ActiveCampaignの​SPF・DKIM・DMARC設定。

ActiveCampaignを認証すべき理由

ActiveCampaignのドメイン認証は形式的な作業ではなく、ブロードキャストやオートメーションが受信トレイに届くかどうかを左右します。ActiveCampaign自身も現在、事実上の必須事項として扱っています。2024年2月以降、GmailとYahooは、すべての大量送信者（1日あたり約5,000通以上）に対し、SPF、DKIM、DMARCにアライメントが一致した状態で成功することを義務付けています。Microsoftも2025年に、Outlook.com/Hotmail宛ての大量メールに同じ要件の適用を始めました。認証が完了するまで、ActiveCampaignは同社の共有バウンス用ドメイン（acems1.comのReturn-Path）で送信します。この状態では、メールが暗号学的に自社から送られたものであることを受信者に示せず、FromアドレスのアライメントもDMARCの成功も得られません。送信者レピュテーションも、同じインフラを使う未認証のActiveCampaignテナントすべてと共有されます。設定を最後まで行う価値がある、ActiveCampaign固有の利点もあります。Mailserver DomainのCNAMEがReturn-Pathを自社ドメインのサブドメインに委任するため、ActiveCampaignは、DKIMだけでなくSPFのアライメントも利用者のドメインと一致させられるメール配信サービス（ESP）の1つです。DMARCに成功する経路が独立して2つあることで、メールが転送され（メーリングリストや.forwardルールなど）SPFだけでは失敗する場合でも、認証された状態を保てます。

ActiveCampaignにおけるSPFの実情

ActiveCampaignはCNAMEでドメインを認証するサービスのため、ルートドメインの1つのSPF TXTレコードに追加するinclude:メカニズムはありません。自分で作り出そうとしないでください。SPFは、代わりにMailserver DomainのCNAMEで処理します。バウンスを処理するのは利用者ではなくActiveCampaignであるため、デフォルトでは、すべてのキャンペーンのエンベロープ送信者/Return-Pathは同社の共有バウンス用ドメイン（bounce-…@acems1.comのような形式）になります。SPFは常にこのエンベロープのドメインに対してチェックされるので、デフォルトの設定ではacems1.comとしてSPFに成功するものの、Fromドメインとはアライメントが一致せず、DMARCの成功にSPFは寄与しません。これを解決するのがMailserver Domainの設定です。自社ドメインのサブドメインにCNAMEを公開し、Return-PathをActiveCampaignに委任します。ラベルはem-3501330.yourdomain.comのようにActiveCampaignが自動生成します。従来の手動フローでは、サブドメインをyouraccount.activehosted.comに向けます。するとエンベロープ送信者は自社のサブドメイン上に置かれ、ActiveCampaignがこのCNAMEを通じてSPFレコードを提供するので、チェック自体の成功も維持されます。さらに、Return-Pathのサブドメインは組織ドメインの配下にあるため、DMARCのデフォルトである緩和されたアライメントで一致します。独自のReturn-Pathを使い続け、SPFのアライメントが決して一致しないMailchimpとの大きな違いはここです。結果として、ルートドメインのSPFレコードには何も追加されず、ActiveCampaignが10回のSPF DNSルックアップを消費することもありません。3つのCNAMEがすべて有効になれば、SPFとDKIMの両方で自社ドメインとのアライメントが一致します。

2つの設定方法

設定手順

追加するレコード

正確な値はActiveCampaignのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。

DNSルックアップの10回制限

SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。ActiveCampaignの設定がこの上限のうち何回を消費するかは、次のとおりです。

正しく設定できたか確認する

ActiveCampaignの緑色の「authenticated」ステータスだけで判断せず、実際のメールで確認してください。認証済みドメインのアドレスから自分宛てにテストキャンペーンを送り、Gmailで開いて⋮ → Show originalを選びます。DKIM: PASSでsigned-by: yourdomain.com（セレクターはacdkim1またはacdkim2）、SPF: PASSでacems1.comではなくem-で始まるMailserverサブドメイン、そしてDMARC: PASSと表示されていれば成功です。SPFにこのサブドメインが表示されていれば、Mailserver DomainのCNAMEが機能し、SPFのアライメントが一致している証拠です。SPFにacems1.comと表示されたままなら、Mailserver DomainのCNAMEが解決されていません。その場合もDKIMだけでDMARCには成功しますが、SPFのアライメントも一致させるには、このCNAMEを追加または修正してください。レコード自体はdig CNAME acdkim1._domainkey.yourdomain.comとdig TXT _dmarc.yourdomain.comで確認できます。続いて、Qualisendのドメイン診断でドメインをチェックし、3つのCNAMEとDMARCレコードが正しく解決され、ルートドメインのSPFレコードがDNSルックアップの10回制限に収まっていることを確かめます。集計レポートが届き始めたら、DMARCレポート解析にレポートをドロップします。ActiveCampaignが、アライメントの一致した成功している送信元として表示されるはずです。

よくある注意点

• 適用範囲

  設定はわかりにくい場所にあります。ドメイン認証はSettings → Advanced → Sending Domainにあり、「Email」や「Domains」といったわかりやすいメニューにはありません。見つからないときは、ここを確認してください。

• DNS設定

  ActiveCampaignには「カスタムドメイン」と呼ばれるものが2種類あり、混同されがちです。Custom Domain Name（youraccount.activehosted.comへのCNAME）はリンク、画像、ランディングページのブランディング用で、送信ドメイン認証とは関係ありません。メールを認証するのは、Mailserver DomainのCNAMEとacdkimのDKIM CNAMEだけです。

• DNS設定

  Mailserver DomainのCNAMEを省略すると、SPFのアライメントは一致しません。Return-PathがActiveCampaignの共有バウンス用ドメインacems1.comのままとなるため、SPFはacems1.comとしては成功しても、自社ドメインとしては成功しません。DKIMだけでもDMARCには成功しますが、SPFのアライメントも一致させて転送に強い構成にするには、Mailserver DomainのCNAMEの追加が必要です。

• DNS設定

  Cloudflareのオレンジのクラウド（プロキシ）が原因で失敗します。これはActiveCampaignの確認失敗で最も多い原因です。acdkimとMailserverのCNAMEをすべて「DNS only」（グレーのクラウド）に設定してください。プロキシが有効なCNAMEはacems/emsendのホストではなくCloudflareのIPに解決され、Check DNSに失敗します。

• DNS設定

  ホスト欄の二重化：多くのレジストラはドメインを自動で付加するため、acdkim1._domainkey.yourdomain.comと入力するとacdkim1._domainkey.yourdomain.com.yourdomain.comになります。管理画面がドメインを付加する場合は、ラベルのみ（acdkim1._domainkey、acdkim2._domainkey、em-XXXXXXX）を入力してください。

• 認証失敗の原因

  SPFレコードとDMARCレコードは、それぞれ1つだけにしてください。DMARCレコードがすでにあれば、ActiveCampaignは2つ目を作成しません。Google WorkspaceやMicrosoft 365でも送信している場合は、2つ目のSPF TXTレコードも公開しないでください。どちらも2つあると、それ自体がエラーになります（SPFのPermError/無効なDMARC）。

• DNS設定

  これらはTXTレコードではなくCNAMEです。よかれと思ってDKIMレコードをTXTに変換したり、鍵の値を貼り付けたりしないでください。ActiveCampaignがacdkimセレクターの背後で2048ビットの鍵を保持し、ローテーションするにはCNAMEが必要です。従来のアカウントではacdkim1のセレクターが1つだけ表示される場合があります。アカウントに表示されたとおりに使用してください。

• DNS設定

  無料の公開メールドメイン（gmail.com、yahoo.com、outlook.com）をFromアドレスにして送信しないでください。これらのドメインは厳格なDMARCを公開し、第三者がそのユーザーとして送信することを禁じています。そのためDKIMのアライメントを一致させられず、DMARCに失敗します。認証済みの自社ドメインから送信してください。

SPFレコードを作成

ActiveCampaignでは、ルートドメインにSPFのinclude:を追加する必要はありません。作成ツールを使って他の送信元用のクリーンなレコードを1つ組み立て、1行に収めてください。

ActiveCampaignのSPFに関するよくある質問

関連記事

マーケティング・ESPの他のサービス

• AWeber
• Beehiiv
• Braze
• Campaign Monitor
• Constant Contact
• Customer.io
• Drip
• EmailOctopus

公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。