Brazeの​SPF・DKIM・DMARC設定。

Brazeを認証すべき理由

Brazeは大量配信を行うライフサイクル・マーケティングプラットフォームであり、そのメールは受信側が最も厳しくチェックする種類のものです。キャンペーンが受信トレイに届くか迷惑メールフォルダーに振り分けられるかは、認証で決まります。2024年2月以降、GmailとYahooは、すべての大量送信者（1日あたり約5,000通以上）に対し、SPF、DKIM、DMARCにアライメントが一致した状態で成功することを義務付けています。Microsoftも2025年に、Outlook.com、Hotmail、Live宛ての大量メールに同じ要件の適用を始めました。Braze自身のガイダンスも、Brazeのメールがブロックされる主な原因は、SPFとDKIMの設定ミスによるDMARCの失敗だと明言しています。メール配信サービス（ESP）全般に共通する注意点は、DKIMが自社ドメインではなくサービス側のドメインで署名されてしまうことです。BrazeのDKIM鍵が公開され、その鍵で自社ドメインとして署名されていなければ、どのメカニズムもアライメントが一致せず、DMARCに成功できません。正しく設定すれば、両方のメカニズムで自社ドメインとのアライメントが一致してDMARCに成功し、Brazeの送信IPで築いたレピュテーションが自社ドメインに蓄積され、転送されたメールも認証され続けます。

BrazeにおけるSPFの実情

Brazeはアカウント単位で設定する送信者であり、共通のincludeを使うサービスではありません。そのため、ルートドメインのSPFレコードに追加すべきinclude:sparkpostmail.comはなく、そこに追加してもいけません。BrazeはSparkPostのインフラ上で動作しているので、SPFのメカニズムはルートドメインではなくバウンス/Return-Pathサブドメインに置かれます。デフォルトでは、BrazeはエンベロープのMAIL FROM（Return-Path）をsparkpostmail.comにして送信します。そのためSPFのチェック自体には成功しますが、それはsparkpostmail.comに対する成功であり、自社ドメインに対するものではありません。つまりアライメントは一致せず、それ単体ではDMARCの役に立ちません。それでも問題はありません。アライメントによってDMARCの成功を支えるのは、scphセレクターを使って自社ドメインとして署名されるDKIMだからです。SPFのアライメントも自社ドメインと一致させたい場合は、カスタムのバウンス/Return-Pathサブドメインを設定します。SPFのアライメントは一部の受信側で重視され、特定の転送経路でも維持されるため、設定する価値があります。方法は、bounces.yourdomain.comのようなホストからsparkpostmail.comへのCNAMEを作成するか（SparkPostのSPFであるv=spf1 exists:%{i}._spf.sparkpostmail.com ~allをそのまま引き継ぎます）、別の方法であるMX方式で、同じサブドメインにMXとv=spf1 include:sparkpostmail.com ~allのTXTを設定するかのいずれかです。どちらの場合もincludeを置くのはバウンス用サブドメインであり、ルートドメインではありません。したがって、BrazeがルートドメインのSPFレコードに加えるDNSルックアップは0回です。ルートドメインのSPFレコードは、Return-Pathでルートドメインを実際に使う送信者（Google Workspace、Microsoft 365、トランザクションメールのリレー）のために確保しておけます。リージョンに関する補足として、EUでホストされるBrazeインスタンスでは、sparkpostmail.comの代わりにEU専用のホスト（eu.sparkpostmail.comのターゲット）を使います。Brazeから指定されたホストを使用してください。

設定手順

追加するレコード

正確な値はBrazeのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。

DNSルックアップの10回制限

SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。Brazeの設定がこの上限のうち何回を消費するかは、次のとおりです。

正しく設定できたか確認する

Brazeがドメインを確認済みと表示していても、それだけで判断せず、実際のメールで確認してください。Brazeの送信用サブドメインからテストメールを送り、Gmailで開いてMore → Show originalを選びます。DKIM: PASSかつd=が自社ドメイン（通常は送信用サブドメインで、たとえばd=email.yourdomain.com）で、DMARC: PASSと表示されていれば成功です。d=がsparkpostmail.comやbrazeのドメインの場合は、鍵のアライメントが一致していません。SPFは、カスタムのReturn-Pathを設定していればバウンス用サブドメインに対してPASSと表示され、設定していなければsparkpostmail.comに対してPASSと表示されます。sparkpostmail.comと表示されるのは想定どおりで、DKIMがDMARCの成功を支えているため、失敗として扱う必要はありません。Qualisendのドメイン診断でドメインをチェックし、DKIMレコード、バウンス/Return-Pathレコード、DMARCレコードがすべて正しく解決されることを確認します。集計レポートが届き始めたら、DMARCレポート解析にレポートをドロップします。ポリシーをp=rejectへ引き上げる前に、Braze（SparkPost経由）がアライメントの一致した、成功している送信元として表示されていることを確認してください。

よくある注意点

• 適用範囲

  レコードはアカウント固有で、Brazeから提供されます。自分で貼り付けられるincludeはありません。scphのDKIMセレクター、鍵、バウンスのターゲットはオンボーディング中にアカウント用に生成されるので、正確にコピーしてください。セレクターやSPFのincludeを推測しても、何も認証されません。

• DNS設定

  USインスタンスとEUインスタンスの違いは重要です。EUでホストされるBrazeはSparkPostのEUインフラで動作し、eu.sparkpostmail.comのターゲット（およびEU専用のレコードホスト）を使います。USインスタンスはsparkpostmail.comを使います。別のリージョンのホストを公開すると、バウンス/Return-Pathの解決とSPFが機能しなくなるため、Brazeから提供されたものをそのまま使用してください。

• DNS設定

  SPFのアライメントは任意の設定です。デフォルトではBrazeのエンベロープのReturn-Pathはsparkpostmail.comにあるため、SPFには成功してもアライメントは一致せず、DMARCは完全にDKIMに依存します。「SPF: sparkpostmail.com」と表示されるのは正常です。SPFのアライメントも一致させたい場合は、カスタムのバウンス/Return-Pathサブドメイン（sparkpostmail.comへのCNAME）を設定してください。

• 認証失敗の原因

  ルートドメインのSPFレコードにinclude:sparkpostmail.comを追加しないでください。これを置くのはバウンス用サブドメインだけです（バウンス用CNAME経由で継承される場合もあります）。ルートドメインでは効果がなく、SPFのDNSルックアップの10回制限のうち1回を無駄に消費します。

• DNS設定

  Cloudflareのプロキシがあると機能しません。バウンス用CNAME（およびBrazeからCNAME形式のDKIMレコードが提供された場合はそれも）を「DNS only」（グレーのクラウド）に設定してください。オレンジのクラウドでプロキシが有効なCNAMEはsparkpostmail.comに解決されず、確認が保留のままになります。

• 適用範囲

  ルートドメインそのものではなく、専用サブドメインから送信してください。yourdomain.comからBrazeのキャンペーンを一斉配信すると、マーケティングのレピュテーションが企業メールやトランザクションメールと一緒になってしまいます。専用サブドメイン（email.やnews.）はBrazeが推奨する構成で、問題のある配信があってもルートドメインのレピュテーションを損ないません。

• 適用範囲

  新しい専用IPにはウォームアップが必要です。Brazeのオンボーディングでは専用IPが割り当てられることがよくあります。2～4週間ほどかけて徐々に送信量を増やしてください（送信量の少ないアカウントはBrazeが管理する共有IPプールを使う場合があり、その場合のウォームアップはBraze側で行われます）。新しいIPにはレピュテーションがないため、DNSが完璧でも、初日から最大量で一斉配信すれば初期の配信はうまくいきません。

• DNS設定

  DMARCはルートドメインに設定し、継承によってBrazeのサブドメインにも適用します（Braze自身の推奨です）。sp=やサブドメインのレコードでサブドメインのポリシーを意図的に変えたい場合を除き、送信用サブドメインに矛盾する2つ目の_dmarcを公開しないでください。

• DNS設定

  Brazeからサブドメインの委任を提案された場合、それは追加の手順ではなく代替の方法です。この方法では、NSレコードで送信用サブドメイン全体をSparkPostのネームサーバーに委任し、DKIM、SPF、バウンスのレコードはBrazeが管理します。委任する場合は、そのサブドメインに矛盾するレコードを自分で公開せず、どちらか一方の方法を選んでください。

SPFレコードを作成

Brazeでは、ルートドメインにSPFのinclude:を追加する必要はありません。作成ツールを使って他の送信元用のクリーンなレコードを1つ組み立て、1行に収めてください。

BrazeのSPFに関するよくある質問

関連記事

マーケティング・ESPの他のサービス

• Campaign Monitor
• Constant Contact
• Customer.io
• Drip
• EmailOctopus
• GetResponse
• Kit (ConvertKit)
• Klaviyo

公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。