SPF設定ガイド

IONOSのSPF・DKIM・DMARC設定。

IONOSは、DNSホストとメールホストを同時に兼ねていることが多い点で特殊です。そのため「IONOSでドメインを認証する」手順は、ネームサーバーの向き先によってまったく変わります。ドメインがIONOSのネームサーバーを使っていて（IONOSでドメインを登録またはホストした場合の既定です）、IONOSのメールボックスから送信する場合、レコードの大半はIONOSがすでに公開しています。自動で維持される「IONOS SPF (TXT)」エントリと、DKIMを委任する3つのCNAMEレコードです。実際に必要な作業は、それらの存在を確認し、IONOSが作成しない唯一のレコードであるDMARCを追加して、実際のメールで確認することです。一方、DNSが別の場所（Cloudflare、GoDaddy、Route 53）にあり、メールボックスがIONOSにある場合は、共有のSPFのinclude、3つのDKIM CNAME、DMARCをすべて手動で追加します。どちらの場合も、ここでいう「自社ドメインで送信する」とは、IONOS Mailのメールボックス、IONOSのWebメール、IONOSでホストするお問い合わせフォームからの送信を指します。なお、IONOS経由で再販されるMicrosoft 365/Exchangeは、認証の仕組みがまったく異なります。

SPFのinclude

Your DNSAdd the CNAME / TXT records

IONOSSigns & sends as your domain

The inboxSPF · DKIM · DMARC pass

IONOSを認証すべき理由

IONOSでも重要性は他と変わりません。GmailとYahooは2024年2月の送信者ガイドライン以降、認証されていない大量メールを迷惑メールに振り分けるか拒否しており、どのメールボックスでもアライメントが一致しないメールは不審なものとして扱われます。ただし、IONOSには特有の注意点があります。IONOSがレジストラとネームサーバーを兼ねている場合、SPFとDKIMが自動的に公開されるため、メールは最初からこの2つのチェックに成功することが多く、すべて問題ないように見えます。しかし、IONOSはDMARCを公開しません。_dmarcレコードがなければ、ポリシーも、アライメントの適用も、集計レポートもありません。そのため、たとえばマーケティングツールやお問い合わせフォームがアライメントの一致しない状態で送信していても把握できず、GmailとYahooが大量送信に適用しているDMARCの要件も満たせません。IONOSでの作業は「3つすべてを一から設定する」ことではほとんどありません。IONOSが済ませた2つを確認し、済ませていない1つを追加して、3つすべてがionos.comではなく自社ドメインとアライメントが一致することを証明する作業です。

IONOSにおけるSPFの実情

IONOSは共有includeモデルを採用しています。IONOSのメールボックスはすべて、1つのincludeの背後に公開された固定のIONOSメールサーバー群を通じて送信します。このincludeは、欧州のプラットフォームではinclude:_spf-eu.ionos.com、USのプラットフォームではinclude:_spf-us.ionos.comです。includeはネストしたincludeのないIONOSのip4:範囲のフラットなリストに解決されるため、10回のルックアップのうち消費するのはちょうど1回です。公開方法は、DNSの運用者によって変わります。IONOSがネームサーバーであれば、v=spf1を手入力することは一切ありません。DNSエディターには専用の「IONOS SPF (TXT)」レコードタイプがあり、IONOSが既定で追加して、送信IPの変更に合わせて最新の状態に保ちます。存在を確認するだけで済みます。DNSが別の場所にある場合は、既存のルートドメインのSPFレコードにincludeを手動で組み込み、1つのTXTレコードに収めます（v=spf1 include:_spf-eu.ionos.com ~all）。他の送信元も同じ行にまとめてください。v=spf1レコードが2つに分かれているとPermErrorになり、ドメイン全体のSPFが機能しなくなります。IONOSのSPFが誤って無効になる原因として、これが最も多いものです。

2つの設定方法

推奨

IONOSがDNSをホスト（ほぼ自動管理）

IONOSが「IONOS SPF (TXT)」レコードタイプでSPFを自動的に公開し、最新の状態に保ちます
IONOSのネームサーバーとIONOS Mailを使っていれば、DKIM CNAMEが3つ自動で作成されます
主な作業は、レコードの存在確認と、IONOSが作成しない唯一のレコードであるDMARCの追加です
SPFのDNSルックアップを1回消費します。他の送信元を追加しない限り、まとめる作業はありません

従来方式

DNSを別の場所でホスト（手動）

ルートドメインのSPFレコードに、include:_spf-eu.ionos.com（または_spf-us）を自分で追加します
3つのDKIM CNAME（s1-ionos、s2-ionos、アカウント固有の数字のセレクター）を手動で作成します
DMARCは自分で追加し、includeは他の送信元とまとめます
IONOSのDNS管理画面は権威を持ちません。実際のDNSホストでレコードを編集してください

設定手順

IONOS control panelで

1
DNSエディターを開く
ionos.comにサインインし、Menu → Domains & SSLを開いてドメインを探します。Actionsの歯車（または3点）アイコンをクリックし、DNSを選びます。ドメインのDNSレコード一覧が開きます。
2
メールのプラットフォーム（EUまたはUS）を確認
SPFに手を付ける前に、アカウントのデータセンターのリージョンを確認します。欧州のメールボックスはEUプラットフォーム、USのionos.comプラットフォームのアカウントはUSプラットフォームを使います。これにより、必要なのが_spf-eu.ionos.comか_spf-us.ionos.comかが決まります。不明な場合は、IONOSから案内されたSMTP/メールサーバーのホストを確認するか、IONOSサポートに問い合わせてください。誤って選ぶと、すべてのメールが気づかないうちにsoftfailになります。
3
IONOSがすでに公開しているものを確認
ドメインがIONOSのネームサーバーを使い、IONOS Mailから送信している場合は、まずレコード一覧を確認します。通常はすでに、IONOS SPF (TXT)、および3つのCNAME（s1-ionos._domainkey、s2-ionos._domainkey、sXXXXXXXX._domainkeyのような数字のセレクター）があります。これらがあれば重複して作成せず、DMARCの追加と確認に進んでください。

DNSホストで

4
SPFを公開または確認
IONOS DNSの場合：Add record → IONOS SPF (TXT)、Saveの順にクリックします。IONOSが正しい値を維持し、既存のSPFがあればまとめます。外部DNSの場合：ホストを@、値をv=spf1 include:_spf-eu.ionos.com ~allとしてTXTレコードを追加します（USプラットフォームの場合は_spf-us.ionos.comを使用）。SPFレコードがすでにある場合はその1行にincludeをまとめ、2つ目のSPFレコードは絶対に作成しないでください。
5
DKIM CNAMEを3つ追加
IONOS DNSではこれらは自動で作成されます。外部DNSでは、3つすべてをCNAMEレコードとして追加します（ホストs1-ionos._domainkey → s1.dkim.ionos.com、ホストs2-ionos._domainkey → s2.dkim.ionos.com、ホストsXXXXXXXX._domainkey → sXXXXXXXX.dkim.ionos.com）。数字のセレクターはアカウントごとに固有です。IONOSのパネルから正確にコピーし、自分で作らないでください。入力するのはホストのラベルのみです。ドメインはIONOSが自動で付加します。
6
CNAMEの外部プロキシをオフにする
DNSがCloudflareの背後にある場合は、DKIM CNAMEをそれぞれ「DNS only」（グレーのクラウド）に設定します。オレンジのクラウドのプロキシを使うと、CNAMEのターゲットが書き換えられ、DKIMの検証に失敗します。
7
DMARCレコードを追加
IONOSはDMARCを作成しません。ホストを_dmarc、値をv=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comとしてTXTレコードを追加します。p=noneは監視のみのため、アライメントを確認している間、配信には影響しません。ポリシーは後から引き上げます。

確認

8
反映を待つ
IONOSによると、変更が世界中に反映されるまで最大48時間かかることがありますが、通常はもっと早く完了します。IONOSのレコードの既定のTTLは1時間です。DNSが更新されるまでの時間を置いてから、設定を判断してください。
9
テストメールを送信してヘッダーを確認
IONOSのメールボックスからGmailアカウント宛てにメールを送り、開いて⋮ → Show originalを使います。SPF: PASS、DKIM: PASS（yourdomain.comによる署名、セレクターはs1-ionosまたはs2-ionos）、DMARC: PASSと表示され、すべてionos.comではなく自社ドメインとアライメントが一致していれば成功です。
10
送信ドメインごとに手順を繰り返す
SPF、DKIM、DMARCは、いずれもドメインごとに設定します。IONOSでホストする複数のドメインから送信する場合は、それぞれに専用のIONOS SPF、DKIM CNAME、_dmarcレコードが必要です。

追加するレコード

正確な値はIONOSのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。

タイプ	ホスト	値
TXT	@	v=spf1 include:_spf-eu.ionos.com ~allEUプラットフォームのメールボックス用の、ルートドメインのSPFです。USプラットフォームのアカウントでは、代わりにinclude:_spf-us.ionos.comを使います。IONOSがDNSをホストしている場合は、Add record → 「IONOS SPF (TXT)」で追加すると自動で維持されます。SPFレコードは1つだけにし、他の送信元はこの行にまとめてください。
CNAME	s1-ionos._domainkey	s1.dkim.ionos.comDKIMセレクター1。CNAMEでIONOSに委任します。IONOSがネームサーバーなら自動で作成され、外部DNSでは手動で追加します。
CNAME	s2-ionos._domainkey	s2.dkim.ionos.comDKIMセレクター2。s1-ionosとローテーションする相手です。
CNAME	sXXXXXXXX._domainkey	sXXXXXXXX.dkim.ionos.com例です。数字のセレクターはアカウントごとに固有です（例：s42582890）。正確な値はIONOSのDNS管理画面からコピーし、推測しないでください。
TXT	_dmarc	v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comDMARCポリシーです。IONOSはこれを作成しません。1つのドメインにつき1つです。p=noneから始め、quarantine/rejectへと引き上げます。

ルートドメインのSPF（v=spf1）のTXTレコードは1つだけにし、すべての送信元をこの1行にまとめてください。SPFレコードが2つあると、それ自体がエラーになります。

DNSルックアップの10回制限

SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。IONOSの設定がこの上限のうち何回を消費するかは、次のとおりです。

SPF 10-lookup budget1 used · 9 free

IONOSは10回のルックアップのうち1回を消費します。ip4:とip6:のメカニズムはルックアップを消費しません。

DKIM

IONOSのDKIMは、鍵を貼り付ける方式ではなく、CNAMEによる委任で設定します。公開するCNAMEレコードは3つです。s1-ionos._domainkeyとs2-ionos._domainkey（ローテーションするペア）の向き先は、それぞれs1.dkim.ionos.comとs2.dkim.ionos.comです。さらに、s42582890._domainkeyのようなアカウント固有の数字のセレクターが1つあり、対応するs42582890.dkim.ionos.comを指します。実際の公開鍵はこれらのCNAMEの背後でIONOSが保持しているため、ユーザーがDNSを変更しなくても、IONOSは鍵をローテーションできます。これが委任の目的であり、IONOSのメールボックス用にDKIM鍵をTXTレコードとしてそのまま公開してはいけない理由でもあります。IONOSがネームサーバーの場合、ドメインでIONOS Mailを使い始めた時点で3つとも自動で作成されます。外部DNSの場合は3つとも手動で追加し、数字のセレクターはIONOSのDNS管理画面から正確にコピーする必要があります。セレクターはアカウントごとに固有で、推測はできません。例外は、IONOSが再販するMicrosoft 365のメールボックスです。そのDKIMはこれらのCNAMEではなく、Microsoft側で管理します。

DMARC

DMARCは、IONOSがSPFとDKIMを自動管理している場合でも公開しない唯一のレコードです。そのため、ほぼすべてのIONOSドメインで、追加するまで存在しません。ホスト_dmarcに、まず監視のみのポリシーでTXTレコードを1つ作成します（v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com）。p=noneは配信にまったく影響せず、集計レポートを有効にするだけです。このレポートを見れば、IONOS Mail、メール配信サービス（ESP）、お問い合わせフォームといった送信元のうち、どれが成功し、アライメントが一致しているかがわかります。正規のIONOSメールが問題なく認証されていることをレポートで確認できたら、p=quarantine、さらにp=rejectへと引き上げます。GmailとYahooが求めるDMARCのポリシー適用という要件を実際に満たすのは、この最後のステップです。SPFとDKIMだけでは満たせません。

正しく設定できたか確認する

DNS管理画面だけで判断せず、実際のメールで確認してください。IONOSのメールボックスからGmailアドレス宛てに送信し、メールを開いて⋮ → Show originalを選びます。PASSの行が3つあり、すべてionos.comではなく自社ドメインとアライメントが一致していれば成功です。具体的には、SPF: PASS（IONOSのIPから）、DKIM: PASS（セレクターs1-ionosまたはs2-ionosでyourdomain.comが署名）、DMARC: PASSです。コマンドラインでは、dig TXT yourdomain.comでv=spf1の行がちょうど1つ返り、dig CNAME s1-ionos._domainkey.yourdomain.comがs1.dkim.ionos.comに解決されるはずです。IONOSでは、既定の1時間のTTLで反映に最大48時間かかることがあるため、保存直後の失敗はたいていタイミングの問題です。Qualisendのドメイン診断では、これらをすべて一度に実行し、アライメントが一致しないものを指摘します。

ドメイン診断 DMARCレポート解析

よくある注意点

適用範囲
EUとUSの取り違えは、IONOSで最も多いミスです。EUプラットフォームのメールボックスにはinclude:_spf-eu.ionos.com、USプラットフォームのアカウントにはinclude:_spf-us.ionos.comが必要です。誤ったほうを使うと別のデータセンターのIPを許可することになり、レコードは正しく見えてもすべてのメールがsoftfailになります。自分の所在地ではなく、アカウントのリージョンに合わせてください。
認証失敗の原因
IONOSがDNSをホストしている場合、SPFの行を手動で貼り付けないでください。IONOSは「IONOS SPF (TXT)」レコードタイプですでにSPFを公開・維持しています。そこに独自のv=spf1行を追加するとSPFレコードが2つになってPermErrorとなり、SPFが完全に機能しなくなります。
適用範囲
IONOS自身の_spf-eu.ionos.comレコードの末尾は、~allではなく?all（neutral）です。これはIONOSのレコードなので変更できません。外側のレコードは~allのままにし、neutralの修飾子を自社のSPFレコードにコピーしないでください。
DNS設定
DKIMはCNAMEで委任されているため、IONOSのメールボックス用にDKIM鍵をTXTレコードとして貼り付けないでください。CNAMEを削除してしまった場合は、s1-ionos._domainkey、s2-ionos._domainkey、アカウント固有の数字のセレクターを追加し直します。数字のセレクターはアカウントごとに固有なので、パネルから正確にコピーしてください。
DNS設定
IONOS経由で購入したMicrosoft 365やExchangeは、s1-ionosのCNAMEではなくMicrosoft側で認証します。これらのドメインのDKIMはMicrosoft 365 Defender portalで設定します（Exchange Onlineは現在、カスタムセレクターを設定する前でも、送信メールに既定のDKIM署名を自動で適用します）。IONOSのs1-ionos/s2-ionosのCNAMEが対象とするのは、IONOS自身のメールボックスだけです。
DNS設定
ネームサーバーがIONOS以外を指している場合、IONOSのDNS管理画面は権威を持たず、自動管理のSPF/DKIMも適用されません。includeとCNAMEは実際のDNSホストで追加する必要があります。
DNS設定
Cloudflareなどプロキシ機能のあるDNSでは、DKIM CNAMEをDNS-only（グレーのクラウド）に設定してください。プロキシが有効だと、CNAMEのターゲットが書き換えられ、DKIMの検証に失敗します。
適用範囲
時間を置いてください。IONOSによると反映には最大48時間かかることがあり、レコードの既定のTTLは1時間です。保存直後にテストが失敗しても、たいていは反映待ちで、レコードの問題ではありません。

SPFレコードを作成

以下ではIONOSがあらかじめ選択されています。他に利用している送信プラットフォームを追加し、1つにまとめたレコードを公開してください。

送信元

メールの送信に使っているサービスを検索して、それぞれチェックを入れてください。

選択済み

IONOSinclude:_spf-eu.ionos.comガイド →

このドメイン自身のサーバー

ドメインが（上記のサービスを経由せず）直接メールを送信する場合は、ドメイン自体を許可します。

a（ドメイン自身のAレコード）mx（ドメインのMXホスト）

その他の送信元・IP

リストにないもの（別のサービスのSPFホストや特定のIPアドレス）を追加します。

追加のinclude

接頭辞のinclude:は自動で付加されます。サービスのドキュメントに記載されているホスト名を入力してください。

IPv4アドレス

IPv6アドレス

その他すべての送信元へのポリシー

上記に記載されていないサーバーからのメールを、受信側がどう処理すべきかを指定します（allメカニズム）。

-all (fail)厳格：記載されていないサーバーからのメールを拒否するよう受信側に求めます。~all (softfail)推奨の初期設定：記載されていない送信元のメールは受け付けられますが、疑わしいものとして扱われます。?all (neutral)判定なし：保護効果はほとんどありません。テスト中のみ使用してください。

生成されたSPFレコードDNSルックアップ1/10回

v=spf1 include:_spf-eu.ionos.com ~all

ルートドメインにTXTレコードとして公開します。ホストは@（ドメインそのもの）、値は上記の文字列全体です。
SPFレコードは1つのドメインにつき1つだけにします。すべての送信元をこの1行にまとめてください。v=spf1で始まるTXTレコードが2つあると、両方とも無効になります。
DNSルックアップは10回以内に収めてください。include:、a、mxはそれぞれ1回とカウントされ、includeは内部でさらにルックアップを発生させることがあります。ip4:とip6:はカウントされません。

送信ドメイン認証の設定が済んだら、次は検証済みのクリーンなリストへの配信です。

リストを検証

IONOSのSPFに関するよくある質問

一部必要です。IONOSのネームサーバーとIONOS Mailを使っている場合、IONOSがSPF（「IONOS SPF (TXT)」レコード）と3つのDKIM CNAMEを自動で公開するため、これらは通常すでに設定されています。ただし、IONOSはDMARCを作成しないので、_dmarcのTXTレコードは自分で追加する必要があります。また、SPF、DKIM、DMARCのすべてが自社ドメインとアライメントが一致した状態で成功していることを、実際のメールで確認してください。

国ではなく、メールボックスがあるIONOSのプラットフォームによって決まります。EUプラットフォームのアカウントはinclude:_spf-eu.ionos.com、USのionos.comプラットフォームのアカウントはinclude:_spf-us.ionos.comを使います。不明な場合は、IONOSから割り当てられたメール/SMTPサーバーのホストを確認するか、IONOSサポートに問い合わせてください。誤ったリージョンを使うと、すべてのメールが気づかないうちにsoftfailになります。

すべて手動で、実際のDNSホストに追加します。1つのSPFレコードにinclude:_spf-eu.ionos.com（または_spf-us）を追加し、3つのDKIM CNAME（s1-ionos、s2-ionos、アカウントの数字のセレクター）を作成して、_dmarcのTXTレコードを追加します。DKIM CNAMEは、それぞれ対応する*.dkim.ionos.comのホストを指します。IONOSの自動管理が機能するのは、IONOSがネームサーバーの場合だけです。

よくある原因は3つです。リージョンのincludeを間違えている（EUとUS）、ドメインのSPFレコードが2つになっている（PermError）、または失敗しているメールが実際にはIONOS MailではなくMicrosoft 365/他のサービスから送信されていて、そのサービスのレコードが必要、のいずれかです。dig TXT yourdomain.comで、正しいincludeを含むv=spf1の行がちょうど1つあることを確認してください。

1回です。include:_spf-eu.ionos.comは、ネストしたincludeのないip4:範囲のフラットなリストに解決されるため、10回のルックアップのうち1回だけを消費します。他の送信元をまとめる余裕は十分にありますが、複数のサービスを重ねる場合は上限に注意してください。

SPFレコードは1つにして、すべてのメカニズムをまとめます（例：v=spf1 include:_spf-eu.ionos.com include:sendgrid.net ~all）。DKIMはサービスごとに独自のセレクターを使うため衝突せず、DMARCは共有のレコード1つです。includeを追加する際は、SPFのDNSルックアップの10回制限に注意してください。

いいえ。IONOSがネームサーバーの場合はSPFとDKIMを自動管理することがありますが、DMARCは必ず自分で公開します。_dmarcのTXTレコードをp=noneで追加し、IONOSのメールがアライメントの一致した状態で成功していることを集計レポートで確認してから、p=quarantine、p=rejectへと進めます。

IONOSのSPF・DKIM・DMARCIONOSのDNSエディターの注釈付きスクリーンショットとレコードごとの詳細を掲載した、関連ガイドです。SPF・DKIM・DMARCの解説3つのレコードの関係と「アライメント」の実際の意味を、わかりやすく解説します。DMARCの設定手順このガイドのp=noneのレコードから、安全なp=rejectポリシーまで進めます。SPFレコード作成ツールinclude:_spf-eu.ionos.comと他の送信元を、10回の上限に収めた1つの有効なレコードにまとめます。ドメイン診断公開後に、IONOSのSPF、DKIM、DMARCがすべて解決され、成功していることを確認します。DMARCレポート解析集計レポートをドロップして、IONOSが、アライメントが一致し認証に成功している送信元として表示されることを確認します。

ホスティング・Webサイトの他のサービス

すべてのSPFガイド

IONOSのSPF、DKIM、DMARCを毎日監視レコードの設定は、最初の一歩にすぎません。ドメイン診断の監視は、SPFのルックアップ数、DKIMキー、DMARCポリシーを毎日再チェックし、どれかが壊れたときにメールでお知らせします。ドメイン診断の監視を見る SPFのDNSルックアップが多すぎる場合：数え方とpermerrorの直し方

公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。

認証の次は、リストをクリーンに保つ

SPF、DKIM、DMARCに成功すれば受信トレイに届き、クリーンなリストならその状態を維持できます。お手持ちのリストも検証してクリーニングできます。100クレジット無料、クレジットカード登録不要で始められます。

検証を始める

IONOSの​SPF・DKIM・DMARC設定。