DreamHostの​SPF・DKIM・DMARC設定。

DreamHostを認証すべき理由

DreamHostでSPF、DKIM、DMARCを正しく設定できるかどうかが、メールが受信トレイに届くかを左右します。2024年2月以降、GmailとYahooは、すべての大量送信者（1日あたり約5,000通以上）に対し、SPF、DKIM、DMARCにアライメントが一致した状態で成功することを義務付けています。Microsoftも2025年に、Outlook/Hotmail宛ての大量メールに同じ要件の適用を始めました。DreamHostは、「サービス」別のページの中では珍しいケースです。利用者が自社のメールボックスから送信するからです。エンベロープ送信者が自社ドメインなのでSPFのアライメントが一致し、DreamHostが利用者のドメインとしてDKIM署名を行うのでDKIMも一致します。正しく設定したDreamHostのドメインは、両方のメカニズムでDMARCに成功します。転送にも強い、堅牢な構成です。ただし、DreamHost特有の次の2点で、この構成は気づかないうちに崩れます。認証済みSMTPではなくPHPのmail()/sendmailで送信するWebサイトのスクリプトにはDKIM署名が付かないこと、そしてSPFレコードを編集するとDreamHostの管理レコードが削除されることです。この2つを解消すれば、築いた送信者レピュテーションは、認証されないメールとして流出せず、自社ドメインに蓄積されます。

DreamHostにおけるSPFの実情

DreamHostは正真正銘の「include」型サービスですが、そのincludeは実際には2つのincludeとmxで構成され、それらがルートドメインのSPFレコード全体になります。DNSをDreamHostでホストしているドメインには、パネルがv=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net -allを自動で公開します。netblocks.dreamhost.comにはDreamHost自身の送信IP範囲が含まれています。relay.mailchannels.netが入っているのは、DreamHostが送信メールをMailChannels（共有の送信リレー）経由で配送するためです。どちらも必須で、一方でも欠けると一部のメールがSPFでhard failになります。利用者が自社のメールボックスから送信するため、SMTPのエンベロープ送信者は自社ドメインのアドレスになり、ここではSPFのアライメントが組織ドメインと実際に一致します（Return-Pathをサービス側が持つMailchimpやSendGridとは異なります）。つまずきやすいのは次の動作です。このレコードが管理されるのは、手を加えない間だけです。カスタムのSPFのTXTレコードを追加または編集すると、DreamHostは自動生成のレコードを削除します。そのため、置き換えるレコードにはinclude:netblocks.dreamhost.comとinclude:relay.mailchannels.netの両方（追加するサードパーティのincludeがあればそれも）を、1つのv=spf1レコードの中に含める必要があります。標準の末尾は-all（hard fail）で厳格です。正規の送信元はすべて記載しておかないと、そのまま拒否されます。また、ドメインにSPFのTXTレコードを2つ公開しないでください。SPFレコードが2つあると、それ自体がPermErrorになります。

2つの設定方法

設定手順

追加するレコード

正確な値はDreamHostのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。

DNSルックアップの10回制限

SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。DreamHostの設定がこの上限のうち何回を消費するかは、次のとおりです。

正しく設定できたか確認する

パネルだけで判断せず、実際のメールで確認してください。DreamHostのメールボックスからGmailアドレスへテストメールを送り、開いて⋮ → Show originalを選びます。SPF: PASS（自社ドメインを表示）、DKIM: PASS（d=yourdomain.com、セレクターはdreamhost）、DMARC: PASSと表示されていれば成功です。DKIMがない場合、そのメールはほぼ確実に認証済みSMTPではなくPHPのmail()/sendmailで送信されています。dig TXT dreamhost._domainkey.yourdomain.comとdig TXT _dmarc.yourdomain.comで生のレコードをスポットチェックでき、dig TXT yourdomain.comでSPFレコードに両方のincludeが残っていることも確認できます。その後、Qualisendのドメイン診断でドメインをチェックし、すべてのレコードが解決され、SPFレコードが10回の上限内に収まっていることを確認します。集計レポートが届き始めたら、DMARCレポート解析にレポートをドロップします。DreamHost（とそのMailChannelsリレー）が、アライメントが一致し認証に成功している送信元として表示されるはずです。

よくある注意点

• DNS設定

  SPFレコードを編集すると、DreamHostの管理レコードが削除されます。DreamHostで最大の注意点です。カスタムのSPFのTXTレコードを保存した瞬間に自動生成のレコードが削除されるので、置き換えるレコードにはinclude:netblocks.dreamhost.comとinclude:relay.mailchannels.netの両方を含める必要があります。そうしないと、一部のメールが気づかないうちにSPFで失敗し始めます。

• 適用範囲

  relay.mailchannels.netは省略できません。DreamHostは送信メールをMailChannels経由で送るため、このincludeを省くと、リレーを経由するメールはSPFでhard failになります（レコードの末尾が-allのため）。

• 適用範囲

  PHPのmail()/sendmailで送るWebサイトのメールにはDKIM署名が付きません。署名されるのは認証済みSMTP（smtp.dreamhost.com）で送信するメールだけです。SMTPプラグインのないWordPressフォームやPHPメーラーはSPFに成功してもDKIMには成功しないため、DKIMのアライメントは一致しません。

• 適用範囲

  標準の-allはhard failであり、softfailではありません。DreamHostのレコードは記載し忘れた送信元を拒否するので、このレコードに頼る前に正規のサービスをすべて追加するか、テスト中は~allに緩めてください。

• DNS設定

  自動レコードが存在するのは、DNSをDreamHostでホストしている場合だけです。ネームサーバーがCloudflareやレジストラを指している場合、DreamHostは何も公開しません。実際のDNSホストで、SPFレコードを追加し、dreamhost._domainkeyのDKIMのTXTレコードをコピーし、DMARCを追加する作業を自分で行う必要があります。

• 認証失敗の原因

  SPFレコードを2つ公開しないでください。別のメールサービスを追加するときは、そのメカニズムを1つのv=spf1の行にまとめます。SPFのTXTレコードが別々に2つあるとPermErrorになり、SPFが完全に機能しなくなります。

• 適用範囲

  ルートドメインのSPFでは、Name欄を空欄のままにします。DreamHostはルートドメインを空のName欄で表します。@やドメイン名を入力すると二重化され、無効なホストになります。

• 適用範囲

  DMARCは自分で設定します。DreamHostはSPFレコードとDKIMレコードを自動で処理しますが、DMARCレコードは決して作成しません。_dmarcレコードがなければ、SPFとDKIMに成功していても、GmailとYahooの大量送信者向けガイドラインを満たせません。

SPFレコードを作成

以下ではDreamHostがあらかじめ選択されています。他に利用している送信プラットフォームを追加し、1つにまとめたレコードを公開してください。

DreamHostのSPFに関するよくある質問

関連記事

ホスティング・Webサイトの他のサービス

• Ghost (Pro)
• GoDaddy
• Hostinger
• IONOS
• Kajabi
• OVHcloud
• Shopify
• SiteGround

公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。