FastmailのSPF・DKIM・DMARC設定。
Fastmailは、ワンクリックのウィザードではなく通常のDNSレコードで独自ドメインを認証します。必要なのは、共有のSPFのincludeが1つ、Fastmailがローテーションする3つのDKIM CNAME、受信用のMXレコード、そして自分で追加するDMARCポリシーです。公開方法は2つあります。ドメインのDNSをFastmailにホストさせてすべて自動で設定してもらう方法と、DNSをレジストラに置いたままレコードを手動で追加し、「Recheck DNS」をクリックしてFastmailに確認させ、メールへの署名を開始させる方法です。どちらの方法でも目的は同じで、Fastmailから送信するメールを自社ドメインとして認証し、SPFとDKIMの両方でアライメントを一致させることです。これにより、メールはフィルターにかけられることなく、現在の受信要件を満たせます。
Fastmailを認証すべき理由
Fastmailの独自ドメインの認証は、形式的な作業ではなく、メールが受信トレイに届くかどうかを左右します。2024年2月以降、GmailとYahooは、すべての大量送信者（1日あたり約5,000通以上）に対し、SPF、DKIM、DMARCにアライメントが一致した状態で成功することを義務付けています。Microsoftも2025年に、Outlook.com/Hotmail宛ての大量メールに同じ要件の適用を始めました。これらの基準を下回る場合でも、認証されていないドメインは迷惑メールフォルダーへの最短ルートです。Fastmailには、DKIMの設定を特に重要にする固有の事情があります。送信メールには2つの署名が付きます。1つはFromヘッダーのドメインの署名、もう1つはFastmail自身のmessagingengine.comドメインの署名です。ただし、自社ドメインで署名されるのは、Fastmailが3つのDKIM CNAMEを確認した後に限られます。それまでのメールにはd=messagingengine.comの署名しかなく、これはFromアドレスとアライメントが一致しないため、単独ではDMARCの成功につながりません。SPF、DKIM CNAME、DMARCを公開すれば、このギャップは解消されます。SPFは自社のエンベロープドメインを通じて、DKIMは自社ドメインのfmセレクターを通じてアライメントが一致し、DMARCに成功します。築いた送信レピュテーションも、Fastmailの共有インフラではなく自社ドメインに蓄積されます。
FastmailにおけるSPFの実情
Fastmailは、実際に「include」で設定する方式のサービスです。共有メカニズムのinclude:spf.messagingengine.comを1つ、ドメインの単一のSPF TXTレコードに追加します。レコード全体はv=spf1 include:spf.messagingengine.com ~allです。これはCNAMEによる委任ではなく、すべてのFastmailドメインが使う本物の共有includeです。解決先はフラットなレコードで、現在はv=spf1 ip4:103.168.172.128/27 ip4:202.12.124.128/27 -allです。ネストされたincludeはないため、消費するのは許容される10回のSPF DNSルックアップ（RFC 7208）のうちちょうど1回で、一部の古いガイドが示唆する2回や3回ではありません。Fastmailで送信するときは、エンベロープ/Return-Pathに自社ドメインが使われるので、SPFは組織ドメインと実際にアライメントが一致し、それだけでDMARCの成功に貢献します。Return-Pathをサービス側で管理する一括送信向けのメール配信サービス（ESP）にはできないことです。Fastmail固有の癖が1つあります。Fastmail自身のセットアップ手順で公開するレコードは、~all（softfail）ではなく?all（neutral）で終わります。allの修飾子が影響するのはFastmail以外の送信元だけで、FastmailのIPからのメールはどちらでもSPFに成功します。ただし、?allは受信側に、未記載の送信元やなりすましの送信元を成功でも失敗でもないものとして扱うよう伝えるため、~allよりなりすまし対策として弱くなります。Fastmailがこれまでneutralを選んできたのは、他の送信者からのメールの責任を負わされないようにするためです。送信元がFastmailだけの場合（またはすべて記載済みの場合）は、~allのほうがDMARCと相性の良い選択です。ドメインのSPFレコードは1つだけにしてください。Google Workspace、SendGrid、Mailchimpなどからも送信する場合は、2つ目のSPF TXTを公開せず、すべてのメカニズムを1つのv=spf1の行にまとめます（SPFレコードが2つあるとPermErrorになります）。
2つの設定方法
FastmailにDNSをホストさせる（自動）
- ドメインのネームサーバーをFastmailに向けると、MX、SPF、3つのDKIM CNAME、初期設定のDMARCが公開されます
- DKIM鍵は自動でローテーションされ、確認済みの状態が保たれます。再編集は不要です
- Fastmailをメインのメールホストとして使い、レジストラに残しておきたい他のDNSレコード（Web、他のツール）がない場合に最適です
- レコードの入力ミスやホスト欄の二重付加が起きにくくなります
外部DNSを維持する（レコードを手動で追加）
- DNSをレジストラやCloudflareに置いたまま、MX、SPF、DKIM CNAME、DMARCを自分で追加します
- Webサイト、他のサブドメイン、他の送信者のいずれかがすでにそのDNSホストにある場合に必要です
- 公開後はSettings → DomainsでRecheck DNSをクリックします。Fastmailの確認が済むと、自社ドメインでのDKIM署名が始まります
- SPFの行は自分で管理するため、Fastmailのincludeを他の送信元とまとめ、DNSルックアップの10回制限も自分で管理します
設定手順
- 1
ドメインを追加
サインインしてSettings → Domainsに進み、ドメインを追加します（独自ドメインで利用を始めた場合は、登録時に済んでいます）。ドメインに必要な正確なレコードと、各レコードが現在検出されているかどうかが表示されます。
- 2
DNSのホスト先を選択
FastmailにDNSをホストさせるか、DNSをそのままにしてレコードを手動で追加するかを決めます。前者では、レジストラのネームサーバーをFastmailに向けると、MX、SPF、DKIM、初期設定のDMARCが自動で構成されます。既存のWebサイトや他のDNSレコードがある場合は、ほとんどのケースで外部DNSを維持し、以下の手動の手順に従ってください。
- 3
MXレコードを追加（受信）
Fastmailでドメイン宛てのメールを受信できるよう、ルートドメインに2つのMXレコードを追加します。ホスト@（または空欄）→ in1-smtp.messagingengine.com（優先度10）、もう1つは → in2-smtp.messagingengine.com（優先度20）です。以前のメールホストを指す古いMXレコードは削除してください。
- 4
SPFレコードを公開
ルートドメイン（ホストは@または空欄）に、v=spf1 include:spf.messagingengine.com ~allのTXTレコードを追加します。SPFレコードがすでにある場合は2つ目を作らず、include:spf.messagingengine.comを既存のv=spf1の行にまとめてください。なお、Fastmail自身の手順では?allと表示されますが、すべての送信元を記載した後は~allのほうが強く、DMARCとの相性も良い修飾子です。
- 5
3つのDKIM CNAMEレコードを追加
3つのCNAMEレコードを作成します。ホストfm1._domainkey → fm1.yourdomain.com.dkim.fmhosted.com、ホストfm2._domainkey → fm2.yourdomain.com.dkim.fmhosted.com、ホストfm3._domainkey → fm3.yourdomain.com.dkim.fmhosted.comです。TXTやAではなく、必ずCNAMEにしてください。貼り付ける鍵はありません。DNS管理画面がCloudflareの配下にある場合は、「DNS only」（グレーのクラウド）に設定します。
- 6
DMARCレコードを公開
ホスト_dmarcに、v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comのTXTレコードを追加します。p=noneは監視のみのため、FastmailのメールがSPFとDKIMにアライメントが一致した状態で成功することを確認する間、配信には影響しません。外部DNSでは、Fastmailはこのレコードを作成しません（FastmailがホストするDNSでは、初期設定のp=noneが自動で追加されます）。
- 7
Recheck DNSをクリック
Settings → Domainsに戻り、ドメインを開いてRecheck DNSをクリックします。FastmailでDNSが再スキャンされ、3つのDKIM CNAMEの解決が確認されると、自社ドメインでのDKIM署名が有効になります。確認が完了するまで、メールにはd=messagingengine.comでのみ署名されます（Fromアドレスとアライメントが一致しません）。
- 8
テストメールを送信してヘッダーを確認
FastmailのアドレスからGmailアカウントにメールを送り、開いて⋮ → Show originalを選びます。SPF: PASS、signed-by: yourdomain.comを伴うDKIM: PASS（セレクターはfm1、fm2、fm3のいずれかで、messagingengine.comではないこと）、DMARC: PASSと表示され、すべて自社ドメインとアライメントが一致していることを確認します。
- 9
サブドメインと追加ドメインで手順を繰り返す
ルートドメインのレコードはサブドメインには適用されません。サブドメインのアドレス（例：news@mail.yourdomain.com）や別のドメインから送信する場合は、そのドメインにもMX、SPF、専用の3つのDKIM CNAMEを追加し、再度Recheck DNSを実行してください。
追加するレコード
正確な値はFastmailのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。
| タイプ | ホスト | 値 |
|---|---|---|
| MX | @ | 10 in1-smtp.messagingengine.comプライマリMX（受信）。優先度10。 |
| MX | @ | 20 in2-smtp.messagingengine.comセカンダリMX（受信）。優先度20。 |
| TXT | @ | v=spf1 include:spf.messagingengine.com ~allルートドメインのSPF：SPFレコードは1つだけにし、他の送信元はこの行にまとめます。Fastmailのウィザードは?allを使いますが、~allのほうが強い設定です。DNSルックアップを1回消費します。 |
| CNAME | fm1._domainkey | fm1.yourdomain.com.dkim.fmhosted.comDKIMセレクター1（Fastmailによる自動ローテーション）。TXTではなくCNAMEです。yourdomain.comは実際のドメインに置き換えてください。 |
| CNAME | fm2._domainkey | fm2.yourdomain.com.dkim.fmhosted.comDKIMセレクター2（自動ローテーション）。 |
| CNAME | fm3._domainkey | fm3.yourdomain.com.dkim.fmhosted.comDKIMセレクター3（自動ローテーション）。 |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comDMARCポリシー：1ドメインにつき1つです。p=noneで始め、quarantine/rejectへと引き上げます。 |
ルートドメインのSPF（v=spf1）のTXTレコードは1つだけにし、すべての送信元をこの1行にまとめてください。SPFレコードが2つあると、それ自体がエラーになります。
DNSルックアップの10回制限
SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。Fastmailの設定がこの上限のうち何回を消費するかは、次のとおりです。
Fastmailは10回のルックアップのうち1回を消費します。ip4:とip6:のメカニズムはルックアップを消費しません。
DKIM
FastmailのDKIMは、コピーするTXTの鍵ではなく、3つのCNAMEレコードによる委任です。自社ドメインにfm1._domainkey、fm2._domainkey、fm3._domainkeyを追加し、それぞれfmN.yourdomain.com.dkim.fmhosted.comを指すようにします。この3つのセレクターの秘密鍵はFastmailが保持し、ベストプラクティスに沿うよう公開鍵を自らローテーションします。静的なTXTレコード1つではなくCNAMEが3つあるのはそのためで、DNSのDKIMに再び手を入れる必要はありません。重要なのは、3つのCNAMEすべての解決がFastmailで確認されるまで、送信メールには自社ドメインの署名が付かないことです。それまではd=messagingengine.comでのみ署名され、この署名はFromドメインとアライメントが一致しないため、DMARCの成功につながりません。CNAMEを公開したら、Settings → Domainsでドメインを開き、Recheck DNSをクリックして確認を実行します。設定済みと表示されると、メールはd=yourdomain.comでセレクターfm1を使って署名されます（鍵のローテーションに応じてfm2/fm3に切り替わります）。各レコードは、TXTやAではなくCNAMEとして追加してください。多くのDNS管理画面では新規レコードのデフォルトがAまたはTXTになっており、そのままだとDKIMが気づかないうちに壊れます。FastmailにDNSをホストさせる場合、この3つのレコードは自動で作成、管理されます。
DMARC
DMARCは、自分で公開する別のポリシーレコードです。外部DNSを使う場合、Fastmailは作成しません（FastmailにDNSをホストさせる場合は、初期設定のp=noneレコードが自動で追加されます）。_dmarc.yourdomain.comに、v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comのTXTレコードを追加します。p=noneは監視のみのため、配信には影響しませんが、受信側から集計レポートがメールで届くようになり、FastmailのメールがSPFとDKIMに自社ドメインとアライメントが一致した状態で成功しているか確認できます。Fastmailを利用する場合、SPFは自社のエンベロープドメインを通じて、DKIMは自社ドメインのfmセレクターを通じて、どちらもアライメントが一致します。そのため、3つのDKIM CNAMEが確認され次第、アライメントが一致した成功を確認できるはずです。1～2週間、集計レポート（rua）を確認し、すべての正規の送信元（Fastmailと利用中の他のツール）が認証されていることを確かめたら、p=quarantine、最終的にp=rejectへと段階的に引き上げます。送信者の数にかかわらず、_dmarcレコードはドメイン全体で1つだけにし、Fastmail専用に2つ目のDMARCレコードを追加しないでください。FastmailがDNSをホストしている場合、p=noneより先に進むには、自動生成されたレコードを無効にし、より強いポリシーで自分のレコードを公開する必要があります。また、ポリシーを適用したDMARCがあれば、なりすましに関してSPFの?allと~allの違いは問題になりません。許可されていない送信元のSPF結果がneutralでも、p=rejectポリシーで阻止されるからです。
正しく設定できたか確認する
Settings → Domainsのステータスだけで判断せず、実際のメールで確認してください。Fastmailのアドレスから別のメールボックス（Gmailが最も簡単です）にテストメールを送り、開いて⋮ → Show originalを選びます。SPF: PASS（エンベロープ/mailed-byのドメインがyourdomain.com）、signed-by: yourdomain.comとセレクターfm1/fm2/fm3を伴うDKIM: PASS（messagingengine.comではないこと）、DMARC: PASSと表示されていれば成功です。DKIMにmessagingengine.comしか表示されない場合、CNAMEはまだ確認されていません。dig CNAME fm1._domainkey.yourdomain.comがfm1.yourdomain.com.dkim.fmhosted.comに解決されることを再確認し、FastmailでRecheck DNSをクリックしてください。レコードは、dig TXT yourdomain.com（SPF）、dig CNAME fm1._domainkey.yourdomain.com（DKIM）、dig TXT _dmarc.yourdomain.com（DMARC）でも直接確認できます。最後に、Qualisendのドメイン診断でドメインをチェックし、すべてのレコードが解決され、SPFが10回の上限内に収まっていることを確認します。DMARCの集計レポートが届き始めたら、DMARCレポート解析にレポートをドロップします。Fastmailがアライメント一致ですべて成功している送信元として表示されるはずです。
よくある注意点
- DNS設定
DKIMはTXTではなくCNAMEで、貼り付ける鍵はありません。多くのDNS管理画面では新規レコードのデフォルトがAまたはTXTになっており、そのままだとDKIMが気づかないうちに壊れます。各fmN._domainkeyは、fmN.yourdomain.com.dkim.fmhosted.comを指すCNAMEにしてください。
- DNS設定
3つのCNAMEすべてがFastmailで確認されるまで、自社ドメインでのDKIM署名は行われません。それまではd=messagingengine.comでのみ署名され、これはFromアドレスとアライメントが一致しないため、DMARCの成功につながりません。CNAMEを公開したら、Settings → DomainsでRecheck DNSをクリックしてください。
- 適用範囲
Fastmailのセットアップでは、SPFレコードが?all（neutral）で終わります。Fastmailのメールはどちらの場合もSPFに成功しますが、?allはなりすましや未記載の送信元を成功でも失敗でもないものとして扱います。なりすまし対策を強化するため、すべての送信元を記載したら~allに切り替えてください。
- DNS設定
ホスト欄の二重付加：レジストラはドメインを自動で付け足すことが多く、fm1._domainkeyがfm1._domainkey.yourdomain.com.yourdomain.comになってしまいます。管理画面がドメインを付け足す場合は、ラベル（fm1._domainkey）だけを入力してください。
- 認証失敗の原因
ルートドメインのSPF TXTレコードは1つだけにしてください。レコードがすでにある場合は、include:spf.messagingengine.comをそこにまとめます。2つ目のv=spf1レコードを公開すると、それ自体がPermErrorになります。
- DNS設定
サブドメインはルートドメインのレコードの対象外です。news@mail.yourdomain.comのようなアドレスから送信するには、mail.yourdomain.comにMXと、専用のSPF、3つのDKIM CNAMEを設定し、再度Recheck DNSを実行する必要があります。
- 適用範囲
DNSの管理元は1つに決めてください。ネームサーバーをFastmailに向けると、MX/SPF/DKIMは自動で管理されます。以前のレジストラに競合するレコードを手動で追加しないでください。両者が衝突します。
- 適用範囲
Fastmailの送信IPをSPFにハードコードしないでください。include:spf.messagingengine.comを使えば、FastmailがIP範囲を変更しても認証は壊れません。フラット化したip4:のリストは古くなり、SPFに失敗し始めます。
SPFレコードを作成
以下ではFastmailがあらかじめ選択されています。他に利用している送信プラットフォームを追加し、1つにまとめたレコードを公開してください。
このドメイン自身のサーバー
ドメインが（上記のサービスを経由せず）直接メールを送信する場合は、ドメイン自体を許可します。
その他の送信元・IP
リストにないもの（別のサービスのSPFホストや特定のIPアドレス）を追加します。
接頭辞のinclude:は自動で付加されます。サービスのドキュメントに記載されているホスト名を入力してください。
その他すべての送信元へのポリシー
上記に記載されていないサーバーからのメールを、受信側がどう処理すべきかを指定します（allメカニズム）。
- ルートドメインにTXTレコードとして公開します。ホストは@（ドメインそのもの）、値は上記の文字列全体です。
- SPFレコードは1つのドメインにつき1つだけにします。すべての送信元をこの1行にまとめてください。v=spf1で始まるTXTレコードが2つあると、両方とも無効になります。
- DNSルックアップは10回以内に収めてください。include:、a、mxはそれぞれ1回とカウントされ、includeは内部でさらにルックアップを発生させることがあります。ip4:とip6:はカウントされません。
送信ドメイン認証の設定が済んだら、次は検証済みのクリーンなリストへの配信です。
リストを検証FastmailのSPFに関するよくある質問
関連記事
ワークスペース・メールボックスの他のサービス
- Google Workspace
- mailbox.org
- Microsoft 365
- Microsoft 365 (GoDaddy / IONOS)
- Migadu
- Namecheap Private Email
- Proton Mail
- Purelymail
公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。
認証の次は、リストをクリーンに保つ
SPF、DKIM、DMARCに成功すれば受信トレイに届き、クリーンなリストならその状態を維持できます。お手持ちのリストも検証してクリーニングできます。100クレジット無料、クレジットカード登録不要で始められます。