ネットワークツール ガイド
2026年9月23日更新
この3つのDNSレコードがないと、あなたのドメインから送ったメールはGmail、Outlook、Yahooに怪しまれ、誰でもあなたになりすませてしまいます。何も壊さずに設定する方法を紹介します。
| 仕組み | 証明すること | 設定する場所 |
|---|---|---|
| SPF | 送信サーバーが、このドメインとして送信する許可を持っている | ドメイン直下のTXTレコード |
| DKIM | メールが改ざんされておらず、署名したドメインから届いている | TXTレコード selector._domainkey.domain |
| DMARC | SPFとDKIMが失敗したときの受信側の扱いと、レポートの送り先 | TXTレコード _dmarc.domain |
2024年から、GmailとYahooは大量送信者にSPF、DKIM、DMARCを義務づけ、すべての送信者に対しても年々厳しく適用しています。認証のないドメインは、メールが届きにくくなります。
SPFレコードには、送信を許可するサーバーを並べます。メールサービスとメールマガジン配信ツールから送るドメインの例：
v=spf1 include:_spf.provider.com include:send.newsletter.com ~all
守るべきルール：
v=spf1 が2つあるとSPFは無効になります。include を1つにまとめましょう。include、a、mx はそれぞれ1回と数えます。超えるとSPFは失敗します。~all**（ソフトフェイル）で終え、送信元をすべて登録できたと確信してから -all にします。v=spf1 -all を公開すれば、なりすましを防げます。DKIMは、メールごとに秘密鍵で署名し、公開鍵をDNSに公開する仕組みです。鍵のペアは 送信サービス が作成し、レコード名（例：s1._domainkey.example.com）とその値、または作成すべきCNAMEを案内してくれます。
DKIM-Signature ヘッダーと dkim=pass の結果を確認します。DMARCは、SPFとDKIMを「差出人」欄に表示されるドメインと結び付けます。まずは監視モードから始めます。
v=DMARC1; p=none; rua=mailto:dmarc@example.com
p=none** を2〜4週間：何もブロックされませんが、あなたの名前で送信しているすべてのサーバーがレポートで届きます。忘れていたサービスが見つかることもよくあります。p=quarantine**：認証に失敗したメールは迷惑メールに振り分けられます。pct=25、50、100と段階的に上げられます。p=reject**：なりすましメールは受信拒否されます。これで保護は完全です。レポートは読みにくいXMLファイルです。少量なら無料のことが多いDMARC分析ツールを使えば、表にまとめてくれます。
当サイトのDNS検索ツールで、ドメイン、_dmarc.domain、selector._domainkey.domain のTXTレコードを調べます。次に、GmailやOutlookの受信トレイにメールを送り、メッセージのソースを表示します。Authentication-Results の行に spf=pass、dkim=pass、dmarc=pass と表示されていれば成功です。
include を重ねすぎて、SPFのDNS参照が10回を超えている。p=reject にし、正当なメールまでブロックされる。_dmarc.domain ではなく、ドメインそのものに作ってしまう。足りません。自動転送されると、転送元のサーバーが許可リストにないためSPFは失敗します。DKIMは転送後も有効です。DMARCはどちらか一方がドメインと一致すれば通りますが、両方そろえると認証が確実になります。
レコードのTTLが切れるまでの時間で、通常は数分から1時間ほどです。DMARCのレポートは、一般に1日1回届きます。
必要です。v=spf1 -all と v=DMARC1; p=reject を公開しましょう。詐欺師は、保護されていないドメインを狙ってフィッシングメールを送ります。