DOMAIN_NEW登録から日が浅い（目安は数十日以内）ドメインです。公式を名乗るサイトなら、特に警戒します。
DOMAIN_RECENT登録から比較的日が浅いドメインです。他の特徴と合わせて判断します。
BRAND_IMPERSONATION有名なブランド名を、ドメインに含んでいます。公式のドメインかを、公式サイトの案内で確認します。
OFFICIAL_DOMAIN_IN_SUBDOMAIN公式のドメイン名を、サブドメインとして使っています。ホスト名を右から読み、所有者のドメインを確認します。
CHAR_SUBSTITUTIONブランド名に似せた、文字の置換が検出されました。綴りを1文字ずつ確認します。
SUSPICIOUS_KEYWORDloginやverifyなどの、フィッシングでよく使われる単語を含んでいます。メールのリンクではなく、公式アプリやブックマークから開きます。
SUSPICIOUS_TLD悪用の割合が高いとされるトップレベルドメインです。他の特徴と合わせて判断します。単独で悪質とは限りません。
MULTIPLE_HYPHENSハイフンの数が多いドメインです。他の特徴と合わせて判断します。
LONG_DOMAINドメイン名が不自然に長いです。他の特徴と合わせて判断します。

サブドメイン乗っ取り

削除済みのサービスや未登録のドメインを指す、宙に浮いたDNSレコードの検出です。詳しくはサブドメイン乗っ取りとはをご覧ください。

項目意味対処
DANGLING_CNAMEサブドメインのCNAMEの向き先が存在しません。使っていない設定であれば、DNSレコードを削除します。
TAKEOVER_DANGLING_SERVICEクラウドサービス上の、存在しない名前を指しています。第三者が同名のリソースを作ると、乗っ取られる可能性があります。至急、DNSレコードを削除するか、サービス側のリソースを作り直します。
TAKEOVER_UNREGISTERED_TARGET向き先のドメインが、未登録の可能性があります。取得されると乗っ取られます。WHOISやRDAPで登録状況を確認し、DNSレコードを削除します。
TAKEOVER_CANDIDATE乗っ取りが可能なサービスを指しています。DNSだけでは、乗っ取りの可否が判定できません。ブラウザで開き、エラーページが出ないかを確認します。

類似ドメイン検出

自社ドメインに似せた、登録済みのドメインの検出結果に出てくる分類です。詳しくは類似ドメインの種類をご覧ください。

項目意味対処
IDN_HOMOGRAPH別の文字種の、同形文字（IDN）を使った類似ドメインです。ピュニコード（xn--）表記で確認し、悪用されていないかを調べます。
CORP_REGISTRAR企業向けのレジストラで登録されています。防衛目的で取得された可能性があります。自社の取得分であれば、対応は不要です。
SAME_NS自社と同じネームサーバーを使っています。自社が取得した可能性が高いです。覚えがなければ、設定を確認します。

あなたのドメインを実際に確認してみる

ドメインを入力するだけで、この記事の内容を無料で確認できます。登録不要。

ドメインを総合診断する

関連記事

DMARCとは？なりすましメール対策の仕組みをやさしく解説
ネームサーバーの冗長化とlame delegation：DNS障害を防ぐ
サブドメイン乗っ取りとは？仕組み・被害・防ぎ方を整理