Loopsの​SPF・DKIM・DMARC設定。

Loopsを認証すべき理由

Loopsのドメイン認証は形式的な作業ではありません。レコードの確認が済むまで、Loopsから自社ドメインとして送信することはできず、その確認こそが認証です。2024年2月以降、GmailとYahooは、すべての大量送信者（1日あたり約5,000通以上）に対し、SPF、DKIM、DMARCにアライメントが一致した状態で成功することを義務付けています。Microsoftも2025年に、大量送信者に同じ要件の適用を始めました。Loopsは共有のAmazon SESインフラ上で動作し、基盤となるSESアカウント、レピュテーション、送信上限を管理してくれます。そのため素のSESとは異なり、サンドボックスの操作や本番アクセスの申請は不要です。ただし、そのメールを自社ドメインに結び付ける認証レコードの公開は、自分で行う必要があります。レコードを追加して確認するまで、メールはSESの共有のamazonses.com鍵でしか署名されず、Fromドメインとはアライメントが一致せず、DMARCに失敗し、送信レピュテーションも未認証の他のSESテナントすべてと同じプールで扱われます。Loopsのレコード一式を公開すれば、これらがすべて一度に解決します。SESがd=yourdomain.comで署名してDKIMのアライメントが一致し、エンベロープのMAIL FROMによってSPFのアライメントも一致してDMARCに成功し、築いたレピュテーションは自社ドメインに蓄積されます。

LoopsにおけるSPFの実情

Loopsはアカウント単位のサービスで、include型ではありません。include:loops.soは存在せず、ルートドメインのSPFレコードにinclude:amazonses.comを追加することもありません。Loopsは代わりに、専用のサブドメインenvelope.yourdomain.comにカスタムのMAIL FROMを設定し、そこにSPFメカニズムを公開します。具体的には、ホストenvelopeに値v=spf1 include:amazonses.com ~allのTXTレコードを置き、同じホストenvelopeにfeedback-smtp.{region}.amazonses.comを指すMXレコードを1つ置きます。この2つのレコードは専用のエンベロープサブドメインにあり、ルートドメインには置かれません。そのため、ルートドメインのSPFレコードのDNSルックアップは1回も増えず、ルートドメインの既存のSPFレコードと衝突することもありません。Google WorkspaceやMicrosoft 365のSPF行に何かをまとめる必要はなく、そうすべきでもありません。またenvelope.yourdomain.comは表示されるFromアドレスと組織ドメインyourdomain.comを共有するため、SPFは緩和されたアライメントで自動的に一致します。これが素のAmazon SES設定との大きな違いです。LoopsがカスタムのMAIL FROMを設定してくれるので、amazonses.comに対してだけ成功するSPFではなく、最初からアライメントの一致したSPFが得られます。ルートドメインに1つだけ置くレコードは、DMARCです。

設定手順

追加するレコード

正確な値はLoopsのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。

DNSルックアップの10回制限

SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。Loopsの設定がこの上限のうち何回を消費するかは、次のとおりです。

正しく設定できたか確認する

ダッシュボードだけで判断せず、実際のメールで確認してください。Loopsでは、Verify Recordsをクリックすると、ドメインページのすべての行に緑のチェックマークが付くはずです。次に、Loopsのドメインから自分宛てにテストメールを送り、Gmailで開いて⋮ → Show originalを選びます。SPF: PASS（amazonses.comだけでなくenvelope.yourdomain.comを表示）、DKIM: PASS（d=yourdomain.com）、DMARC: PASSと表示されていれば成功です。詳しいレポートが必要なら、check-auth@verifier.port25.com宛てにテストを送ると、全項目の結果がメールで返ってきます。Qualisendのドメイン診断でドメインをチェックし、DKIMの3つのCNAMEとエンベロープのSPF/MXが解決されることも確認できます。DMARCの集計レポートが届き始めたら、DMARCレポート解析にレポートをドロップしてください。Loops（Amazon SES経由）が、アライメントの一致した、成功している送信元として表示されるはずです。

よくある注意点

• 認証失敗の原因

  レコードの置き場所は想像と異なります。SPFとMXのレコードはenvelope.yourdomain.comサブドメイン（LoopsのカスタムのMAIL FROM）に置くため、ルートドメインのSPFレコードに影響することも、衝突することもありません。include:amazonses.comはルートドメインのSPFレコードには絶対に追加しないでください。これはエンベロープサブドメイン専用で、ルートドメインでは何の役にも立たず、SPFのルックアップを消費するだけです。

• DNS設定

  エンベロープサブドメインを事前に作成しないでください。envelopeのAレコードやCNAMEレコードを先に追加する必要はありません。そのホストラベルにSPFのTXTレコードとMXレコードを公開するだけで解決されます。

• DNS設定

  MXレコードの優先度の形式でつまずきがちです。エンベロープのMXの優先度は10です。レジストラによって、優先度を別の欄に入力するものと、「10 feedback-smtp.…」のように値に含めるものがあります。管理画面の形式どおりに入力し、エンベロープサブドメインのMXは1つだけにしてください。

• DNS設定

  わかりやすい名前ではなくTypeの列に従ってください。Loopsの各行には名前（SPF / DKIM / MX）が付いていますが、各レコードは実際のType（TXT、CNAME、MX）で作成する必要があります。DKIMのCNAMEをTXTで作成したり、SPFをCNAMEで作成したりするのが、Verify Recordsに失敗する最も多い原因です。

• DNS設定

  Cloudflareのプロキシを有効にするとDKIMが機能しなくなります。DKIMのCNAMEレコード3つすべてを「DNS only」（グレーのクラウド）に設定してください。オレンジのクラウドでプロキシが有効なCNAMEは*.dkim.amazonses.comに解決されず、レコードは未確認のままになります。

• 認証失敗の原因

  DMARCレコードはルートドメインに1つだけにしてください。Loopsの一覧にも未設定の場合に備えたDMARCの項目がありますが、同じドメインにDMARCレコードが2つあると無効です。他の送信者向けに_dmarc.yourdomain.comがすでにあるなら、それを残してLoopsの分は追加しないでください。

• 適用範囲

  値はアカウント単位です。推測せずコピーしてください。DKIMのトークンと、MXのfeedback-smtpのリージョン（例：us-east-1）はLoopsのドメインごとに固有です。他のドメインや他のガイドの値を流用せず、View recordsの文字列を正確に貼り付けてください。

• 認証失敗の原因

  ホスト名の重複と末尾のドットに注意してください。管理画面がドメインを自動で付加する場合は、ラベルだけ（envelope、token1._domainkey）を入力します。DNSホストがCNAME/MXの値にFQDNを求める場合は末尾にドットを付け、feedback-smtp.us-east-1.amazonses.comが…amazonses.com.yourdomain.comのように崩れるのを防ぎます。

SPFレコードを作成

Loopsでは、ルートドメインにSPFのinclude:を追加する必要はありません。作成ツールを使って他の送信元用のクリーンなレコードを1つ組み立て、1行に収めてください。

LoopsのSPFに関するよくある質問

関連記事

トランザクションメール・APIの他のサービス

• MailerSend
• Mailgun
• Mailjet
• Mailtrap
• Mandrill (Mailchimp Transactional)
• Postmark
• Resend
• Scaleway Transactional Email

公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。