SPF・DMARCレコード作成

2つのレコードの中身

どちらもTXTレコード、つまり自由なテキストを入れる種類のDNSエントリーです。SPFレコードは左から右へ読まれ、送信サーバーに最初に一致した項目が採用されます：

v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.5 ~all

v=spf1

このレコードがSPFであることを示します。必ず先頭に置きます。

include:

プロバイダーが顧客のために最新の状態に保っているサーバーの一覧を取り込みます。そのIPアドレスを知っておく必要はありません。

ip4:, ip6:

自分で運用するサーバーのための、アドレス1つまたは範囲です。

mx, a

MXレコードやウェブサイトのアドレスがその時点で指しているマシンです。

~allまたは-all

それ以外のすべてのサーバーに対する判定です。ソフトフェイル（疑いつつ受け入れる）か、フェイルです。

DMARCレコードはセミコロンで区切ったタグの一覧で、_dmarcという名前で公開します：

v=DMARC1; p=none; rua=mailto:dmarc@example.com;

p=は認証に失敗したメールに対するポリシーで、rua=は受信側が毎日の集計レポートを送る宛先です。

作成ツールの組み立て方

チェックを入れた項目ごとに1つの項目が追加されます。一覧には、Google WorkspaceやMicrosoft 365からSendGrid、Amazon SES、Shopifyまで、よく使われる15の送信サービスがあり、それぞれのドキュメントで公開されているincludeが入ります。自由入力欄にはip4:、ip6:、include:を入力でき、ホスト名だけを入力するとincludeに変換されます。

作成ツールはinclude、mx、aそれぞれをDNS参照1回と数え、7回から警告を出します。SPFで許される参照は合計10回までで、ほとんどのincludeはさらに別のincludeを含んでいますが、それはブラウザからは見えません。

何もチェックしなければv=spf1 -allになり、DMARCのポリシーはnoneからrejectに引き上げられます。メールをまったく送らないドメインには、この組み合わせが正しい設定です。

入力したドメインは、レコード名の表示と診断ツールへのリンクの準備にだけ使います。ページの外に出ることはありません。

DNSホストにレコードを登録する

ネームサーバーのある場所でDNSゾーンを開きます。レジストラ、Cloudflare、ホスティング会社などです。TXTレコードを2つ追加します。

ほとんどの管理画面はドメインを自動で付け足すため、_dmarc.example.comと入力すると_dmarc.example.com.example.comができてしまいます。引用符は、管理画面が求めない限り入れないでください。

v=spf1で始まるTXTレコードがすでにあるなら、それを編集してください。2つ目を作ると両方とも無効になります。_dmarcも同じです。

作成ツールがあなたに任せること

DKIMはここでは作れません。送信サービスがそれぞれ独自の鍵ペアを作るからです。そのサービスの設定で「ドメイン認証」を探してください。追加すべきCNAMEまたはTXTレコードが1〜3個示されます。DKIMはDMARCにとって重要です。DMARCは、SPFかDKIMのどちらかがあなた自身のドメインで成功すれば合格になるからです。メールマガジンのプラットフォームは自前のバウンスアドレスで送ることが多く、その場合SPFではカバーできず、DKIMが役目を果たす必要があります。

まずはp=noneから始めます。2〜4週間分のレポートをDMARCレポートリーダーで開けば、すべての送信元がわかります。そのあとquarantineに、さらにrejectに進みます。必要なら~allから-allにも変えます。