Moosendの​SPF・DKIM・DMARC設定。

Moosendを認証すべき理由

Moosendのドメイン認証は、メールが受信トレイに届くか迷惑メールフォルダーに振り分けられるかを左右します。マーケティング用のメール配信サービス（ESP）を使う以上、ほぼ確実にルールの対象となる送信者です。2024年2月以降、GmailとYahooは、すべての大量送信者（1日あたり約5,000通以上）に対し、SPF、DKIM、DMARCにアライメントが一致した状態で成功することを義務付けています。Microsoftも2025年に、Outlook.com/Hotmail/Live宛ての大量メールに同じ要件の適用を始めました。Moosendのニュースレター配信は、まさにこの一括送信にあたります。認証するまで、Moosendは独自のインフラ（送信プラットフォームはmailendo.comドメインで稼働）で送信します。受信者には、メールが暗号的に自社ドメインから送られたものではないとわかり、Fromアドレスのアライメントは一致せず、DMARCにも成功できません。送信者レピュテーションも、認証していない他のMoosend送信者すべてと共有されます。SPFのincludeとms._domainkeyのDKIM鍵を公開すれば、これらはすべて解決します。DKIMの署名は自社ドメインとして行われ、アライメントの一致でDMARCに成功し、構築したレピュテーションは共有プールではなく自社ドメインに蓄積されます。

MoosendにおけるSPFの実情

Moosendは本来の意味で「include」を使うサービスです。include:spfa.mailendo.comは本物の共有メカニズムで（mailendo.comはMoosend自身の送信インフラです）、ルートドメインの1つのSPFのTXTレコードにまとめます。Moosendが提示するレコードはv=spf1 include:spfa.mailendo.com ~allです。実際のDNSで確認したところ、spfa.mailendo.comはネストしたincludeのない、ip4:の範囲と自身の~allだけのフラットなレコードに解決されます。そのため、SPFのDNSルックアップ10回のうち、消費するのはちょうど1回で、一部の古いガイドが想定する2回や3回ではありません。ただし、理解しておくべきアライメント上の注意点があります。多くのマーケティング用ESPと同様に、Moosendは独自のReturn-Path（mailendo.com）でバウンスを処理します。そのため、SPFのチェックはFromドメインではなくMoosendのエンベロープのドメインに対して行われることが多くなります。つまりincludeによってSPFのチェック自体には成功しても、DMARCに必要な組織ドメインとのアライメントは実際には一致しないことがあります。だからこそDKIMレコード（ms._domainkeyのTXT）が同じくらい重要で、d=yourdomain.comで署名したDKIMがDMARCの成功を確実に担います。それでもSPFのincludeは公開してください。Moosendに必須の2つのレコードの設定の一部で、Moosendの検証機能がレコードの解決をチェックします。DMARCの役割を担うのはDKIMのレコードと考えてください。また、ドメインのSPFレコードは1つだけにします。2つ目のSPFのTXTレコードを追加せず、include:spfa.mailendo.comを既存のv=spf1の行にまとめてください。SPFレコードが2つあると、それ自体がPermErrorになります。

設定手順

追加するレコード

正確な値はMoosendのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。

DNSルックアップの10回制限

SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。Moosendの設定がこの上限のうち何回を消費するかは、次のとおりです。

正しく設定できたか確認する

Moosendの確認は2段階で行います。まずMoosend内で、公開後にSendersページに戻ってVerify DNS recordsをクリックします。SPFとDKIMの横に緑のチェックマークが付けば、レコードは解決されています。DNSの反映は通常30分ですが、最大48時間かかることがあります。すぐに確認できない場合は、Moosendでチェックを再実行できます。ただし、ダッシュボードのチェックマークが示すのはレコードの存在だけで、メールのアライメントが一致していることではありません。そこで、実際のメールで確認します。テストキャンペーンまたはテストメールをGmailのアドレスに送って開き、⋮ → Show originalを選びます。SPF: PASS、DKIM: PASS（mailendoのホストではなくd=yourdomain.comとセレクターms）、DMARC: PASSと表示されていれば成功です。次に、Qualisendのドメイン診断でドメインをチェックし、SPF、ms._domainkeyのDKIMレコード、DMARCレコードがすべて正しく解決され、SPFがDNSルックアップの10回制限に収まっていることを確認します。集計レポートが届き始めたら、DMARCレポート解析にレポートをドロップします。Moosend/mailendoが、アライメントの一致した、成功している送信元として表示されるはずです。Moosendの癖も1つ知っておいてください。確認後にそのドメインのDNSを編集すると、送信者が未確認の状態に戻ることがあり、Moosendは確認済みの送信者を定期的に再チェックします。送信者が未確認に変わったら、Verify DNS recordsをもう一度クリックするだけです。

よくある注意点

• DNS設定

  DKIMの値はv=DKIM1;タグを付けて公開します。Moosendでは、バージョンタグのないk=rsa; p=…から始まる形で鍵が表示されることがよくあります。v=DKIM1; k=rsa; p=…として公開してください。v=の省略も技術的には有効ですが（RFC 6376はデフォルトをDKIM1とし、Gmail、Yahoo、Microsoftでも成功します）、タグを付けるのが推奨の形式で、より厳格な検証ツールの警告も避けられます。同じくらい重要なのが、長いp=の鍵を途切れのない1つの文字列として貼り付けることです。鍵の切り詰めやスペースの混入は、MoosendのDKIMレコードが検証に失敗する最も多い原因です。

• 適用範囲

  spfa.mailendo.comは正しい値で、タイプミスではありません。Moosendの送信プラットフォームはmailendo.comドメインで稼働しているので、includeは間違いなくinclude:spfa.mailendo.comです。moosend.comのホストに「修正」しないでください。

• 適用範囲

  SPFはアライメントが一致しないまま成功することがあります。Return-Pathとバウンス用ドメインはMoosendが所有しているため、includeによってSPFのチェック自体は成功しても、DMARCに必要なFromドメインとのアライメントが一致しない場合があります。アライメントが一致した成功を担うのは、DKIM（ms._domainkey）です。絶対に省略しないでください。

• 認証失敗の原因

  SPFのTXTレコードは1つだけにしてください。Google Workspace、Microsoft 365、他のESPなどからすでに送信している場合は、include:spfa.mailendo.comをその1行のv=spf1にまとめます。SPFレコードが2つあるとPermErrorになります。

• DNS設定

  MoosendのレコードはどちらもTXTで、CNAMEではありません。委任するCNAMEも、自動の鍵ローテーションもありません。MoosendのDKIMは貼り付けて使う静的な鍵なので、ローテーションする場合は新しい値を自分でコピーし直します。

• 適用範囲

  確認後にDNSを編集すると、そのドメインの送信者が未確認に戻ることがあります。DNSを変更したらSendersページに戻り、Verify DNS recordsをもう一度クリックしてください。Moosendは確認済みの送信者も定期的に再チェックします。

• 適用範囲

  先に送信者のメールアドレスを追加して選択してください。MoosendはSendersページで送信者とドメインごとに認証します。アカウント全体に一括で適用する設定はないため、DNS設定の画面を表示するには、実際に送信するFromアドレスをあらかじめ登録しておく必要があります。

• 適用範囲

  サブドメインの送信者には個別のレコードが必要です。Fromアドレスにサブドメインを使う場合、DKIMのホストはms._domainkey.subdomainで、そのサブドメインには個別のSPFレコードも必要です。ルートドメインのSPFレコードは適用されません。

SPFレコードを作成

以下ではMoosendがあらかじめ選択されています。他に利用している送信プラットフォームを追加し、1つにまとめたレコードを公開してください。

MoosendのSPFに関するよくある質問

関連記事

マーケティング・ESPの他のサービス

• Omnisend
• Salesforce Marketing Cloud
• Sender
• ActiveCampaign
• AWeber
• Beehiiv
• Braze
• Campaign Monitor

公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。