Kit (ConvertKit)のSPF・DKIM・DMARC設定。
Kit（旧ConvertKit）では、SettingsのEmailにあるVerified Sending Domain（VSD）のフローでドメインを認証します。共有のSPFの行を貼り付ける方式ではありません。Kitは2つのCNAMEレコードを生成します。1つはckespaサブドメインに置くもので、SPF/Return-Pathの委任を担います。もう1つはcka._domainkeyに置くもので、DKIM署名を担います。DNSホストで両方を追加し（またはKitの「Set this up for me」のEntri自動化に追加してもらい）、Validateをクリックすると、以降、Kitから送るすべてのブロードキャストとオートメーションが自社ドメインとしてDKIM署名されます。ルートドメインのSPFレコードは変わらず、「via convertkit-mail.com」の表記は消え、アライメントの一致したDKIMによってDMARCに成功できるようになります。
Kit (ConvertKit)を認証すべき理由
KitのVerified Sending Domainの設定は見た目だけの問題ではなく、ニュースレターが受信トレイに届くかどうかを左右します。Kitは大量配信型のニュースレタープラットフォームであり、購読者が数千人いるクリエイターは、まさにメールプロバイダーが現在取り締まっている「大量送信者」にあたります。2024年2月以降、GmailとYahooは、1日あたり約5,000通以上を送信するすべての送信者に対し、SPF、DKIM、DMARCにアライメントが一致した状態で成功することを義務付けています。Microsoftも2025年に、Outlook/Hotmailで同じ要件の適用を始めました。ドメインを確認するまで、Kitは自身の共有インフラ（convertkit-mail.com / convertkit-mail2.com）で送信します。Gmailの受信者には名前の横に「via convertkit-mail.com」のタグが表示され、Fromアドレスが自社のものであることを暗号学的に証明できず、DMARCでアライメントの一致した成功を得ることもできません。レピュテーションも、その共有プールにいる他の未認証のクリエイター全員と共有されます。Verified Sending Domainなら、これらを一度に解決できます。DKIMがd=yourdomain.comとして署名するのでアライメントが一致し、「via」タグが消え、DMARCに成功し、築いた送信レピュテーションはKitの共有インフラではなく自社ドメインに蓄積されます。
Kit (ConvertKit)におけるSPFの実情
KitはCNAMEで認証するサービスのため、ルートドメインのSPFに追加すべき「include:convertkit-mail.com」（やそれに類するもの）は、どのアカウントにもありません。Verified Sending Domainを設定すると、自社ドメインのサブドメインに置く2つのCNAMEレコードがKitから提示されます。ckespa.yourdomain.com（SPF/Return-Path側をKitのSPF許可済みの領域に委任します）とcka._domainkey.yourdomain.com（DKIM署名を委任します）です。ルートドメインのSPFのTXTレコードには手を加えず、Kitのフローでも編集を求められることはありません。KitのメールのSPF解決は、ルートドメインのレコードとは無関係に、すべてckespaサブドメインで行われます。一般的な解説のほとんどが誤っている重要なポイントは、KitではDMARCのアライメントを確実に一致させる経路が、SPFではなくDKIMだという点です。Kitは自身のエンベロープ用インフラでバウンスを処理するため、DMARCの成功をSPFのアライメントに頼るべきではありません。すべてのメールにd=yourdomain.comとして署名するcka._domainkeyのCNAMEこそが、アライメントを一致させて成功をもたらします。Kitの設定画面にCNAMEとDMARCの追加案内だけが表示され、v=spf1の行が出てこないのはそのためです。結論として、共有のSPFのincludeはなく、ルートドメインのSPFに追加されるDNSルックアップはゼロで、DMARCのために頼る仕組みはDKIMです。
設定手順
- 1
Verified Sending Domainの設定を開く
app.kit.comにログインし、アカウント名（右上）、Settingsの順にクリックして、左サイドバーのEmailを選びます。Verified Sending Domainsセクションまでスクロールし、「Set up your Verified Sending Domain」をクリックします。
- 2
送信に使うドメインを入力
Fromアドレスで使うドメインを入力します。yourdomain.comのようなルートドメインで問題ありません（Kitは専用サブドメインを必須としていません）。サブドメインから送信している場合はサブドメインを入力します。Nextをクリックすると、Kitがアカウント固有のレコードを生成します。
- 3
自動設定か手動設定かを選択
「Set this up for me」を選ぶと、KitのEntri連携がDNSプロバイダーを自動で検出します。ログインすると、レコードが代わりに書き込まれます。最も速い方法です。手動設定を選ぶ場合は、2つのCNAMEレコードをコピーしてDNSホストで自分で追加します。
- 4
ckespaのCNAMEレコードを追加（SPF/Return-Pathの委任）
Host/Nameをckespa、Value/TargetをKitに表示された正確なホスト名（アカウント固有で、Kitのconvertkit-mailの領域を指します）として、CNAMEレコードを作成します。これにより、SPF/エンベロープ側がKitに委任されます。タイプはCNAMEのままにし、TXTやAに変更しないでください。
- 5
cka._domainkeyのCNAMEレコードを追加（DKIM）
Host/Nameをcka._domainkey、Value/TargetをKitに記載されたDKIMのホスト名として、2つ目のCNAMEレコードを作成します。これがメールにd=yourdomain.comとして署名し、アライメントの一致したDMARCの成功をもたらします。_domainkeyのアンダースコアは必須です。
- 6
Cloudflareのプロキシをオフにする
DNSがCloudflareにある場合は、両方のCNAMEレコードを「DNS only」（オレンジではなくグレーのクラウド）に設定します。プロキシが有効なCNAMEはKitに解決されず、DKIMの確認に失敗します。また、管理画面がドメインを自動で付加する場合は、ラベル（ckespa、cka._domainkey）だけを入力してください。
- 7
Validateをクリック
KitのVerified Sending Domainの画面に戻り、Validateをクリックします。DNSの反映は通常数分ですが、最大48時間かかることがあります。レコードの追加直後に検証が失敗した場合は、トラブルシューティングの前に時間を置いて再試行してください。両方のCNAMEが解決されると、ドメインが確認済みと表示されます。
- 8
確認済みドメインから送信
ドメインを確認しても、Fromアドレスが自動で変わるわけではありません。Kitのアカウント/メール設定で、送信（From）アドレスが確認済みドメインのアドレス（例：hello@yourdomain.com）になっていることを確認してください。これでブロードキャストが実際に認証済みの経路で送信されます。
- 9
DMARCポリシーを公開
_dmarc.yourdomain.comに、v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comで始まるTXTレコードを追加します。p=none（監視のみ）のままにし、KitのDKIMのアライメントが一致することを確かめてから引き上げます。これはKitのフローで併せて追加するよう案内されるレコードで、2つのCNAMEレコードとは別のものです。
追加するレコード
正確な値はKit (ConvertKit)のセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。
| タイプ | ホスト | 値 |
|---|---|---|
| CNAME | ckespa | ckespa.convertkit-mail2.com例です。Kitにはアカウント固有の向け先が表示されます。サブドメインでのSPF / Return-Pathの委任で、ルートドメインのSPFに手を加えずに済むのはこのためです。 |
| CNAME | cka._domainkey | cka._domainkey.convertkit-mail2.com例です。アカウント固有の値はKitに表示されます。DKIM署名（d=yourdomain.com）を担います。これが、DMARCのアライメントが一致する経路です。TXTではなくCNAMEとして追加してください。 |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comDMARCポリシーです。ドメインごとに1つだけで、CNAMEとは別のものです。p=noneから始め、後で引き上げます。 |
ルートドメインのSPF（v=spf1）のTXTレコードは1つだけにし、すべての送信元をこの1行にまとめてください。SPFレコードが2つあると、それ自体がエラーになります。
DNSルックアップの10回制限
SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。Kit (ConvertKit)の設定がこの上限のうち何回を消費するかは、次のとおりです。
Kit (ConvertKit)の推奨設定はルックアップを消費しません。10回すべてを、includeが必要な他の送信元に使えます。
DKIM
DKIMは、cka._domainkey.yourdomain.comのCNAMEレコードを通じてKitに委任します。鍵を貼り付けるわけではありません。向け先はKitがホストするDKIMレコード（設定画面に表示されるアカウント固有の値）で、対応する秘密鍵はKitが保持し、すべてのブロードキャストとオートメーションにd=yourdomain.comとして署名します。署名ドメインが自社ドメインなので、DMARCのアライメントを一致させ、成功を担うのはこの仕組みです。Kitでアライメントのために頼る仕組みはDKIMであり、SPFではありません。つまずきやすい点は2つあります。1つ目は、ホストにアンダースコアが含まれる（cka._domainkey）ことです。一部のDNS管理画面ではCNAMEレコードでこれを拒否しますが、アンダースコアは必須なので、対応しているホストを使うかKitサポートに問い合わせてください。2つ目は、必ずCNAMEとして追加する必要があり、TXTレコードにはできないことです。値をTXTレコードに貼り付けると、DKIMは何の警告もなく失敗します。ckaセレクターの背後の鍵はKit側でローテーションするので、CNAMEが解決された後は再編集の必要はありません。
DMARC
DMARCは、ルートドメインに設定する別のポリシーレコードで、CNAMEの1つではありません。ただし、Kitのフローでは追加するよう案内されます。_dmarc.yourdomain.comに、v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comで始まるTXTレコードを公開します。p=noneは監視のみのため、KitのDKIMのアライメントが一致することを確かめている間も配信には影響しません。1～2週間、集計レポート（rua）を確認し、アライメントの一致したDKIMで成功している送信元としてKitが表示されることを確かめたら、ポリシー適用へと進めます。p=quarantine（必要ならまずpct=25から）、続いてp=rejectです。Kit固有の注意点が1つあります。Verified Sending Domainが有効になる前に、適用済みのDMARCポリシー（p=quarantineまたはp=reject）がすでにあると、その間のKitのメールが隔離または拒否されることがあります。Kitと合わせて新たに設定する場合はp=noneでDMARCを追加し、DKIMの検証が済んでから引き上げてください。送信者がいくつあっても、_dmarcレコードはドメイン全体で1つだけにし、Kit用に2つ目を追加しないでください。
正しく設定できたか確認する
Kitの「verified」のチェックマークだけで判断せず、実際のメールで確認してください。確認済みドメインのアドレスから自分宛てにテストブロードキャストを送り、Gmailで開いて、3点メニューからShow originalを選びます。signed-by: yourdomain.comとともにDKIM: PASS、さらにDMARC: PASSと表示され、名前の横の「via convertkit-mail.com」の表記が消えていれば成功です。Kit特有の挙動として、SPFは成功と表示されても、「mailed-by」がFromドメインと一致せずKitのエンベロープ用ホストになることがあります。これはKitでは正常で、DKIMのアライメントが一致するのでDMARCには成功します。続いて、Qualisendのドメイン診断でドメインをチェックし、ckespaのCNAME、cka._domainkeyのDKIM CNAME、DMARCレコードがすべて解決されることを確認します。個々のレコードは送信ドメイン認証チェックで確認できます。集計レポートが届き始めたら、DMARCレポート解析にレポートをドロップします。Kitは、DKIMでアライメントが一致して成功している送信元として表示されるはずです。
よくある注意点
- DNS設定
Cloudflareのプロキシで機能しなくなる：Kitの両方のCNAMEレコードを「DNS only」（グレーのクラウド）に設定してください。オレンジのクラウドでプロキシが有効なCNAMEはKitのインフラに解決されず、DKIMの確認に失敗します。
- DNS設定
ホスト欄のドメイン重複：多くのレジストラはドメインを自動で付加するため、ckespa.yourdomain.comと入力するとckespa.yourdomain.com.yourdomain.comになります。管理画面がドメインを付加する場合は、ラベル（ckespa、cka._domainkey）だけを入力してください。
- DNS設定
CNAMEではなくTXTとして追加してしまう：どちらのレコードもCNAMEです。DKIMの値をTXTレコードに貼り付けると、何の警告もなく失敗します。タイプは必ずCNAMEにしてください。
- 認証失敗の原因
Kit用のSPFのincludeを自作しない：ルートドメインのSPFはそのままで、ルックアップも増えません。KitはckespaサブドメインでSPFを委任し、DMARCのアライメントについてはDKIMに頼ります。架空のinclude:convertkit...を追加しても何の効果もなく、10回のSPFルックアップのうち1回を無駄にします。
- 適用範囲
適用済みのDMARCポリシーが先にある：Verified Sending Domainの検証が完了する前にp=quarantineまたはp=rejectが有効だと、その間のKitのメールが迷惑メール扱いになったりバウンスしたりすることがあります。DKIMのアライメントが一致するまではp=noneを使い、その後で引き上げてください。
- 適用範囲
反映の遅れ：DNSの変更には最大48時間かかることがあります。レコードの追加直後はKitのValidateチェックが失敗する場合があるので、問題があると判断する前に時間を置いて再試行してください。
- 適用範囲
確認とそのドメインからの送信は別：Verified Sending Domainはドメインを認証しますが、KitのFromアドレスをそのドメインのアドレスに設定しなければ、メールは認証済みの経路を使いません。
- 適用範囲
開封率の一時的な低下：設定後2～3週間は、メールプロバイダーが新たに認証されたドメインの送信者レピュテーションを再計算するため、開封率が変動することがあるとKitは警告しています。これは想定どおりで、設定ミスではありません。
SPFレコードを作成
Kit (ConvertKit)では、ルートドメインにSPFのinclude:を追加する必要はありません。作成ツールを使って他の送信元用のクリーンなレコードを1つ組み立て、1行に収めてください。
送信元
メールの送信に使っているサービスを検索して、それぞれチェックを入れてください。
上の検索欄で利用中のメールサービスを検索するか、してください。
このドメイン自身のサーバー
ドメインが（上記のサービスを経由せず）直接メールを送信する場合は、ドメイン自体を許可します。
その他の送信元・IP
リストにないもの（別のサービスのSPFホストや特定のIPアドレス）を追加します。
接頭辞のinclude:は自動で付加されます。サービスのドキュメントに記載されているホスト名を入力してください。
その他すべての送信元へのポリシー
上記に記載されていないサーバーからのメールを、受信側がどう処理すべきかを指定します（allメカニズム）。
送信元がまだないため、すべてのメッセージに~allポリシーが適用されます。ステップ1で利用中のサービスを追加してください。
- ルートドメインにTXTレコードとして公開します。ホストは@（ドメインそのもの）、値は上記の文字列全体です。
- SPFレコードは1つのドメインにつき1つだけにします。すべての送信元をこの1行にまとめてください。v=spf1で始まるTXTレコードが2つあると、両方とも無効になります。
- DNSルックアップは10回以内に収めてください。include:、a、mxはそれぞれ1回とカウントされ、includeは内部でさらにルックアップを発生させることがあります。ip4:とip6:はカウントされません。
送信ドメイン認証の設定が済んだら、次は検証済みのクリーンなリストへの配信です。
リストを検証Kit (ConvertKit)のSPFに関するよくある質問
関連記事
マーケティング・ESPの他のサービス
すべてのSPFガイド公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。
認証の次は、リストをクリーンに保つ
SPF、DKIM、DMARCに成功すれば受信トレイに届き、クリーンなリストならその状態を維持できます。お手持ちのリストも検証してクリーニングできます。100クレジット無料、クレジットカード登録不要で始められます。