SPF設定ガイド

GrooveのSPF・DKIM・DMARC設定。

Grooveは共有受信トレイ型のヘルプデスクです。サポートチケットへの返信はすべて自社ドメイン名義で送信されるため、Grooveから届くメールはそのまま顧客の目に触れます。Grooveの「White-labeling」（ホワイトラベル化）は、こうした返信が確かに自社のものであると証明する認証の手順そのものです。共有のSPFの行を貼り付ける代わりに、現在のGrooveでは各受信トレイのSMTP configurationタブにCNAMEレコード（groove._domainkeyセレクターのDKIM鍵とreturn-pathのCNAME）とDMARCのTXTレコードが生成されます。これらを追加してGrooveの「Test DNS」チェックが緑になれば、サポートメールには自社ドメインとしてDKIM署名が付きます。DMARCに成功し、Gmailの「via groovehq.com」という表示が消え、返信が顧客の迷惑メールフォルダーに振り分けられなくなります。

SPFのinclude

Your DNSAdd the CNAME / TXT records

GrooveSigns & sends as your domain

The inboxSPF · DKIM · DMARC pass

Grooveを認証すべき理由

Grooveの認証は形式的な作業ではなく、ヘルプデスクにとっては顧客に返信が届くか、迷惑メールに埋もれるかを左右します。サポートの回答にとって、迷惑メールフォルダーは最悪の行き先です。2024年2月以降、GmailとYahooは、すべての大量送信者（1日あたり約5,000通以上。忙しい共有受信トレイなら、チケットへの返信と通知だけでこの基準を超えます）に対し、SPF、DKIM、DMARCにアライメントが一致した状態で成功することを義務付けています。Microsoftも2025年に、個人向けOutlook/Hotmail宛てのメールに同じ要件の適用を始めました。ホワイトラベル化するまで、GrooveはGroove自身のインフラから送信します。受信者には「via groovehq.com」や「on behalf of」といった表示が見え、Fromアドレスが自社のものであることを暗号学的に証明できず、DMARCにも成功できません。レピュテーションも、認証していない他のGroove送信者全体と共有されます。ホワイトラベル化すれば、これらを一度に解決できます。DKIMは自社ドメインとアライメントが一致し、「via」の表示が消え、DMARCに成功し、築いたレピュテーションは自社ドメインに蓄積されます。信頼がすべてであるサポート業務では、このアライメントがあるからこそ、顧客は迷惑メールとして報告することなく、メールを読んで返信してくれます。

GrooveにおけるSPFの実情

Grooveは厳密には「include」型のサービスで、include:smtp.groovehq.comという共有のメカニズムも実在します。ただし、これはDMARCに成功するための手段ではなく、Grooveの現在の設定でも推奨されていません。理由は2つあります。1つ目に、Grooveはすべてのメールを、Groove自身のバウンス用ドメインをReturn-Path/エンベロープにして送信します（バウンスはGrooveが管理し、処理します）。そのためSPFは常にGrooveのドメインに対して評価され、自社のFromドメインに対しては評価されません。include:smtp.groovehq.comを追加すると、GrooveのIPについてSPFのチェック自体は成功しますが、組織ドメインとアライメントは一致しません。そしてDMARCが評価するのは、アライメントが一致したSPFだけです。Groove自身の到達率に関するドキュメントもこの点を率直に認めており、return-pathにはGroove自身のドメインを使うこと、SPFのアライメントを一致させる仕組みは提供していないことを明記しています。2つ目に、Grooveのホワイトラベル化の手順では、そもそもincludeを求められません。受信トレイのSMTP configurationタブに表示されるのは、CNAMEレコード（groove._domainkeyセレクターのDKIM鍵とreturn-pathのCNAME、新しいアカウントでは3つ目のCNAME）とDMARCのTXTレコードです。アライメントが一致し、DMARCの成功を支えるメカニズムは、d=yourdomain.comとして署名するDKIMです。Grooveは、「以前SMTP送信用にDKIMとSPFレコードを設定した」ユーザーに対し、「より新しく改善されたCNAME版へ移行する」よう明確に案内しています。つまりincludeは今も存在し、古いチュートリアルにもv=spf1 include:smtp.groovehq.com ~allと書かれていますが、現在の設定では任意です。SPFの10回のルックアップのうち1回を消費するだけで、DMARCのアライメントは得られません。なお、ホワイトラベル化の対象はGroove自身のSMTPサーバーで送信する受信トレイだけです。Gmail/Google WorkspaceまたはMicrosoft 365のOAuthで接続した受信トレイでは、Grooveはそのサービス経由で中継するため、ドメインの認証もそちらで行います。

2つの設定方法

推奨

CNAMEによるホワイトラベル化（推奨）

GrooveがDKIMとreturn-pathのCNAME（セレクターgroove._domainkey）を生成し、メールには自社ドメインとして署名が付く
DKIMのアライメントが一致するため、SPFが一致しなくてもDMARCに成功（return-pathはGrooveが所有）
ルートドメインのSPFレコードのルックアップを消費せず、まとめる作業も不要
CNAMEの先の鍵はGrooveが保持してローテーションするため、鍵を貼り直す必要なし

従来方式

SPFのincludeとDKIMレコード（従来方式）

ルートドメインのSPFレコードにv=spf1 include:smtp.groovehq.com ~allを自分で追加
SPFの10回のルックアップのうち1回を消費し、それでもアライメントは一致しない（return-pathはGrooveのもの）
現在Grooveは、この方式の利用者にCNAME版への移行を案内
ホワイトラベル化にまだ移行していない古いメールボックスにのみ関係

設定手順

Grooveで

1
受信トレイがGrooveのSMTPサーバーを使っているか確認
Settings → Channels → Emailを開き、受信トレイを選んで鉛筆アイコンをクリックして編集します。ホワイトラベル化を利用できるのは、Groove自身のSMTPサーバー（「recommended」のオプション）で送信する受信トレイだけです。Gmail/Google WorkspaceまたはMicrosoft 365で接続している場合、Grooveはそのサービス経由で中継します。ここで作業を中止し、代わりにGoogle/M365側でドメインを認証してください。
2
SMTP configurationタブを開く
受信トレイの編集画面でSMTP configurationタブを開きます。CNAMEレコード（groove._domainkeyセレクターのDKIM鍵とreturn-pathのCNAME）とDMARCのTXTレコードが表示されます。CNAMEの数はアカウントによって2つ、新しいものでは3つです。そのまま正確にコピーしてください。ホストとターゲットはメールボックスごとに固有で、推測はできません。

DNSホストで

3
DKIMのCNAMEを追加
DNSホストで、ホストをgroove._domainkeyとし、Grooveに表示されるターゲットを指すCNAMEを作成します。タイプはCNAMEのままにし、TXTに変更しないでください。これがd=yourdomain.comとしてメールに署名するレコードで、アライメントを一致させてDMARCの成功を支えます。省略するとDMARCにはまったく成功できません。
4
return-pathのCNAMEを追加
Grooveに表示されている2つ目のCNAME（Grooveの送信IPについてSPFを満たすreturn-path/バウンス用のホスト）を追加します。アカウントに3つ目が表示されていれば、それも追加します。ホストとターゲットの組はSMTPタブからそのままコピーしてください。これらもGrooveに委任するCNAMEなので、タイプは変更しないでください。
5
ホストのラベルとCloudflareのプロキシを修正
レジストラがドメインを自動で付加する場合は、二重にならないようラベルだけを入力します（groove._domainkey.yourdomain.comではなくgroove._domainkey）。Google DomainsではさらにCNAMEターゲットの末尾にピリオドが必要です。Cloudflareでは、GrooveのCNAMEをすべて「DNS only」（グレーのクラウド）に設定します。オレンジのクラウドでプロキシが有効なCNAMEは解決されず、Test DNSはInvalidのままです。
6
DMARCのTXTレコードを公開
ホスト_dmarcに、TXTレコードv=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comを追加します。Grooveの手順にもDMARCレコードが用意されています。_dmarcレコードは1つのドメインに1つだけなので、それを使うのはまだ持っていない場合に限ってください。p=noneは監視のみのため、アライメントを確認している間、何も変わりません。

確認

7
Test DNSをクリック
SMTP configurationタブに戻り、CNAME一覧の下にあるTest DNSボタンをクリックします。レコードが解決されるとInvalidからValidに変わります。DNSの反映は通常数分ですが、48～72時間かかることがあります。Validになると、Grooveはホワイトラベル化を有効にし、grooveセレクターで署名を始めます。
8
実際に返信を送ってヘッダーを確認
テスト（または実際のチケットへの返信）をGmailアドレスに送り、開いて⋮ → Show originalを選びます。DKIM: PASSでd=yourdomain.comとセレクターgroove（groovehq.comではないこと）、そしてDMARC: PASSと表示されていれば成功です。SPFにはGrooveのドメインが表示されることがありますが、想定どおりです。ここでアライメントを一致させるのはDKIMです。
9
レコードをそのまま残す
Grooveは毎日太平洋時間の午前0時に再確認を行い、レコードが解決されなくなると自動でホワイトラベル化を無効にします。後からCNAMEを削除したり「整理」したりしないでください。また、送信に使うすべての受信トレイでこの設定全体を繰り返してください。メールボックスごとにSMTP configurationタブとレコードがあります。

追加するレコード

正確な値はGrooveのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。

タイプ	ホスト	値
CNAME	groove._domainkey	groove.dkim.u1234567.groovehq.comDKIM鍵（Grooveが管理）。ターゲットは例です。正確な値はSMTP configurationタブからコピーしてください。自社ドメインとして署名し、DMARCの成功を支えるレコードです。
CNAME	em	u1234567.groovehq.comDKIMレコードとあわせてGrooveに表示されるreturn-path/バウンス用のCNAME（新しいアカウントでは3つ目のCNAMEも表示）。ホストとターゲットは例です。正確な組をSMTPタブからコピーしてください。Grooveの送信IPについてSPFを満たしますが、Fromドメインとアライメントは一致しません。
TXT	_dmarc	v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comDMARCポリシー。Grooveの手順では「1 TXT record」として提供されます。1つのドメインに1つだけで、すでに_dmarcを公開している場合は省略します。p=noneから始め、その後引き上げます。
TXT	@	v=spf1 include:smtp.groovehq.com ~all従来方式で任意の、ルートドメインのSPFのinclude。GrooveのIPを許可しますが、Fromドメインとアライメントは一致しません（return-pathはGrooveが所有）。そのためこれだけではDMARCに成功できず、成功させるのはDKIMのCNAMEです。SPFのルックアップを1回消費します。現在のCNAME方式では不要です。

ルートドメインのSPF（v=spf1）のTXTレコードは1つだけにし、すべての送信元をこの1行にまとめてください。SPFレコードが2つあると、それ自体がエラーになります。

DNSルックアップの10回制限

SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。Grooveの設定がこの上限のうち何回を消費するかは、次のとおりです。

SPF 10-lookup budget0 used · 10 free

Grooveの推奨設定はルックアップを消費しません。10回すべてを、includeが必要な他の送信元に使えます。

DKIM

DKIMはGrooveの認証の中核です。自社ドメインとアライメントを一致させられる唯一のメカニズムだからです。GrooveはGroove自身のreturn-path/バウンス用ドメインから送信するため、SPFでは一致させられません。GrooveはCNAMEによるDKIMをgroove._domainkeyセレクターで利用しており（Grooveが管理）、公開鍵を貼り付ける必要はありません。ホストgroove._domainkeyのCNAMEを追加してGrooveに表示されるターゲットを指定します。秘密鍵はGrooveが保持します。固定のTXTレコードではなくGrooveに委任したCNAMEなので、Grooveはそのセレクターで公開している鍵をローテーションでき、DNSを編集し直す必要はありません。値はアプリ内のSettings → Channels → Email → 受信トレイを選択 → 鉛筆アイコン（編集） → SMTP configurationタブで確認できます。古いアカウントには2つのCNAMEとDMARCのTXTが、新しいアカウントには3つのCNAMEが表示されます。それぞれをCNAMEとして追加し（TXTにはしないでください）、DNSホストがドメインを自動で付加する場合はラベルのgroove._domainkeyだけを入力します。Google Domainsではターゲットの末尾にピリオドが必要です。Cloudflareではレコードを「DNS only」（グレーのクラウド）に設定します。次にTest DNSをクリックします。Validと表示されると、Grooveは送信するサポートメールにd=yourdomain.comとして署名するようになり、DKIMのアライメントが一致し始めます。これがDMARCの成功につながります。

DMARC

DMARCは、ドメインに設定する別のポリシーTXTレコードです。Grooveのホワイトラベル化の手順にも、CNAMEとあわせて「1 TXT record」としてDMARCレコードが用意されています。ただし、公開するのは_dmarcレコードがまだない場合だけにしてください。1つのドメインに持てるのは1つだけだからです。_dmarc.yourdomain.comに、v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comで始まるTXTレコードを公開します。p=noneは監視のみのため、配信には影響しません。その間に集計レポート（rua）を確認し、Grooveをはじめドメインのすべての送信元が認証されていることを確かめます。Grooveで押さえておきたいのは、return-pathをGrooveが所有しているため、DMARCの成功は完全にDKIM（groove._domainkeyのCNAME）に依存するという点です。ポリシーを引き上げる前に、そのレコードがValidと表示され、Show originalにDKIMのd=yourdomain.comが表示されることを確認してください。アライメントが1～2週間安定して一致したら、ポリシーをp=quarantine、さらにp=rejectへと引き上げます。Groove、Google Workspace、マーケティングツールなど送信元がいくつあっても、_dmarcレコードはドメイン全体で1つだけにしてください。すべての送信元が同じレコードに従ってレポートされます。

正しく設定できたか確認する

Grooveには2段階の確認手段がありますが、どちらか一方だけに頼らないでください。アプリ内では、SMTP configurationタブのCNAME一覧の下にあるTest DNSボタンが、レコードが解決されるとInvalidからValidに変わります（DNSの反映は通常数分ですが、48～72時間かかることがあります）。またGrooveは毎日太平洋時間の午前0時に自動で再確認を行い、レコードが解決されなくなると何も通知せずにホワイトラベル化を無効にします。突然メールに再び「via groovehq.com」と表示されたら、ほぼ間違いなくCNAMEが変更されています。緑のバッジだけで判断せず、Gmailアカウントに実際の返信（またはテスト）を送り、開いて⋮ → Show originalを選びます。DKIM: PASSでd=yourdomain.comとセレクターgroove（groovehq.comではないこと）、そしてDMARC: PASSを確認してください。SPFにはGrooveのドメインが表示されることがありますが、ここでアライメントを一致させるのはDKIMなので想定どおりです。次に、Qualisendのドメイン診断でドメインをチェックし、DKIMのCNAME、return-pathのCNAME、DMARCレコードがすべて正しく解決されることを確認します。集計レポートが届き始めたら、DMARCレポート解析にレポートをドロップし、Grooveが、アライメントが一致し認証に成功している送信元として表示されることを確かめます。

ドメイン診断 DMARCレポート解析

よくある注意点

DNS設定
ここでDMARCを支えるのはSPFではなく、あくまでDKIMです。return-path/バウンス用ドメインはGrooveが所有しているため、SPFはGrooveのドメインに対して成功しますが、自社ドメインとアライメントは一致しません。include:smtp.groovehq.comを追加してもDMARCには成功せず、成功させるのはgroove._domainkeyのDKIM CNAMEです。SPFのincludeがあるから十分だと考えて省略しないでください。
DNS設定
ホワイトラベル化の対象はGrooveのSMTPを使う受信トレイだけです。Gmail/Google WorkspaceまたはMicrosoft 365で接続した受信トレイでは、Grooveはそのサービス経由で送信します。これらのCNAMEは該当せず、ドメインの認証はGoogle/M365側で行います。
DNS設定
Grooveは毎日太平洋時間の午前0時に再確認を行い、レコードに問題があると何も通知せずにホワイトラベル化を無効にします。メールが「via groovehq.com」に戻ったら、CNAMEが変更または削除されています（レジストラでの編集、Cloudflareのプロキシの切り替えなど）。追加し直してTest DNSをクリックしてください。
DNS設定
レコード一式は受信トレイごとに異なります。接続した各メールボックスに、それぞれのSMTP configurationタブとCNAMEがあります。最初に設定した1つだけでなく、送信に使うすべての受信トレイを認証してください。
DNS設定
ホスト欄の二重入力とGoogle Domains特有の注意点：groove._domainkey.yourdomain.comではなく、groove._domainkeyだけを入力します。Google DomainsではさらにCNAMEターゲットの末尾にピリオドが必要です。
DNS設定
CloudflareのプロキシはCNAMEの解決を妨げます。GrooveのCNAMEはそれぞれ「DNS only」（グレーのクラウド）に設定してください。オレンジのクラウドでプロキシが有効なCNAMEはGrooveのホストに解決されず、Test DNSはInvalidのままです。
DNS設定
CNAME方式を使う場合、不要なinclude:smtp.groovehq.comを重ねないでください。SPFの10回のルックアップのうち1回を消費し、アライメントは得られません。Groove自身も、従来のSPF/DKIMの利用者にCNAMEへの移行を案内しています。
認証失敗の原因
DMARCレコードは1つのドメインに1つだけです。Grooveの手順にもDMARCのTXTがありますが、すでに_dmarcを公開している場合は省略してください。DMARCレコードが2つあると無効になり、どちらも適用されません。

SPFレコードを作成

Grooveでは、ルートドメインにSPFのinclude:を追加する必要はありません。作成ツールを使って他の送信元用のクリーンなレコードを1つ組み立て、1行に収めてください。

送信元

メールの送信に使っているサービスを検索して、それぞれチェックを入れてください。

上の検索欄で利用中のメールサービスを検索するか、してください。

このドメイン自身のサーバー

ドメインが（上記のサービスを経由せず）直接メールを送信する場合は、ドメイン自体を許可します。

a（ドメイン自身のAレコード）mx（ドメインのMXホスト）

その他の送信元・IP

リストにないもの（別のサービスのSPFホストや特定のIPアドレス）を追加します。

追加のinclude

接頭辞のinclude:は自動で付加されます。サービスのドキュメントに記載されているホスト名を入力してください。

IPv4アドレス

IPv6アドレス

その他すべての送信元へのポリシー

上記に記載されていないサーバーからのメールを、受信側がどう処理すべきかを指定します（allメカニズム）。

-all (fail)厳格：記載されていないサーバーからのメールを拒否するよう受信側に求めます。~all (softfail)推奨の初期設定：記載されていない送信元のメールは受け付けられますが、疑わしいものとして扱われます。?all (neutral)判定なし：保護効果はほとんどありません。テスト中のみ使用してください。

生成されたSPFレコードDNSルックアップ0/10回

v=spf1 ~all

送信元がまだないため、すべてのメッセージに~allポリシーが適用されます。ステップ1で利用中のサービスを追加してください。

ルートドメインにTXTレコードとして公開します。ホストは@（ドメインそのもの）、値は上記の文字列全体です。
SPFレコードは1つのドメインにつき1つだけにします。すべての送信元をこの1行にまとめてください。v=spf1で始まるTXTレコードが2つあると、両方とも無効になります。
DNSルックアップは10回以内に収めてください。include:、a、mxはそれぞれ1回とカウントされ、includeは内部でさらにルックアップを発生させることがあります。ip4:とip6:はカウントされません。

送信ドメイン認証の設定が済んだら、次は検証済みのクリーンなリストへの配信です。

リストを検証

GrooveのSPFに関するよくある質問

Grooveの現在のホワイトラベル化の設定では不要です。includeは従来方式です。GrooveはGroove自身のreturn-pathから送信するため、includeで成功するのはGrooveのIPに対するSPFのチェック自体だけです。Fromドメインとアライメントは一致しないので、これだけではDMARCに成功できません。アライメントを一致させてDMARCの成功を支えるのは、groove._domainkeyのDKIM CNAMEです。それでもincludeを追加すると、SPFの10回のルックアップのうち1回を消費するだけで、アライメントは得られません。

受信トレイがホワイトラベル化されていないためです。DKIM CNAMEがない状態でGrooveのSMTPから送信しています。Settings → Channels → Email → （受信トレイを編集） → SMTP configurationタブを開き、CNAMEを追加してTest DNSをクリックしてください。Validと表示され、メールに自社ドメインとしてDKIM署名が付くと、「via」の表示が消えて到達率も改善します。

Settings → Channels → Emailで受信トレイを選び、鉛筆アイコンをクリックして編集し、SMTP configurationタブを開きます。CNAMEレコード、DMARCのTXTレコード、Test DNSボタンはすべてそこにあります。値はメールボックスごとに固有なので、他の受信トレイの値を流用せず、正確にコピーしてください。

Grooveは毎日太平洋時間の午前0時にDNSを再確認し、レコードが解決されなくなるとホワイトラベル化を無効にします。レジストラでの編集、レコードの削除、Cloudflareのプロキシの再有効化など、何らかの原因でCNAMEが変更されています。SMTP configurationタブにあるとおりにレコードを復元し、Test DNSをクリックして再度有効にしてください。

いいえ。Gmail/Google WorkspaceまたはMicrosoft 365で接続した受信トレイは、GrooveのSMTPサーバーではなくそれらのサービス経由で送信するため、GrooveのCNAMEは該当しません。実際にメールを送信している側でドメインを認証してください。Google Workspaceでは、Apps → Google Workspace → Gmail → Authenticate emailでDKIMをオンにし、SPFに_spf.google.comを追加します。Microsoft 365では、Defender portalでDKIMを有効にし、spf.protection.outlook.comをincludeします。その上で、ドメインに_dmarcレコードを1つだけ公開します。このページで説明しているホワイトラベル化のCNAMEを使うのは、Groove自身のSMTPサーバーを使う受信トレイだけです。

ドメイン診断Test DNSが緑になった後、GrooveのDKIM CNAME、return-pathのCNAME、DMARCレコードがすべて正しく解決されることを確認できます。CloudflareのSPF・DKIM・DMARCGrooveのCNAMEをすべて「DNS only」（グレーのクラウド）に設定し、オレンジのクラウドのプロキシで解決とTest DNSが妨げられないようにします。GoogleとYahooの送信者ガイドライン2024年以降、忙しい共有受信トレイから送るメールが受信トレイに届き続けるために、SPF、DKIM、DMARCにアライメントが一致した状態で成功する必要がある理由を解説します。DMARCの設定手順Grooveの手順にある_dmarcレコードを公開し、p=noneからquarantine、rejectへと安全に移行できます。SPF・DKIM・DMARCの解説GrooveでDMARCに成功させるのがSPFのincludeではなくDKIMのアライメントである理由を、基礎から解説します。DMARCレポート解析ポリシーを引き上げる前に集計レポートを読み、Grooveが、アライメントが一致しDKIMに成功している送信元として表示されることを確認できます。

ヘルプデスク・CRMの他のサービス

すべてのSPFガイド

GrooveのSPF、DKIM、DMARCを毎日監視レコードの設定は、最初の一歩にすぎません。ドメイン診断の監視は、SPFのルックアップ数、DKIMキー、DMARCポリシーを毎日再チェックし、どれかが壊れたときにメールでお知らせします。ドメイン診断の監視を見る SPFのDNSルックアップが多すぎる場合：数え方とpermerrorの直し方

公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。

認証の次は、リストをクリーンに保つ

SPF、DKIM、DMARCに成功すれば受信トレイに届き、クリーンなリストならその状態を維持できます。お手持ちのリストも検証してクリーニングできます。100クレジット無料、クレジットカード登録不要で始められます。

検証を始める

Grooveの​SPF・DKIM・DMARC設定。