お客様から「パスワード再設定のメールが届かない」と言われる。取引先が、こちらの請求書を迷惑メールフォルダで見つける。多くの場合、メールはきちんと送られています。受け取ったメールサーバーが、本当にあなたから届いたものだと確認できなかっただけです。
Gmail や Outlook などの事業者は、メールを信頼する前に、ドメインの3つの DNS レコード、SPF、DKIM、DMARC を確認します。これらが欠けていたり設定を誤っていたりすることは、正当な業務メールが迷惑メールになる最もよくある原因の一つで、同時に最も直しやすい原因の一つでもあります。
それぞれのレコードの役割
SPF は、あなたのドメインとしてメールを送ってよいサーバーの一覧です。v=spf1 で始まる TXT レコードが一つだけ存在します。
DKIM は、メールごとに署名を付けます。受け取ったサーバーは、DNS に公開された公開鍵でその署名を確認します。これで、メールが改ざんされておらず、あなたの鍵を持つ送信者から送られたことがわかります。
DMARC は、これらの確認に失敗したメールをどう扱うか、その報告をどこに送るかを受信側に伝えます。また、差出人として表示されるドメインが、SPF または DKIM で確認されたドメインと一致していることも求めます。
SPF は招待客リスト、DKIM は手紙の署名、DMARC は両方に失敗した人をどうするかを伝える受付への指示、と考えるとわかりやすいでしょう。
以前より重要になっている理由
Gmail は現在、すべての送信者に SPF または DKIM の設定を求めています。また、Gmail のアドレスに1日5,000通を超えて送る送信者には、SPF、DKIM、DMARC のすべてと、差出人ドメインの一致が必要です。Google の送信者ガイドラインには、迷惑メール率を0.3%未満に保つことを含め、要件がすべて載っています。ほかの大手事業者も同様のルールを設けています。
送信量の少ない送信者でも、フィルタの対象外になるわけではありません。これらのレコードがないドメインは、フィルタが判断するときに、信頼できる根拠が少ないというだけです。
よく見かける間違い
SPF レコードが2つある
一つのドメインに置ける SPF レコードは一つだけです。新しいサービスのために、最初のレコードに追加するのではなく2つ目を作ってしまうと、すべての送信で SPF が失敗します。送信に使うすべてのサービスを含めた一つのレコードにまとめるのが正解です。
参照回数が多すぎる
SPF の評価で使える DNS の参照は最大10回までです。メールサービス、CRM、メルマガ配信ツールの include はそれぞれ最低1回、ものによっては複数回の参照を使います。上限を超えると、すべてのサービスを記載していても SPF はエラーになります。
DKIM なしであなたの名前で送るサービス
Web サイト、予約システム、請求書ツールが、あなたのアドレスからメールを送っていることがあります。そのサービスが SPF に含まれておらず、あなたのドメインの DKIM 署名もしていなければ、そのメールは確認に失敗します。サービスごとに設定手順があり、たいていは DNS レコードをいくつかコピーするだけです。
誰も読んでいない DMARC
p=none と報告先アドレスを設定した DMARC レコードは、よい出発点です。ただし役に立つのは、誰かが報告を読み、失敗しているサービスを見つけて直し、そのうえでポリシーを quarantine や reject に進めた場合だけです。
1分でドメインを確認する
私が無料で提供しているメール到達率チェックは、現在の DNS を読み取り、利用しているメールサービス、SPF レコードとその参照回数、見つかった DKIM のセレクタ、DMARC のポリシーと報告先、MTA-STS、TLS レポート、そしてドメインが主要なブロックリストに載っていないかを表示します。結果ごとに、何を変えればよいかをわかりやすく説明します。
メールボックスの中や、受信者側の迷惑メールフィルタまでは見えません。内容、送信量、苦情の割合も届きやすさに影響します。認証は DNS で自分で管理できる部分なので、最初に取り組むのに適しています。
安全に直すための順番
あなたのドメインでメールを送っているサービスをすべて書き出します。メールボックスのサービス、Web サイト、ネットショップ、予約ツール、メルマガ、請求書の送付などです。
それらを一つの SPF レコードにまとめ、参照回数の上限を超えないようにします。
各サービスで DKIM を有効にし、指示された DNS レコードを公開します。
p=none と報告先アドレスを指定して DMARC を公開し、数週間は報告を読みます。
正当なメールがすべて確認を通るようになったら、DMARC を quarantine に、次に reject に進めます。
これらのレコードを不用意に変えると、ドメイン全体のメールが止まることがあります。一度に一つずつ変更し、そのたびに確認してください。
相談したほうがよいとき
チェックで複数の問題が見つかった場合や、どのサービスがあなたの名前で送っているのかわからない場合は、ドメインと利用中のサービスを教えてください。必要なレコードと変更の順番を整理し、アプリケーションの送信部分も、最初からこれらの確認を通るように設定できます。