SPF・DKIM・DMARC チェック：メールは届きますか？
ドメインを入力してください。DNS から SPF、DKIM、DMARC レコードと MX レコードを読み取り、受信側のメールサーバーと同じ方法でチェックして、足りないものや間違っているものを、DNS に貼り付けられるレコード例とともに、わかりやすい言葉でお知らせします。メールサーバーには接続せず、何も保存しません。
結果の見方
- SPF
- ドメインでメールを送信してよいサーバーを列挙した TXT レコード。受信側は、接続してきたサーバーをこれと照合します。制限：レコードは 1 つ、DNS ルックアップは最大 10 回、末尾に ~all または -all。SPF だけでは転送で壊れるため、DKIM があります。
- DKIM
- メールサーバーが、すべてのメッセージに秘密鍵で署名します。公開鍵は selector._domainkey.yourdomain で公開されます。受信側が署名を検証し、これは転送されても維持されます。2048 ビットの RSA 鍵を使い、ときどき更新してください。
- DMARC
- _dmarc.yourdomain にある TXT レコードで、SPF と DKIM が失敗したときの扱い（none、quarantine、reject）と、レポートの送信先を受信側に伝えます。アライメントとは、From ヘッダーのドメインが、SPF または DKIM のドメインと一致する必要があるということです。p=none から始め、レポートを読んで、段階的に厳しくします。
- MX
- ドメインのメールを受信するサーバー。送信には不要ですが、主要な受信側は MX レコードのないドメインを信用せず、ないと、送信したメールが返送されます。
- 重要な理由
- 大手のメールボックスプロバイダーは、すべての送信者に SPF または DKIM を、一括送信者には DMARC を求めます。ないと、メールは迷惑メールになるか、拒否されます。同じレコードが、他者がお客様の名前でフィッシングメールを送ることも防ぎます。
- その状態を保つ
- レコードは、ニュースレターのツールを追加したり、ホスティングを移したり、鍵を更新したりすると変わります。Centoculus は、ドメインの SPF、DKIM、DMARC、MTA-STS、DNSSEC を 1 時間ごとにチェックし、変更があるとアラートを出します。メール配信チェックは、テストメッセージも送信し、届いた先をお知らせします。
これを自動でチェックして、アラートも受け取りたいですか？
Centoculus は、無料プランでもサイトを 5 分ごとにチェックし、顧客が気づく前に、メールとアプリでアラートを出します。ウェブサイトモニター 50 件と SSL チェック 5 件（1 日 1 回）が無料、商用利用も可。まもなく登録を開始します。先行登録すると、最初にご利用いただけます。
先行登録SPF・DKIM・DMARC についてのご質問
SPF、DKIM、DMARC の違いは何ですか？
SPF は、ドメインで送信してよいサーバーを示します。DKIM は、メッセージが改ざんされておらず、確かにお客様のサーバーから来たことを、署名で証明します。DMARC は、両方を表示される From アドレスに結び付け、失敗したときの扱いを受信側に伝えます。3 つすべてが必要です。
DKIM セレクターとは何で、どこで確認できますか？
セレクターは、DNS 上の鍵の名前です：selector._domainkey.yourdomain。DKIM を設定するときに、メールプロバイダーが名前を教えてくれます（Google は「google」、Microsoft 365 は「selector1」と「selector2」）。送信したメールの DKIM-Signature ヘッダーの s= タグでも確認できます。
SPF に 10 回のルックアップ制限があるのはなぜですか？
include、a、mx、ptr、exists、redirect のたびに、受信側が DNS に問い合わせます。標準では、悪用を防ぐため、1 回のチェックにつき 10 回までと定めています。上限を超えると、受信側は永続的エラーを返し、ほとんどはこれを失敗として扱います。多くのルックアップが必要なプロバイダーは、フラット化された include を提供しています。
~all と -all のどちらを使うべきですか？
-all は、他のサーバーからのメールを拒否するよう受信側に伝え、~all は、疑わしいものとして扱うよう伝えます。DMARC が quarantine または reject なら、DMARC が判断するため、違いはわずかです。すべての送信者を列挙したか自信がない間は ~all から始め、その後 -all に切り替えてください。
DMARC のポリシーは、どれから始めるべきですか？
rua アドレスつきの p=none です。数週間レポートを読み、すべての正規の送信者を SPF と DKIM に追加してから、p=quarantine、最後に p=reject に進めてください。初日から reject にすると、誰も覚えていなかったニュースレターのツールや CRM をブロックしがちです。
DNS の変更が反映されるまでの時間は？
通常は数分、長くても古いレコードの TTL まで（多くは最大 24 時間）です。変更後に、このチェックをもう一度実行してください。毎回、DNS を新たに読み取ります。
レコードは問題ないのに、メールが迷惑メールになります。
認証は入場券にすぎません。内容、リストの品質、苦情率、送信元 IP の評価も重要です。送信元 IP がブロックリストに載っていないか、逆引き DNS がメールサーバーの名前と一致しているかを確認してください。