信頼 · Email Authentication
SPF、DKIM、DMARC 設定ガイド
メール authentication records は sender reputation の基盤です。これらがないと、送信インフラが正しくても message は filtering、reject、spam 扱いになる可能性があります。
代表的な製品 UI — 例示データであり、実際の顧客指標ではありません。
なぜ重要か
Authentication records が deliverability に重要な理由
Mailbox provider は送信インフラが domain owner により authorized されているかを評価します。SPF、DKIM、DMARC はその authorization を確立します。
これらの records が欠落または誤設定されると、provider は正規の送信サービスからの email でも unauthenticated と扱います。Deliverability monitoring は authentication 欠落を補えません。
SPF — Sender Policy Framework
SPF は特定の mail servers が domain の代わりに email を送信することを authorize します。DNS TXT record として公開されます。Receiver は送信 domain の SPF record を参照し、server が listed されていなければ SPF fails します。
送信 source 別 record 例
Sendarix SMTP relay のみ
v=spf1 include:sendarix.com ~allGmail / Google Workspace
v=spf1 include:_spf.google.com ~allMicrosoft 365 / Outlook
v=spf1 include:spf.protection.outlook.com ~allSendarix + Google の組み合わせ
v=spf1 include:sendarix.com include:_spf.google.com ~allよくある SPF ミス
- Record 内の DNS lookups が 10 を超えると、一部 receivers で
PERMERRORが発生します。 -all(fail) ではなく~all(softfail) を使うと、receiver に permissive と扱われる弱い policy になります。- Provider 変更後に sending service を忘れると、旧 provider が送信し続け SPF に失敗します。
- 独自 SPF records を持つ domains を include すると nested lookups が lookup count に追加されます。
DKIM — DomainKeys Identified Mail
DKIM は outgoing email headers に cryptographic signature を追加します。Receivers は DNS の public key で message が transit 中に変更されておらず、主張する domain から送信されたことを確認します。Selector-based record を使います（例: selector2._domainkey.example.com）。
selector2._domainkey.yoursendingdomain.com IN TXT ("v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA...")
Sendarix dashboard は各 sending domain の完全な DKIM record を提供します。
SPF がカバーするもの
- Domain のために送信を許可された servers
- Envelope MAIL FROM address の偽装
- 送信に使われる unauthorized subdomains
DKIM がカバーするもの
- Transit 中に header/body が変更されない message integrity
- Headers 内 From domain の authenticity
- Visible From address との alignment
DMARC alignment には両方が必要です。DKIM なしで SPF のみを使うと、domain は一部 spoofing attacks に脆弱です。
DMARC — Authentication, Reporting & Conformance
DMARC は SPF と DKIM を基に、authentication fails 時に receivers が何をすべきかを示し、domain の代わりに誰が送信しているかを監視する reporting を提供します。
Policy レベル
p=none — monitoring
Failures に対して action はなく、aggregate reports を受け取ります。Enforcement 前の setup audit に使います。
p=quarantine — partial
Failed messages は spam/junk に入ります。Full enforcement 前の推奨中間ステップです。
p=reject — full
Receivers は failing messages を reject します。すべての legitimate sources で SPF と DKIM が正しい場合のみ使います。
標準 DMARC record
_dmarc.yoursendingdomain.com IN TXT ("v=DMARC1; p=none; rua=mailto:dmarc-reports@yoursendingdomain.com; pct=100")
Alignment 要件
Message が DMARC を通過するには、SPF と DKIM の両方が authenticate し、少なくとも一方が visible From domain と align する必要があります。
- SPF alignment: envelope MAIL FROM domain は From header domain と一致するか、その subdomain である必要があります。
- DKIM alignment: signature 内の
d=domain は From header domain と一致するか、その subdomain である必要があります。 - 注: Bulk services で一般的な、From domain と異なる MAIL FROM domain の使用には strict alignment が必要で、なければ失敗します。
推奨設定順序
Sending sources を audit する前に full DMARC enforcement へ進むと legitimate email が reject される可能性があります。この順序で進めてください。
1. すべての sending sources を audit
Marketing tools、CRM、helpdesks、transactional services など、domain を使って送信するすべての service、server、workflow を列挙します。
2. SPF を公開
include: mechanism で sending services を追加します。10-lookup limit 未満に保つため nested includes を減らします。
3. DKIM を公開
各 service は独自 selector を提供します。Service ごとに record を追加します。Sendarix DKIM records は dashboard の domain settings にあります。
4. p=none を設定して review
2-4 週間 monitor します。rua reports で legitimate mail failing を確認し、不足する SPF/DKIM sources を修正します。
5. Quarantine から reject へ
すべての legitimate sources が authenticate したら quarantine に上げ、追加 audit period 後に reject へ進みます。
Provider 別 authentication guides
主要 mailbox provider には固有の要件があります。Sendarix sending-domain records とあわせて設定してください。
Gmail SMTP settings
Custom domains には SPF + DKIM が必要です。Bulk-sender rules には SPF、DKIM、valid From address が含まれます。
Outlook SMTP configuration
Microsoft は filtering に SPF、DKIM、そして DMARC をますます使用します。Office 365 senders には別要件があります。
Yahoo SMTP settings
SPF + DKIM が必要で、一定 volume thresholds 以上では mandatory DMARC に向かっています。
Office 365 SMTP setup
Connectors には strict policies があり、deliverability 向上には DKIM signing が必要です。
Amazon SES configuration
DKIM signing は default で提供されますが、deliverability には manual SPF configuration が必要です。
SendGrid SMTP settings
Domain Authentication は manual DKIM setup を置き換えます。SPF は引き続き手動設定が必要です。
Sending domain を設定する準備はできましたか？
Sendarix は各 sending domain の DKIM records を提供し、dashboard で full authentication setup を案内します。
