NamecheapでSPF、DKIM、DMARCを設定する方法

Namecheapはドメイン登録先として特に人気があるため、多くの送信者にとって、SPF、DKIM、DMARCを最初に設定する場所でもあります。安心できる点は、3つとも通常のDNSTXTレコードであり、NamecheapではAdvanced DNSタブのシンプルなフォームから追加できることです。多くの人が決まってつまずくのはHost欄だけで、ルートのSPFレコード、_dmarcのポリシー、DKIMセレクターのそれぞれで何を入力するかが問題になります。このガイドでは、NamecheapのDNSエディターで各レコードを追加する場所と、各欄に入力する内容を説明します。レコードの値そのものはメールサービスから提供されるため、ここでは扱いません。

結論から#

Namecheapでは、3つのレコードをすべて同じ方法で追加します。Domain List → Manage → Advanced DNS → Add New Record → TXT Recordの順に進み、HostとValueを入力します。3つの違いはHost欄だけです。

• SPF：Hostは@（ルートドメイン）で、値はv=spf1で始まります。
• DKIM：Hostは<selector>._domainkey（セレクターはメールサービスから提供されます）で、値はv=DKIM1で始まります。
• DMARC：Hostは_dmarcで、値はv=DMARC1で始まります。

NamecheapはHost欄に入力した内容の後ろに自動でドメインを付加するため、入力するのはプレフィックスだけです。ホスト名の全体は入力しないでください。各レコードを保存し、DNSの反映を待ってから確認します。以降では、推測に頼らずにレコードの値を入手する方法も含め、各手順を詳しく説明します。

始める前に：NamecheapがDNSを管理していますか？#

この確認をしておくと、無駄な作業を最も減らせます。Advanced DNSタブでレコードが有効になるのは、ドメインがNamecheap BasicDNS、つまりNamecheapでの登録時に付いてくる標準のネームサーバーを使っている場合だけです。ドメインのネームサーバーを別のプロバイダー（Cloudflare、Webホスト、マネージドDNSサービスなど）に向けている場合、そのドメインのDNSクエリにNamecheapは応答しないため、Advanced DNSタブで追加したTXTレコードは無視されます。その場合は、ネームサーバーが実際にあるサービスでレコードを追加します。

確認するには、ドメインの管理ページを開き、Nameserversの設定を見ます。「Namecheap BasicDNS」（またはNamecheap Web Hosting DNS）と表示されていれば、ここで設定して問題なく、Advanced DNSタブは有効です。他社のネームサーバーが並ぶ「Custom DNS」と表示されている場合は、SPF、DKIM、DMARCのレコードをそのプロバイダーで追加してください。

NamecheapでDNSレコードを管理する場所#

NamecheapがDNSを管理していることを確認できたら、レコードを追加する場所は1か所です。サインインし、アカウントのダッシュボードからDomain Listを開いて、対象のドメインを探し、Manageをクリックします。管理画面でAdvanced DNSタブに切り替えます。Host RecordsセクションにAdd New Recordボタンがあります。これをクリックし、レコードのTypeをTXT Recordに設定します。

NamecheapでTXTレコードを追加する際の入力欄は、どれも共通です。

• Type：SPF、DKIM、DMARCのすべてでTXT Recordを選びます（DKIMのみ、サービスによってはCNAMEを指定される例外があります。詳しくは後述します）。
• Host：ドメインの前に付くプレフィックスです。この欄だけがレコードごとに異なり、ルートは@、DMARCは_dmarc、DKIMは<selector>._domainkeyです。Namecheapが.yourdomain.comを自動で付加するため、ホスト名の全体は入力しないでください。
• Value：レコードの文字列そのものです。作成ツールまたはメールサービスから提供された内容を、そのまま貼り付けます。
• TTL：リゾルバーがレコードをキャッシュする時間です。Automaticで問題なく、変更する必要はありません。

Valueを引用符で囲む必要はありません。NamecheapはTXTデータを保存し、引用符の処理も自動で行います。自分で引用符を付けることは、見た目は正しいのに検証に失敗するレコードのよくある原因です。

NamecheapでSPFレコードを追加する#

SPFは、ドメインに代わってメールを送信してよいサーバーを列挙するレコードで、Namecheapでは常にルートに設定します。新しいTXTレコードを追加し、Hostを@にして、ValueにSPFの文字列を貼り付けます。典型的なレコードは次のようになります。

v=spf1 include:spf.your-esp.com ~all

include:メカニズムでメールサービスの送信サーバーを許可し、末尾の~allでそれ以外をsoftfailにします（-allならhard failです）。上の例をそのままコピーしないでください。includeの内容は、メールを送信するサービスによって完全に異なります。正確な文字列はSPFレコード作成ツールで作成してください。利用中のサービスのincludeをまとめて、有効なレコードを1つ生成します。

この「1つ」という点が重要です。1つのドメインで公開できるSPFレコードは1つだけです。ルートの別のTXTレコードもv=spf1で始まっていると、受信側はSPFが壊れていると判断し、両方とも事実上無効になります。これはNamecheapのユーザーに特に起こりやすい問題です。Namecheap Private Emailを有効にすると、専用のSPFレコードが自動で追加される場合があります。そのため、後から別のメール配信サービス（ESP）で送信する場合は、2つ目のレコードを追加するのではなく、2つを1つにまとめてください。すべてのサービスのinclude:を1つのレコードにまとめます。迷ったときは、Hostが@のレコードに、v=spf1で始まる行をちょうど1つだけにしてください。

NamecheapでDKIMレコードを追加する#

DKIMはHost欄の書き方が見慣れないものですが、ルールは単純です。メールサービスから、s1、k1、google、ランダムな文字列などの短いラベルであるセレクターと、公開鍵の値が提供されます。Namecheapでは、Host欄にセレクターと._domainkeyを続けて入力し、Value欄に鍵を入力します。

Host:   s1._domainkey
Value:  v=DKIM1; k=rsa; p=MIGfMA0GCSq...

Namecheapがドメインを付加するため、Hostをs1._domainkeyにすると、完全なレコード名はs1._domainkey.yourdomain.comになります。これはまさに受信側がDKIMを探す場所です。セレクターと長いp=の鍵は、自分で作る値ではありません。DKIM署名を有効にしたときに、メールサービス（Google Workspace、Microsoft 365、ESPなど）が生成します。そのサービスの管理コンソールからコピーし、そのまま貼り付けてください。

Namecheap特有の注意点が1つあります。鍵のローテーションを任せられるよう、DKIMをTXTレコードではなくCNAMEで公開するサービスがあります。v=DKIM1の文字列ではなく「points to」や「target」のようなホスト名が提示された場合は、NamecheapでレコードのTypeをCNAME Recordに設定し、左側にセレクターのホスト、右側にサービスのターゲットを入力してください。TXTの形式は使いません。サービスが指定するレコードタイプに従ってください。

NamecheapでDMARCレコードを追加する#

DMARCは、SPFとDKIMを表示されるFromアドレスに結び付け、認証に失敗したメールの扱いを受信側に伝えるポリシー層です。ホストは固定の_dmarcです。TXTレコードを追加し、Hostを_dmarcにして、Valueにポリシーを貼り付けます。

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Namecheapはこのホストを_dmarc.yourdomain.comにします。DMARCレコードが読み取られる場所は、ここ1か所だけです。SPFと同様に、ドメインごとにDMARCレコードは1つだけで、_dmarcのTXTを2つ目に追加すると両方が無効になります。

p=noneに注目してください。これは意図的な設定で、安全に展開するうえで最も重要な部分です。p=noneは「監視のみ」を意味します。受信側は認証に失敗したメールに対して何もせず、レポートを送るだけです。そのため、公開してもメールの配信には影響せず、自社ドメインとして送信しているすべての送信元を確認できる集計レポートが有効になります。レコードはDMARCレコード作成ツールで作成し、p=noneから始めて、レポートに問題がなくなってからquarantine、さらにrejectへと引き上げてください。届いたレポートの読み方を含む全体の流れは、DMARCの設定手順（ステップバイステップ）と、関連記事のDMARCレポートの読み方で説明しています。QualisendのDMARCレポートなら、その集計レポートを代わりに受信し、送信元ごとに成功数と失敗数を一覧で表示できます。

保存後：DNSの反映と確認#

NamecheapはAdvanced DNSの変更を通常30分ほどで適用しますが、インターネット全体へのDNSの反映にはもっと時間がかかることがあります。問題があると判断する前に、最大48時間は待ってください。特に、古い値が長いTTLでキャッシュされている既存のレコードを編集した場合は注意が必要です。TTLをAutomaticにしていれば、新しいレコードで問題になることはほとんどありません。

レコードが有効になったら、そのままにせず、解決と構文解析が正しく行われることを確認します。送信ドメイン認証チェックは、ドメインの3つのレコードをまとめて読み取り、レコードの欠落、SPFの重複、何も返さないDKIMセレクター、DMARCタグの不備といった典型的な問題を指摘します。変更が反映されたことを、利用を始める前に確実に確かめる最も手早い方法でもあります。

Namecheapでよくある注意点#

Namecheapの認証に関する問い合わせの大半は、いくつかのミスが原因です。

• Hostにホスト名の全体を入力する。yourdomain.comや_dmarc.yourdomain.comを入力すると、_dmarc.yourdomain.com.yourdomain.comのように名前が二重になります。@、_dmarc、<selector>._domainkeyのように、プレフィックスだけを入力してください。
• SPFレコードが2つある。Private Emailに加えてESPを使った場合でも、手動で2つ入力した場合でも、ルートにv=spf1で始まるTXTが2つ目にあるとSPFは機能しません。1つにまとめてください。
• ネームサーバーが違う。ドメインがCustom DNSの場合、Advanced DNSのレコードは何の効果もありません。実際のDNSホストで追加してください。
• 引用符を手動で追加する。NamecheapはTXTの値を自動で引用符で囲みます。余分な引用符を付けるとレコードが壊れます。
• DKIMの値を自分で作る。セレクターと鍵は、メールサービスから提供されたものでなければなりません。貼り付けられる汎用のDKIMレコードはありません。
• DMARCをいきなりp=rejectにする。監視の段階を省くと、正規のメールを自分で迷惑メールに振り分けてしまいます。p=noneから始めてください。

3つを正しく設定することは、2024年のメールプロバイダーのルールがまさに求めていることです。どの送信者に、どの送信量で、どのレコードが必要になるかは、GoogleとYahooの送信者ガイドラインで確認してください。また、認証は入口の条件にすぎず、すべてではありません。送信者レピュテーションは守れますが、それだけで受信トレイへの到達が保証されるわけではありません。

NamecheapでSPF、DKIM、DMARCが有効になったら、無料の送信ドメイン認証チェックで3つがすべて解決されることを確認してください。そのうえで、送信先のリストを無料メールチェッカーでクリーニングします。完璧に認証されたドメインでも、存在しないアドレスにメールを送れば、迷惑メールに振り分けられるためです。