HubSpotの​SPF・DKIM・DMARC設定。

HubSpotを認証すべき理由

HubSpotの送信ドメインの認証は形式的な作業ではなく、受信トレイに届くか迷惑メールフォルダーに入るかを左右します。HubSpotも現在は事実上これを必須としています。2024年2月以降、GmailとYahooは、すべての大量送信者（個人向け受信トレイ宛てに1日あたり約5,000通以上）に対し、SPF、DKIM、DMARCにアライメントが一致した状態で成功することを義務付けています。Microsoftも2025年に、Outlook.com/Hotmail/Liveに同じルールを拡大しました。これを受けてHubSpotはドメイン接続を強く促しています。無料の公開Fromアドレス（gmail.com、yahoo.com）からのキャンペーンはブロックされ、接続していないドメインはHubSpot自身の名義で送信されます。その結果「via hubspotemail.net」の表示が付き、レピュテーションは認証していない他のHubSpot送信者全体と共有されます。さらに、2つのDKIM CNAMEを欠かせないものにしているHubSpot特有の事情があります。共有送信ではHubSpotがHubSpot自身のReturn-Path（hubspotemail.netのバウンス用ドメイン）でバウンスを処理するため、SPFは常にHubSpotのドメインに対してチェックされ、Fromドメインに対してはチェックされません。SPFのチェック自体には「成功」しても、アライメントは一致しません。そしてDMARCが評価するのは、アライメントが一致したSPFだけです。つまり、DMARCの成功を支える、アライメントの一致した唯一のメカニズムは、hs1/hs2セレクターによってd=yourdomain.comとして署名するDKIMです。CNAMEを省略するとアライメントの一致した認証がまったくなくなり、築いた送信レピュテーションも自社ドメインに蓄積されません。

HubSpotにおけるSPFの実情

HubSpotはアカウントごとに値が異なるサービスで、Google WorkspaceやMicrosoft 365のような単一の共有includeを使う送信者よりも、Amazon SESに近い仕組みです。全顧客が貼り付ける共通の「include:_spf.hubspotemail.net」は存在しません。送信ドメインを接続すると、HubSpotはアカウント固有の値を生成します。ポータル固有のセレクターバージョンをターゲットに含む2つのDKIM CNAME（yourdomain-com.hs01a.dkim.hubspotemail.net、hs01bなど）と、include:NNNNNN.spfNN.hubspotemail.netという形式のアカウント固有のSPFのinclude（NNNNNNはHub ID。例：include:123456.spf03.hubspotemail.net）です。HubSpotはこのSPFのincludeを、Fromアドレスが属するルートドメインのSPFレコードに追加するよう推奨しており、確かに有用です。ただし、古いチュートリアルのほとんどが誤解している点として、これだけではDMARCに成功しません。Return-PathはHubSpotが所有しており（共有送信者のバウンスはhubspotemail.netで処理されます）、SPFはHubSpotのバウンス用ドメインに対して評価されます。そのためhubspotemail.netに対するチェック自体には成功しますが、組織ドメインとアライメントは一致せず、DMARCが評価するのはアライメントの一致したSPFの結果だけです。HubSpotが2つのDKIM CNAMEを前面に出しているのはこのためです。アライメントが一致してDMARCの成功を支えるのはd=yourdomain.comとして署名するDKIMで、SPFのincludeは、SPFのチェック自体を成功させるための念のための保険です。ここから2つのルールが導かれます。1つ目に、アカウント固有のincludeはポータル（Domains & URLs > Advanced Options > Copy SPF record）から正確にコピーし、汎用の値を推測しないでください。NNNNNNとspfNNの部分はアカウント固有です。2つ目に、ドメインのSPF TXTレコードは1つだけにしてください。2つ目のSPFレコードを公開せず、HubSpotのincludeを既存のv=spf1の行にまとめます（2つあるとPermErrorになります）。またこのincludeは10回のルックアップの上限に含まれます。SPFのアライメントも一致させたい場合、HubSpotにはカスタムReturn-Pathがあります。ただしMarketing Hub Enterpriseの機能で、DMARCの厳格なアライメントでは、送信ドメインがサブドメイン（mail.company.com）の場合にのみ機能し、ルートドメインのcompany.comでは機能しません。

2つの設定方法

設定手順

追加するレコード

正確な値はHubSpotのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。

DNSルックアップの10回制限

SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。HubSpotの設定がこの上限のうち何回を消費するかは、次のとおりです。

正しく設定できたか確認する

HubSpotの「Connected」のバッジだけで判断せず、実際のメールで確認してください。HubSpotからGmailアカウントにテストメールを送り、開いて3点メニュー > Show originalを選びます。DKIM: PASSでsigned-by / d=yourdomain.com、そしてDMARC: PASSと表示されていれば成功です。失敗の典型的な兆候はd=hubspotemail.netや「on behalf of」の行で、CNAMEが確認されていないか、Fromアドレスが接続済みのドメインのものではないことを意味します。SPFには通常、自社ドメインではなくhubspotemail.netが表示されます。Return-PathをHubSpotが所有し、アライメントを担うのはDKIMなので想定どおりです。ここではSPFが成功してアライメントが一致しなくても問題ありません。レコードそのものは、dig CNAME hs1._domainkey.yourdomain.comとdig TXT _dmarc.yourdomain.comで確認できます。最後に、Qualisendのドメイン診断でドメインをチェックし、両方のDKIM CNAME、まとめたSPF、DMARCレコードがすべて解決され、SPFが10回のルックアップの上限内に収まっていることを確認します。集計レポートが届き始めたら、DMARCレポート解析にレポートをドロップし、HubSpotが、DKIMのアライメントが一致して成功している送信元として表示されることを確かめます。

よくある注意点

• DNS設定

  HubSpotではSPFのアライメントが一致しません。共有送信のデフォルトのReturn-Pathはhubspotemail.net上にあるため、SPFのチェック自体はHubSpotに対して成功しますが、自社ドメインに対しては成功しません。アライメントが一致する唯一のメカニズムは2つのDKIM CNAME（d=yourdomain.com）で、SPFのincludeを追加するだけではDMARCに成功しません。

• 適用範囲

  アカウント固有の値を正確にコピーしてください。DKIMのターゲット（yourdomain-com.hsNNa/hsNNb.dkim.hubspotemail.net）とSPFのinclude（include:NNNNNN.spfNN.hubspotemail.net）はポータルごとに固有です。汎用のinclude:_spf.hubspotemail.netを推測したり、セレクターバージョンの部分を誤ったりすると、確認に失敗します。

• 適用範囲

  カスタムReturn-PathはEnterprise限定で、サブドメイン限定です。SPFのアライメントを一致させるカスタムReturn-PathはMarketing Hub Enterpriseの機能で、DMARCの厳格なアライメントでは、mail.company.comのようなサブドメインから送信する場合にのみ対応しており、ルートドメインのcompany.comでは使えません。SPFのアライメントが重要なら、両方が必要です。

• DNS設定

  HubSpotはDMARCの設定を支援しません。HubSpot Supportは_dmarcレコードについて支援できないと明言しており、HubSpotが作成することもありません。自分で公開し、p=noneから始めてください。

• DNS設定

  Cloudflareのプロキシを有効にすると、CNAMEが機能しません。hs1._domainkeyとhs2._domainkeyの両方をDNS only（グレーのクラウド）に設定してください。オレンジのクラウドでプロキシが有効なCNAMEはhubspotemail.netに解決されず、ドメインを接続できません。

• DNS設定

  ホスト欄でのドメインの重複：多くのレジストラはドメインを自動で付加するため、hs1._domainkey.yourdomain.comと入力するとhs1._domainkey.yourdomain.com.yourdomain.comになります。管理画面がドメインを付加する場合は、ラベル（hs1._domainkey、hs2._domainkey）だけを入力してください。

• 認証失敗の原因

  SPF TXTレコードは1つだけにしてください。HubSpotのincludeは既存のv=spf1の行にまとめます。SPFレコードが2つあるとPermErrorになります。また、このincludeはRFC 7208のDNSルックアップの10回の上限に含まれる点にも注意してください。

• 適用範囲

  ドメインの接続と利用は別です。DNSの確認後、マーケティングメールのFromアドレス（およびemail preference/subscriptionドメイン）を接続済みのドメインに設定してください。設定しないと、メールはアライメントが一致しないままHubSpotの名義で送信され続けます。

SPFレコードを作成

HubSpotでは、ルートドメインにSPFのinclude:を追加する必要はありません。作成ツールを使って他の送信元用のクリーンなレコードを1つ組み立て、1行に収めてください。

HubSpotのSPFに関するよくある質問

関連記事

ヘルプデスク・CRMの他のサービス

• Intercom
• Pipedrive
• Salesforce
• Zendesk
• Zoho CRM
• Zoho Desk
• Freshdesk
• Front

公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。