SPF、DKIM、DMARCをわかりやすく解説：ストアオーナーのためのメール認証

SPF、DKIM、DMARCは、メールが本当に自社ドメインから送られたことを証明する3つのDNSレコードです。これらがないと、誰でもストアを名乗ってメールを送れてしまい、受信トレイの提供会社は本物のニュースレターと詐欺を見分けられません。今ではGmail、Yahoo、Outlookがバルク送信者に求めているため、メールマーケティングを行うストアにとって、もはや任意ではありません。

このガイドでは、各レコードをわかりやすく説明し、実際の形を示し、設定手順を順に紹介して、多くの人がつまずくアライメントについても解説します。最後に、一部の受信トレイでロゴを表示する新しい標準、BIMIを取り上げます。

SPF（Sender Policy Framework）は、自社ドメインのメールを送ることを許可されたサーバーとサービスの一覧です。メッセージが届くと、受信側のサーバーは、送信元のサーバーが一覧にあるかどうかを確認します。シンプルなSPFレコードは次のような形です。

v=spf1 include:_spf.google.com include:sendingservice.example ~all

• v=spf1：このレコードがSPFであることを示します。
• include:：メールボックスの提供会社やメールマーケティングツールなど、別のサービスのサーバー一覧を追加します。
• ~allまたは-all：それ以外すべての扱いを示します。~allは「ソフトフェイル」（疑わしいものとして扱う）、-allは「フェイル」です。

多くの人がつまずくルールが2つあります。ひとつは、SPFレコードは1ドメインに1つしか持てないことです。新しいサービスは、2つ目を作らず既存のレコードに追加してください。もうひとつは、SPFで許されるDNSルックアップが最大10回であることです。標準であるRFC 7208のセクション4.6.4は、実装がinclude、a、mx、ptr、existsの各メカニズムとredirect修飾子を10回までに制限しなければならないと定めており、超えると恒久的なエラーが返ります。includeはすべて数えられ、includeの中にさらにincludeが含まれることもあるため、長いレコードは気づかないうちに壊れます。

DKIM（DomainKeys Identified Mail）は、各メールにデジタル署名を追加します。送信サービスが秘密鍵でメッセージに署名し、対応する公開鍵をDNSに公開します。受信側はそれを使って、署名が有効で、メッセージが途中で変更されていないことを確認します。

レコードは「セレクター」の下に置きます。セレクターは送信サービスが選ぶ名前で、たとえばs1._domainkey.yourstore.comのような形です。送信に使うサービスごとに固有のセレクターがあるため、複数のDKIMレコードがあっても競合しません。公開すべき正確な名前と値は、メールツールが教えてくれます。

DMARC（Domain-based Message Authentication, Reporting and Conformance）は、SPFとDKIMをFrom行に表示されるアドレスに結びつけ、失敗したメールの扱いを受信側に伝え、レポートの送信を依頼します。最初のレコードは次のような形です。

v=DMARC1; p=none; rua=mailto:dmarc-reports@yourstore.com

• p=none：監視のみです。受信側は通常どおり配信し、レポートを送ります。Gmail、Yahoo、Outlookは、これをバルク送信者の最低条件として認めています。
• p=quarantine：失敗したメールは迷惑メールに入ります。
• p=reject：失敗したメールは拒否されます。
• rua=：毎日の集計レポートの送付先です。誰が自社ドメインとしてメールを送っていて、合格しているかどうかがわかります。

まずp=noneから始め、数週間レポートを読んで、自社として送信しているサービス（ストア、ヘルプデスク、請求書ツール）をすべて見つけます。失敗しているものを直してから、quarantineへ、その後rejectへ移行しましょう。いきなりrejectにすると、自社の正当なメールまでブロックされることがあります。

DMARCに合格するのは、SPFまたはDKIMが合格し、かつチェックされたドメインがFromアドレスのドメインと一致する場合だけです。これをアライメントと呼びます。Fromアドレスがyourstore.comなら、メッセージがメールツールのドメインでSPFに合格しても、DMARCには失敗することがあります。よくある解決策は、自社ドメインでのDKIM署名です。メールツールから渡されるDKIMレコードを追加すれば設定されます。Gmailの送信者ガイドラインは、バルク送信者のFromドメインがSPFまたはDKIMとアライメントすることを求めています。

• 自社ドメインとしてメールを送るサービスをすべて書き出します。メールボックスの提供会社、ストアのプラットフォーム、メールマーケティングツール、ヘルプデスク、請求書ツールなどです。
• DNSホスト（多くの場合はドメインレジストラまたはCloudflare）で、SPFのTXTレコードを見つけるか作成し、各サービスをincludeします。レコードは1つにし、ルックアップの回数を数えます。
• 各送信サービスから渡されるDKIMレコードを追加します。
• _dmarcに、p=noneとレポートの送付先アドレスを指定したDMARCレコードを追加します。
• Gmailにテストメールを送り、「メッセージのソースを表示」を開いて、SPF、DKIM、DMARCがすべてPASSであることを確認します。
• 数週間DMARCレポートを読み、失敗しているものを直してから、ポリシーを厳しくします。

DNSの変更がすべての場所に反映されるまでには時間がかかることがあります。公開した直後にチェックが失敗しても、レコードを変更する前に、少し待ってからもう一度試してください。

BIMI（Brand Indicators for Message Identification）を使うと、対応している受信トレイでメールの横にロゴを表示できます。DMARCを置き換えるものではなく、その上に成り立つものです。2026年10月19日に確認したGoogleのBIMI設定ガイドによると、Gmailには次のものが必要です。

• pctを100に設定した、quarantineまたはrejectのDMARCポリシー。監視のみ（p=none）は対象になりません。
• 商標登録されたロゴが必要なVerified Mark Certificate（VMC）、またはロゴが商標登録されていない場合のCommon Mark Certificate（CMC）。
• SVG Tiny Portable/Secure（SVG Tiny PS）形式で、96×96ピクセル以上のロゴ。

BIMIは、すでに厳格なDMARCを設定していて、さらに認知度を高めたいブランドには価値があります。ほとんどのストアでは、SPF、DKIM、DMARCを正しく設定することが先です。SmartyTapはBIMIを代わりに設定しません。BIMIレコードと証明書は、DNSホストと証明書の提供会社で公開していただくことになります。

SmartyTapで送信ドメインを追加すると、公開すべきDKIMレコードを案内し、ドメインのDNSレコード（DKIMとDMARCを含む）をチェックして、まだ直す必要がある点を知らせます。新しい送信ドメインはその後ウォームアップのスケジュールに沿って進み、ワンクリック配信停止と、バウンスおよび迷惑メール報告の自動の配信除外が組み込まれています。ドキュメントのメールドメインの認証をご覧ください。

SmartyTap Starterは月額US$20で、連絡先2,500件、メール25,000通、SMSクレジット/セグメント250です。Proは月額US$199（または年額US$1,990）で、連絡先25,000件、メール250,000通、SMSクレジット/セグメント2,500です。1クレジットで1セグメントを送信でき、料金は2セントです。新しいワークスペースで送信するには有料プランが必要で、無料トライアルはありません。SmartyTapの料金プランをご覧ください。

用語集：SPF、DKIM、DMARC、BIMI。次に読む：メール到達率ガイド、メールリストのクリーニング方法、Shopifyのメールマーケティング、ブラックフライデーのメールとSMSのチェックリスト。

SPFは、自社ドメインのメールを送れるサーバーの一覧です。DKIMは、各メッセージに署名し、受信側がそのメッセージが自社ドメインから変更なしで届いたことを確認できるようにします。DMARCは、そのどちらかがFromアドレスと一致するかを確認し、一致しないときの扱いを受信側に伝え、レポートを送ります。

バルク送信をするなら、はい。Gmail、Yahoo、Outlookはバルク送信者にSPF、DKIM、DMARCレコード（少なくともp=none）を求めています（2026年10月19日確認）。送信量の少ない送信者にとっても、3つすべてが受信トレイへの到達を改善します。

いいえ。1つのドメインに置くSPFレコードは1つだけにしてください。2つあるとSPFが失敗します。すべてのサービスを1つのレコードにまとめ、DNSルックアップは10回以内に収めましょう。

p=noneとレポートの送付先アドレスから始めます。正当なメールがすべて合格しているとレポートで確認できたら、p=quarantineへ、その後p=rejectへ移行します。