Campaign Monitorの​SPF・DKIM・DMARC設定。

Campaign Monitorを認証すべき理由

Campaign Monitorでのドメイン認証は形式的な作業ではなく、受信トレイに届くか迷惑メールフォルダーに振り分けられるかを左右します。そして現在、メールプロバイダーは認証を義務付けています。2024年2月以降、GmailとYahooは、すべての大量送信者（1日あたり約5,000通以上）に対し、SPF、DKIM、DMARCにアライメントが一致した状態で成功することを義務付けています。Microsoftも2025年5月に、1日5,000通以上の送信者を対象として、同等のルールをOutlook/Hotmail/Liveに拡大しました。Gmailはその後も適用を強化し続けており、要件を満たさない大量メールはフィルタリングされるだけでなく、そのまま拒否されるケースが増えています。Campaign Monitorは大量のマーケティングメールを送る送信者なので、キャンペーンはまさに対象です。認証するまで、Campaign Monitorは自身のドメインで送信します。受信者には本当に自社から送られたメールではないことがわかり（「via cmailXX.com」や「on behalf of」の表示）、Fromアドレスのアライメントは一致せず、DMARCに成功できず、レピュテーションは未認証のCampaign Monitor送信者全員と共有されます。ここにはDKIMを欠かせないものにするCampaign Monitor特有の事情もあります。Campaign MonitorはReturn-Pathを自身のバウンス用ドメインに置いたままにするため、SPFのアライメントが自社ドメインと一致することはなく、DMARCの成功を支えられるメカニズムはDKIMだけです。cm._domainkeyのTXTを省略すると、アライメントが一致した認証は1つもなくなります。

Campaign MonitorにおけるSPFの実情

Campaign Monitorは技術的には「include」を使うサービスです。include:_spf.createsend.comは実在する有効でフラットなSPFレコードです（ip4範囲が6つでネストしたincludeはなく、DNSルックアップ1回として数えられます）。しかし実際には、アライメントが一致することはなく、DMARC準拠の手段にはなりません。理由は次のとおりです。バウンスを処理するのは自社ではなくCampaign Monitorであるため、すべてのキャンペーンはエンベロープ送信者/Return-PathをCampaign Monitor自身のバウンス用ドメイン（createsend.com/cmailのサブドメイン）にして送信されます。SPFは常にこのエンベロープのドメインに対して評価されるので、Fromドメインではなく、Campaign Monitorのサーバーに対して解決されます。チェック自体には成功しても組織ドメインとのアライメントは一致せず、DMARCがSPFを評価するのはアライメントが一致している場合だけです。Postmark（カスタムのReturn-Path CNAME）や専用IPの構成とは異なり、Campaign Monitorの標準アカウントにはカスタムのReturn-Pathがないため、SPFのアライメントを一致させる方法は実際にありません。アライメントが一致してDMARCの成功を支える唯一のメカニズムは、d=yourdomain.comとして署名されたDKIMです。ルートドメインのSPFレコードにinclude:_spf.createsend.comを追加すると、10回のルックアップのうち1回を消費するのに、DMARCへの効果はまったくありません。追加しなくても問題ありません。ルートドメインのSPFレコードは、実際にReturn-Pathで自社ドメインを使う送信者（Google Workspace、Microsoft 365、トランザクションメールのリレー）のために確保し、Campaign MonitorについてはDKIMに任せてください。

2つの設定方法

設定手順

追加するレコード

正確な値はCampaign Monitorのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。

DNSルックアップの10回制限

SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。Campaign Monitorの設定がこの上限のうち何回を消費するかは、次のとおりです。

正しく設定できたか確認する

ダッシュボードの「Authenticated」のバッジだけで判断せず、実際のメールで確認してください。認証済みドメインのアドレスから自分宛てにテストキャンペーンを送り、Gmailで開いて⋮ → Show originalを選びます。DKIM: PASSでyourdomain.com（セレクターcm）と表示され、DMARC: PASSと表示されていれば成功です。SPFには通常、自社ドメインではなくcreatesend/cmailのエンベロープドメインが表示され、アライメントは一致しません。これはCampaign Monitorでは想定どおりで、DKIMがアライメントを担うため問題ありません。「on behalf of」/「via cmailXX.com」の行が消えていることも確認してください。dig TXT cm._domainkey.yourdomain.comで実際のレコードを確認することもできます。次に、Qualisendのドメイン診断でドメインをチェックし、cm._domainkeyのTXTと_dmarcレコードの両方が解決されることを確認します。集計レポートが届き始めたら、DMARCレポート解析にレポートをドロップします。Campaign Monitorが、DKIMのアライメントが一致した、成功している送信元として表示されるはずです。

よくある注意点

• DNS設定

  Campaign MonitorでDMARCに成功する手段はDKIMだけです。Return-Pathは常にCampaign Monitorが所有しているため、SPFのアライメントが自社ドメインと一致することはありません。cm._domainkeyのTXTを省略すると、アライメントが一致した認証は1つもなくなり、どのようなSPFを公開してもDMARCには成功しません。

• 認証失敗の原因

  ルートドメインのSPFレコードにinclude:_spf.createsend.comを追加する必要はありません。Campaign MonitorのIPに対してチェック自体には成功しますが、Fromドメインとアライメントが一致することはないためDMARCには効果がなく、10回のルックアップのうち1回を無駄に消費します。

• DNS設定

  Campaign MonitorのDKIMはCNAMEではなくTXTレコードです。k=rsa; p=…の値を表示どおりにcm._domainkeyに公開し、タイプはTXTのままにしてください。自分で公開する固定の鍵なので、自動ローテーションはありません。Campaign Monitorから新しい鍵が提供された場合は、新しいTXTを公開し直してください。

• 認証失敗の原因

  example.comを認証しても、そのサブドメインは認証されません。news.example.comやクライアントごとのサブドメインをFromに使う場合は、そのドメインをCampaign Monitorに個別の送信ドメインとして追加してください。独自のcm._domainkeyのTXTが必要です（できれば独自のDMARC対応も行います）。

• DNS設定

  ホスト欄の二重化：多くのレジストラはドメインを自動で追加するため、cm._domainkey.yourdomain.comと入力するとcm._domainkey.yourdomain.com.yourdomain.comになります。管理画面がドメインを追加する場合は、cm._domainkeyだけを入力してください。

• DNS設定

  DNSの反映には時間がかかることがあります。Campaign Monitorは、確認のボタンをクリックする前に最大72時間待つよう案内しています。「I've added the records」/「Re-check record」が失敗する場合、たいていはレコードがまだ反映されていないか、ホスト欄が二重化しています。値を再確認して、もう一度試してください。

• 認証失敗の原因

  ルートドメインのSPFのTXTと_dmarcのTXTは、それぞれ1つだけにしてください。Google Workspace、Microsoft 365、またはトランザクションメールのリレーからも送信する場合は、それらのメカニズムを1つのv=spf1レコードにまとめます。SPFレコードが2つあると、それ自体がPermErrorになります。

• DNS設定

  「personalize the domain used in your links」（ブランド化されたクリックトラッキング）のCNAMEは、トラッキングリンクに関する別の任意機能です。認証の一部ではなく、SPF、DKIM、DMARCには影響しません。

SPFレコードを作成

Campaign Monitorでは、ルートドメインにSPFのinclude:を追加する必要はありません。作成ツールを使って他の送信元用のクリーンなレコードを1つ組み立て、1行に収めてください。

Campaign MonitorのSPFに関するよくある質問

関連記事

マーケティング・ESPの他のサービス

• Constant Contact
• Customer.io
• Drip
• EmailOctopus
• GetResponse
• Kit (ConvertKit)
• Klaviyo
• Mailchimp

公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。