MailerSendの​SPF・DKIM・DMARC設定。

MailerSendを認証すべき理由

MailerSendのドメイン認証は、トランザクションメールやマーケティングメールが受信トレイに届くかどうかを左右します。2024年2月以降、GmailとYahooは、すべての大量送信者（1日あたり約5,000通以上）に対し、SPF、DKIM、DMARCにアライメントが一致した状態で成功することを義務付けています。Microsoftも2025年に、要件を満たさないメールの拒否を始めました。ドメインを確認するまで、MailerSendからはそのドメインで一切送信できません。トライアルのサンドボックスでも、送信先は自分の確認済みテスト受信者に限られます。SPFのinclude、DKIMのCNAME、Return-PathのCNAMEが有効になると、SPF（mtaサブドメイン経由）とDKIM（mlsendセレクター経由）はどちらも組織ドメインとアライメントが一致し、DMARCに成功して、築いた送信レピュテーションは共有プールではなく自社ドメインに蓄積されます。パスワードリセット、領収書、キャンペーンをMailerSendで送るなら、これが受信トレイと迷惑メールフォルダーの分かれ目です。

MailerSendにおけるSPFの実情

MailerSendは正真正銘のinclude型サービスです。ルートドメインに、共有のSPFのincludeを含むv=spf1 include:_spf.mailersend.net ~allを追加します。現在、このincludeは単一のレコード（v=spf1 ip4:212.11.79.0/24 ~all）に展開されるため、SPFのDNSルックアップの10回制限のうちちょうど1回を消費します。ネストされたincludeを気にする必要はありません。ただし、DMARCのSPFチェックをアライメントが一致した状態で成功させるのは、カスタムのReturn-PathのCNAMEです。MailerSendはエンベロープのMAIL FROMをmta.yourdomain.comに設定するため、SPFはこのサブドメインに対して評価されます。このサブドメインはCNAMEでMailerSendのSPF許可済みの領域を指し、かつ自社ドメインのサブドメインなので、緩和されたアライメントでFrom:アドレスと一致します。つまり、ルートドメインのincludeが組織ドメインでMailerSendを許可し、mtaのReturn-PathのCNAMEがDMARC向けにSPFのアライメントを一致させます。両方を公開してください。Return-PathのCNAMEを省くと、MailerSendは独自のバウンス用ドメインにフォールバックし、SPFのアライメントが自社ドメインと一致しなくなります。mailersend.netでSPFのチェック自体には成功していても、DMARCのSPF側のチェックに失敗することがあります。なお、DKIMのアライメントでDMARCに成功することは可能ですが、2つあるアライメントの経路の1つを捨てることになります。

設定手順

追加するレコード

正確な値はMailerSendのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。

DNSルックアップの10回制限

SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。MailerSendの設定がこの上限のうち何回を消費するかは、次のとおりです。

正しく設定できたか確認する

緑のバッジだけで判断しないでください。MailerSendはDNSの反映を遅れて検知することがあり、レコードが有効になった後でも「up to 48 hours」と表示され続けることがあります。実際のメールで確認しましょう。MailerSendに追加した自社ドメインからGmailアドレス宛てにテストを送り、開いてShow originalを選びます。SPF: PASS、DKIM: PASS、DMARC: PASSと表示され、DKIMの署名ドメインとReturn-Path（mailed-by / SPF）のドメインがどちらもmailersend.netではなくyourdomain.comになっていれば成功です。コマンドラインでは次のとおりです：dig TXT yourdomain.com（SPFのincludeがあること）、dig CNAME mlsend2._domainkey.yourdomain.com（mlsend2._domainkey.mailersend.netに解決されること）、dig CNAME mta.yourdomain.com（mailersend.netに解決されること）、dig TXT _dmarc.yourdomain.com。続いて、Qualisendのドメイン診断でドメインをチェックし、すべてのレコードが解決され、SPFがルックアップの10回制限に収まっていることを確認します。最初のDMARC集計レポートが届いたら、DMARCレポート解析にドロップしてください。MailerSendが、アライメントが完全に一致した、成功している送信元として表示されるはずです。なお、DNSの確認によってMailerSendから自社ドメインとして送信できるようになりますが、トライアルアカウントがテスト受信者以外に送信するには、手動の承認が別途必要です。

よくある注意点

• 認証失敗の原因

  ドメインのSPFのTXTレコードは必ず1つだけにしてください。すでにGoogle Workspace、Microsoft 365、または他のメール配信サービス（ESP）から送信している場合は、include:_spf.mailersend.netをその1つのv=spf1の行にまとめます。SPFレコードを2つに分けるとPermErrorになり、SPF全体が機能しなくなります。

• DNS設定

  Return-PathのCNAME（mta → mailersend.net）を省かないでください。エンベロープドメインがmta.yourdomain.comに設定され、これによって、DMARC向けにSPFのアライメントが自社ドメインと一致します。これがないと、mailersend.net上ではSPFの「成功」となっても、アライメントが一致せず、DMARCのSPF側が失敗する場合があります。

• DNS設定

  DKIMはCNAMEで設定し、TXTの公開鍵は使いません。DNS管理画面で「_domainkey」のレコードにTXTの欄しか表示されないなら、レコードのタイプが間違っています。mlsend2._domainkey.mailersend.netを指すCNAMEを使い、セレクターは正確にコピーしてください（mlsendかmlsend2かはドメインごとに割り当てられます）。

• DNS設定

  DNSエディターによっては、CNAMEの参照先にドメインを自動で付加し、mlsend2._domainkey.mailersend.net.yourdomain.comやmailersend.net.yourdomain.comのような壊れた値になります。末尾にドットを付けるか、DNSホストが求める形式で参照先を入力し、MailerSendに解決されるようにしてください。

• DNS設定

  DNSをCloudflareでプロキシしている場合は、DKIMとReturn-PathのCNAME、およびトラッキング用CNAME（ある場合）を「DNS only」（グレーのクラウド）に設定してください。オレンジのクラウドでプロキシが有効なCNAMEはMailerSendではなくCloudflareのエッジに解決され、確認に失敗します。

• 適用範囲

  DNSの確認と送信の許可は別物です。新規のMailerSendアカウントはトライアル状態で、MailerSendが手動で承認するまでは、自分の確認済みテスト受信者にしか届きません。承認リクエストは別途提出してください。

• DNS設定

  トラッキング用CNAME（email → links.mailersend.net）は、カスタムトラッキングドメインを実際に有効にする場合にだけ追加してください。インバウンドのMXレコードも、インバウンドルーティングを使う場合だけで十分です。使わない機能のレコードを追加しても、DNSが煩雑になるだけです。

• 適用範囲

  送信ドメインやサブドメインごとに、独自のSPF、DKIM、Return-Pathのレコードが必要です。yourdomain.comを認証してもmail.yourdomain.comはカバーされません。実際に送信するドメインをMailerSendで確認してください。

SPFレコードを作成

以下ではMailerSendがあらかじめ選択されています。他に利用している送信プラットフォームを追加し、1つにまとめたレコードを公開してください。

MailerSendのSPFに関するよくある質問

関連記事

トランザクションメール・APIの他のサービス

• Mailgun
• Mailjet
• Mailtrap
• Mandrill (Mailchimp Transactional)
• Postmark
• Resend
• Scaleway Transactional Email
• SendGrid

公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。