AWeberのSPF・DKIM・DMARC設定。
AWeberのドメイン認証は、最近の多くのメールプラットフォームと同じく、SPFの行を貼り付ける方式ではなくCNAMEによるDKIMで行います。AWeberでDomains and Addressesを開き、送信ドメインの横にある歯車アイコンをクリックすると、DNSホストに追加する3つのCNAMEレコードが提示されます。この3つのCNAMEはローテーションするDKIM鍵をAWeberに委任するもので、これにより、すべてのブロードキャストに送信ドメイン名義の暗号署名をAWeberが付けられるようになります。あわせて、DMARCのTXTレコードを1つ公開します。追加すべきSPFのincludeはありません。AWeberは意図的にDKIMでアライメントを確保しています（詳しくは後述します）。CNAMEが解決されると、AWeberはd=yourdomain.comで署名し、DKIMとDMARCに成功します。積み上げたレピュテーションも、AWeberの共有プールではなく自社ドメインのものになります。
AWeberを認証すべき理由
AWeberでのドメイン認証は、ニュースレターやオートメーションが受信トレイに届くかどうかを左右します。2024年2月以降、GmailとYahooは、すべての大量送信者（1日あたり約5,000通以上）に対し、DKIMに成功し、アライメントが一致した状態でDMARCポリシーを公開することを義務付けています。Microsoftも2025年に、Outlook.com宛てのメールに同様のルールの適用を始めました。AWeberは同社のドメインでプラットフォームレベルの簡易な署名を自動で行いますが、自社ドメインを認証するまでは、Fromアドレスが暗号学的に自社のものとは示せず、自社名義でDMARCに成功することもありません。送信者レピュテーションも、AWeberのインフラを使う未認証のアカウントすべてと共有されます。AWeber特有の、運用上の明確な理由もあります。AWeberは送信のたびにドメインの認証状態を再チェックし、同社のドキュメントによると、その時点でレコードが解決されなければ、ブロードキャストを送信せずDraftステータスに戻します。DKIMとDMARCを一度設定しておけば、弱い「via」表示がなくなり、DMARCに成功し、ブロードキャストが知らないうちにDraftに戻ることも防げます。送信者レピュテーションも自社ドメインに蓄積されます。
AWeberにおけるSPFの実情
AWeberには追加すべきSPFのincludeはなく、同社のドキュメントもこの点を明言しています。AWeberのKnowledge Baseには、タイトルがそのまま「Do I need to update my domain's SPF record? The answer is No.」という記事があります。理由は仕組みにあります。AWeberのブロードキャストはすべて、Return-Path（エンベロープ送信者/バウンス用ドメイン）に自社ドメインではなくAWeberのドメインが使われます。SPFは常にこのエンベロープのドメインに対して評価されるため、認証されるのはAWeberであって自社ではなく、表示上のFromドメインとアライメントが一致することはありません。これは設計どおりの動作です。AWeberはDMARCの要件を満たすためにDKIMのアライメントだけに頼っており、だからこそ、共有のincludeを使わないCNAME方式のDKIMだけで設定が完結します。実務上のポイントとして、include:send.aweber.com（やその他のAWeberのメカニズム）をルートドメインのSPFレコードに追加しても、アライメントには何の効果もありません。AWeberによれば、そのようなレコードはメールプロバイダーに無視されるだけで、10回のSPFルックアップのうち1回を消費します。既存のSPFレコードはそのままにしてください。Google Workspace用にv=spf1 include:_spf.google.com ~allを公開している場合や、Microsoft 365用のincludeがある場合、それは自社のメールボックスサービスのためのものなので、一切変更しないでください。AWeberのDMARC成功は、あくまでDKIMによるものです。
2つの設定方法
自動：ドメインを接続
- 歯車アイコンからAutomatically Connect Domainを選び、DNSプロバイダーにログインします
- AWeberがプロバイダーのAPIを通じて、3つのDKIM CNAME（とDMARCのTXT）を書き込みます
- 40を超える対応DNSホスト（GoDaddy、Namecheap、Cloudflareなど）をカバーしています
- ホスト名やレコードタイプを打ち間違える機会が減ります
手動：レコードを自分で追加
- DNSホストがAWeberの対応リストにない場合に使います
- 3つのDKIM CNAMEとDMARCのTXTを、DNSゾーンに手作業でコピーします
- ホスト欄の入力形式（ラベルのみか完全修飾名か）を自分で管理できます
- レコードも結果も同じで、手作業で入力した後にクリックして確認するだけです
設定手順
- 1
Fromアドレスを追加して確認
リストのSettingsで、送信に使うFromアドレスを追加します。無料の@gmail.com/@yahoo.com/@outlook.comのアドレスではなく、所有するカスタムドメインのアドレス（you@yourdomain.com）でなければなりません。AWeberから確認リンクがメールで届くので、ドメインを認証する前にクリックしてアドレスを確認します。
- 2
Domains and Addressesを開く
アカウントメニューからDomains and Addressesを開きます。確認済みのFromアドレスのドメインが、現在のDKIM/DMARCのステータスとともに表示されます。
- 3
DKIMとDMARCのレコードを表示
ドメインの右にある歯車アイコンをクリックし、設定手順を開きます。DKIM用の3つのCNAMEレコードと、提案されたDMARCのTXTレコードが表示され、それぞれの値にコピーボタンがあります。
- 4
自動設定か手動設定かを選択
DNSホストがAWeberの対応プロバイダー（40以上）に含まれる場合は、Automatically Connect Domainをクリックして接続を承認すると、AWeberがレコードを書き込みます。それ以外の場合は値を画面に表示したまま、DNSホストに手動で追加します（次の手順）。
- 5
3つのDKIM CNAMEレコードを追加
TXTやAではなく、タイプがCNAMEのレコードを3つ作成します。ホストaweber_key_a._domainkeyはaweber_key_a.send.aweber.comへ、aweber_key_b._domainkeyはaweber_key_b.send.aweber.comへ、aweber_key_c._domainkeyはaweber_key_c.send.aweber.comへ向けます。ホストの入力形式はレジストラに合わせてください。ドメインを自動で付加するものと、完全修飾名を求めるものがあります。ドメインを二重にしないよう注意してください。
- 6
DMARCのTXTレコードを公開
ホスト_dmarcに、v=DMARC1; p=none; rua=mailto:you@yourdomain.com; pct=100;のような値のTXTレコードを追加します。値の欄を引用符で囲まないでください。ruaは、AWeberが事前入力するフィードバック用アドレスではなく、実際に確認するメールボックスに向けます。別の送信者用の_dmarcがすでにある場合は、新しいレコードを作成しないでください。ドメインに設定できるのは1つだけです。
- 7
反映を待って再チェック
DNSの変更には最大48時間かかることがあります。Domains and Addressesに戻り、歯車アイコンのステータスでDKIM（とDMARC）がauthenticatedに変わったことを確認します。AWeberは送信のたびにも自動で再確認します。
- 8
実際のメールで確認
自分宛てにテストを送ってGmailで開き、Show originalを選びます。DKIM: PASSでd=yourdomain.com、さらにDMARC: PASSと表示されていることを確認します。SPFに自社ドメインではなくaweber.comのドメインが表示されるのは想定どおりの正しい状態です。任意で、Qualisendのドメイン診断でドメインをチェックします。
追加するレコード
正確な値はAWeberのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。
| タイプ | ホスト | 値 |
|---|---|---|
| CNAME | aweber_key_a._domainkey | aweber_key_a.send.aweber.comDKIM鍵A：AWeberの固定のセレクター形式です。アカウントに表示されたとおりに追加してください |
| CNAME | aweber_key_b._domainkey | aweber_key_b.send.aweber.comDKIM鍵B（AWeberの自動鍵ローテーションの一部） |
| CNAME | aweber_key_c._domainkey | aweber_key_c.send.aweber.comDKIM鍵C（ローテーション）：3つすべてをタイプCNAMEで追加し、プロキシは絶対に有効にしないでください |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:you@yourdomain.com; pct=100;DMARCポリシー：p=noneから始め、ruaは所有するメールボックスに向けてください（AWeberの画面上のデフォルトでは、レポートが同社のフィードバック用アドレスに送られます）。_dmarcレコードはドメインごとに1つだけです |
ルートドメインのSPF（v=spf1）のTXTレコードは1つだけにし、すべての送信元をこの1行にまとめてください。SPFレコードが2つあると、それ自体がエラーになります。
DNSルックアップの10回制限
SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。AWeberの設定がこの上限のうち何回を消費するかは、次のとおりです。
AWeberの推奨設定はルックアップを消費しません。10回すべてを、includeが必要な他の送信元に使えます。
DKIM
AWeberの認証は、DKIMがすべてです。Domains and Addressesで、ドメインの横の歯車アイコンをクリックすると、3つのCNAMEレコードが表示されます。ホスト名はaweber_key_a._domainkey、aweber_key_b._domainkey、aweber_key_c._domainkeyで、それぞれ対応するaweber_key_a.send.aweber.com、aweber_key_b.send.aweber.com、aweber_key_c.send.aweber.comを向きます。AWeberがセレクターを1つではなく3つ使うのは、自社でDNSを再編集しなくても、DKIM鍵を定期的に（aからb、bからcへ）ローテーションできるようにするためです。秘密鍵はAWeberが保持し、その時点で有効なセレクターの背後に公開鍵を再公開します。セレクターは自社ドメインの_domainkey配下に置かれるため、AWeberは各ブロードキャストにd=yourdomain.comで署名します。これによりDKIMは組織ドメインとアライメントが一致し、DMARCの成功を支えます。DKIMのTXTレコードを作成したり貼り付けたり、公開鍵を手作業でコピーしたりする必要はありません。AWeberに表示されたとおりに3つのCNAMEを追加し（タイプはすべてCNAMEで、TXTやAではありません）、解決されるのを待つだけです。DNSプロバイダーによっては、ホストにドメインを付加する（aweber_key_a._domainkey.yourdomain.com）必要がある場合と、付加しない場合があります。この点はAWeberとレジストラの両方が注意を促しており、AWeberは主要なホスト向けにプロバイダー別の調整リストを用意しています。
DMARC
DKIMが自社ドメインで署名するようになったら、DMARCポリシーを公開します。これにより、認証に失敗したメールの扱いをメールプロバイダーに伝えられ、レポートも受け取れるようになります。ホスト_dmarc（つまり_dmarc.yourdomain.com）に1つのTXTレコードとして追加し、値の欄を引用符で囲まないでください。まずはp=noneから始めます。何も強制しませんが、集計レポート（rua）のXMLが有効になるので、ポリシーを引き上げる前に、AWeberが、DKIMのアライメントが一致し認証に成功している送信元として表示されることを確認できます。AWeber特有の注意点が1つあります。歯車アイコンの画面に事前入力されるDMARCの例（v=DMARC1; p=none; pct=100; rua=mailto:dmarc@fbl.optin.com;）は、ruaがAWeber自身のフィードバック用アドレスを指しています。そのため、レポートはAWeberに届き、自社には届きません。自分で読めるように、ruaを実際に確認するメールボックス（またはDMARCレポート解析ツール）に置き換えてください。たとえばv=DMARC1; p=none; rua=mailto:you@yourdomain.com; pct=100;のようにします。問題のないレポートが2週間ほど続いたら、p=quarantine、最終的にp=rejectへと段階的に引き上げます。厳守すべきルールが1つあります。ドメインのDMARCレコードは1つだけです。別の送信者（Google Workspace、トランザクションメール用のメール配信サービス（ESP）など）用に_dmarcをすでに公開している場合は2つ目を追加せず、既存のレコードを維持したうえで、そのレコードのもとでAWeberのメールがDMARCに成功していることを確認してください。
正しく設定できたか確認する
歯車アイコンのステータスバッジだけで判断せず、実際のメールで確認してください。認証済みのFromアドレスから自分宛てにテストのブロードキャスト（または簡単なメッセージ）を送り、Gmailで開いて、3点メニューからShow originalを選びます。DKIM: PASSで署名ドメイン（d=）がyourdomain.com、さらにDMARC: PASSと表示されていれば成功です。SPFには自社ドメインではなくaweber.comのドメインが表示され、アライメントは一致しません。DMARCはDKIMのアライメントで成功しているので、AWeberではこれが想定どおりの正しい状態です。CNAMEが解決されると（最大48時間を見込んでください）、AWeberの画面では、自社ドメインの横にある歯車アイコンで、DKIMとDMARCがauthenticated/verifiedに変わるはずです。Qualisendのドメイン診断でドメインをチェックし、3つのDKIM CNAMEとDMARCのTXTレコードが解決されることも確認できます。集計レポートが届き始めたら、DMARCレポート解析にレポートをドロップすると、AWeberが、アライメントが一致し認証に成功している送信元として表示されます。
よくある注意点
- 適用範囲
無料のWebメールをFromアドレスにしても行き詰まります。AWeberでは@gmail.com、@yahoo.com、@aol.com、@outlook.comのアドレスでレピュテーションを積み上げられず、GmailやYahooのDMARCポリシーにより、それらのドメインを名乗るメールは拒否されるか迷惑メールフォルダーに振り分けられます。管理するカスタムドメイン（you@yourdomain.com）から送信する必要があり、これらのレコードが認証するのもそのドメインです。
- DNS設定
AWeberは送信時に再確認します。ブロードキャストを送るたびにドメインのDKIM/DMARCのステータスをチェックし、その時点でレコードが解決されなければ、ブロードキャストは送信されずDraftに戻され、再認証を促す通知が届きます。ブロードキャストが理由もなくDraftに戻ったら、3つのCNAMEが今も解決されるか確認してください。DNSホストの移行やレコードの誤削除がよくある原因です。
- DNS設定
ホスト名の接尾辞の二重化：ホスト欄にドメインを自動で付加するDNSホストもあれば、完全修飾名を求めるものもあります。自動で付加するホストにaweber_key_a._domainkey.yourdomain.comと入力すると、aweber_key_a._domainkey.yourdomain.com.yourdomain.comとなり、エラーも出ずに失敗します。レジストラの形式に合わせてください。AWeberはまさにこのためのプロバイダー別の調整リストを用意しています。
- DNS設定
AWeberのためにSPFのincludeを追加しないでください。include:send.aweber.comではアライメントは一致せず（エンベロープ送信者は常にAWeberのドメインです）、AWeberによればメールプロバイダーに無視されるうえ、10回のSPFルックアップのうち1回を消費するだけです。ルートドメインのSPFレコードはそのままにしてください。AWeberのDMARC成功はSPFではなくDKIMによるものです。
- DNS設定
Cloudflareでは、3つのDKIM CNAMEをDNS only（グレーのクラウド）で追加し、絶対にプロキシを有効（オレンジのクラウド）にしないでください。プロキシが有効なCNAMEはsend.aweber.comに解決されず、確認に失敗します。
- DNS設定
AWeberが事前入力するDMARCの値は、ruaが同社のフィードバック用アドレス（dmarc@fbl.optin.com）を指しているため、集計レポートは自社ではなくAWeberに届きます。公開する前に、確認するメールボックス（またはDMARC解析ツール）に置き換えてください。そうしないとレポートを確認できません。
- 認証失敗の原因
DMARCレコードはドメインごとに1つです。別の送信者用に_dmarcのTXTをすでに公開している場合は、2つ目を作成しないでください。DMARCレコードが2つあるドメインは無効です。既存のレコードを維持し、そのレコードのもとでAWeberのメールがDMARCに成功していることを確認してください。
- DNS設定
AWeberのAutomatically Connect Domainが使えるのは、対応DNSプロバイダー（40以上）だけです。レジストラがリストにない場合、自動のフローは機能しないので、CNAMEとDMARCのTXTを手動で追加します。レコードは同じで、手作業で入力するだけの違いです。
- 適用範囲
DNSの反映には最大48時間かかることがあります。保存直後に歯車アイコンが未確認のままでも、レコードの誤りと決めつけず、時間をおいて再チェックしてください。
SPFレコードを作成
AWeberでは、ルートドメインにSPFのinclude:を追加する必要はありません。作成ツールを使って他の送信元用のクリーンなレコードを1つ組み立て、1行に収めてください。
送信元
メールの送信に使っているサービスを検索して、それぞれチェックを入れてください。
上の検索欄で利用中のメールサービスを検索するか、してください。
このドメイン自身のサーバー
ドメインが（上記のサービスを経由せず）直接メールを送信する場合は、ドメイン自体を許可します。
その他の送信元・IP
リストにないもの（別のサービスのSPFホストや特定のIPアドレス）を追加します。
接頭辞のinclude:は自動で付加されます。サービスのドキュメントに記載されているホスト名を入力してください。
その他すべての送信元へのポリシー
上記に記載されていないサーバーからのメールを、受信側がどう処理すべきかを指定します（allメカニズム）。
送信元がまだないため、すべてのメッセージに~allポリシーが適用されます。ステップ1で利用中のサービスを追加してください。
- ルートドメインにTXTレコードとして公開します。ホストは@（ドメインそのもの）、値は上記の文字列全体です。
- SPFレコードは1つのドメインにつき1つだけにします。すべての送信元をこの1行にまとめてください。v=spf1で始まるTXTレコードが2つあると、両方とも無効になります。
- DNSルックアップは10回以内に収めてください。include:、a、mxはそれぞれ1回とカウントされ、includeは内部でさらにルックアップを発生させることがあります。ip4:とip6:はカウントされません。
送信ドメイン認証の設定が済んだら、次は検証済みのクリーンなリストへの配信です。
リストを検証AWeberのSPFに関するよくある質問
関連記事
マーケティング・ESPの他のサービス
すべてのSPFガイド公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。
認証の次は、リストをクリーンに保つ
SPF、DKIM、DMARCに成功すれば受信トレイに届き、クリーンなリストならその状態を維持できます。お手持ちのリストも検証してクリーニングできます。100クレジット無料、クレジットカード登録不要で始められます。