Namecheap Private EmailのSPF・DKIM・DMARC設定。
Namecheap Private Emailは、Namecheapのホスト型メールボックス製品（Open-Xchange App Suiteを採用）です。認証は魔法の1行を貼り付けて終わるものではなく、4つの要素が連携して機能します。メールボックスで受信するための2つのMXレコード、Private Emailの送信サーバーを許可するSPFのTXT、Private Emailのパネルで生成するDKIMのTXT、そしてルートドメインのDMARCポリシーです。このサービス特有の注意点は、Private Emailが自身のReturn-Pathドメインからバウンスを送ることです。そのためSPFには成功しますが、Fromアドレスとアライメントが一致することはなく、DMARCの成功を実際に担うのはDKIMです。ドメインがNamecheap独自のBasicDNSネームサーバーを使っている場合、MXとSPFのレコードは自動で追加され、DKIMもワンクリックで済みます。他のDNSホストでは4つすべてを手動で公開します。
Namecheap Private Emailを認証すべき理由
Private Emailの認証は、メールが迷惑メールフォルダーに振り分けられるのを防ぐためのものです。2024年2月以降、GmailとYahooは、すべての送信者にSPFまたはDKIMの成功を、すべての大量送信者（1日あたり約5,000通以上）にはさらにアライメントを伴うDMARCポリシーの公開を義務付けています。Microsoftも2025年に、要件を満たさないメールの拒否を始めました。Private EmailはメールをNamecheap/Jellyfishの共有インフラ経由でルーティングします。そのため、SPF、DKIM、DMARCレコードを公開するまでは、Fromアドレスが自社のものだと暗号的に証明できず、DMARCにも成功できず、ドメインのレピュテーションはそのプラットフォーム上の認証されていない他の送信者と一括りにされます。Private EmailのReturn-PathはPrivate Email自身のドメインにあるため、SPFだけには頼れません。実質的な役割を果たすのはDKIMのアライメントです。3つすべてを正しく設定し、DKIMがアライメントの一致した状態で実際に成功することを確認するかどうかで、確実に受信トレイに届くか、気付かないうちに迷惑メールに振り分けられるかが決まります。
Namecheap Private EmailにおけるSPFの実情
Private Emailは、実際に共有includeを使うタイプのサービスです。ルートドメインの1つのSPF TXTレコードにメカニズムinclude:spf.privateemail.comを1つ追加し、v=spf1 include:spf.privateemail.com ~allとします。Private Emailの全顧客が同じincludeを使い、これがPrivate Emailの送信IPを許可するので、SPFの評価は成功になります。ただし、そのまま貼り付けるだけでなく理解しておきたい点が2つあります。1つ目に、これはフラットなレコードではありません。spf.privateemail.comを実際に調べると、さらに3つのinclude（ips1.privateemail.com、fbrelay.privateemail.com、spf-pe.jellyfish.systems）がネストされているため、include:spf.privateemail.comを1つ追加するだけで、許可された10回のSPF DNSルックアップ（RFC 7208）のうち1回ではなく4回を消費します。Google Workspace、SendGrid、Mailchimpのいずれかを重ねると、予想より早くPermErrorの上限に達することがあります。2つ目に、より重要な点として、Private EmailはエンベロープのReturn-Pathに自身のドメインを使うため、SPFには成功してもFromドメインとアライメントが一致しません。つまり、ここではSPFだけでDMARCを満たすことはできません。SPFの公開は必要ですが、それだけでは足りないのはこのためです。DMARCの成功をもたらすのは、自社ドメインで署名するDKIMです。includeはルートドメインのSPFの標準的な推奨手順で、到達率にも役立つので、追加してください。SPF TXTレコードは必ず1つだけにして、~allのsoftfailを優先し、DKIMは任意ではなく必須として扱ってください。
設定手順
- 1
Private Emailのサブスクリプションを開く
namecheap.comにサインインし、左のサイドバーからPrivate Email（またはApps → Private Email）を選びます。対象ドメインのサブスクリプションの横にあるManageをクリックします。DKIMはこのパネルで扱います。MX、SPF、DMARCのレコードは、ドメインのDNSがホストされている場所で別途公開します。
- 2
DKIM鍵を生成
サブスクリプションのDKIMセクションを開いてGenerateをクリックします。NamecheapがRSA鍵を作成し、TXTのホストとv=DKIM1; k=rsa; p=…で始まる長い値を表示します。ホストは、2026年6月2日以降に購入したサブスクリプションではprivateemail._domainkey、それより前のものではdefault._domainkeyです。パネルに表示されたとおりに正確にコピーしてください。新しいサブスクリプションでは注文直後からDKIMを利用できますが、従来のプランでは先にメールボックスを作成する必要がある場合があります。
- 3
DNSのホスト先を確認
レコードは、ドメインのネームサーバーが指している場所に追加します。ドメインがNamecheap BasicDNSを使っている場合は、Domain List → Manage → Advanced DNSに進みます。DNSをCloudflare、GoDaddy、WebホストのcPanel、Namecheap PremiumDNSのいずれかに移している場合は、代わりにそちらにレコードを追加します。Namecheapが自動で公開できるのはNamecheap自身のBasicDNSだけです。
- 4
2つのMXレコードを追加
ルート（Host @）に、mx1.privateemail.comとmx2.privateemail.comの2つのMXレコードを、どちらもPriority 10で作成します。これでメールボックスがメールを受信できるようになります。BasicDNSでは、Advanced DNS → Mail Settings → Private Emailを選ぶと、これらのMXレコード（とSPFレコード）が自動で追加されます。
- 5
SPFレコードを公開（既存なら1つにまとめる）
ルート（Host @）にTXTレコードv=spf1 include:spf.privateemail.com ~allを追加します。v=spf1レコードがすでにある場合（以前のホスティングや別の送信者のもの）は、2つ目を追加しないでください。SPFレコードが2つあると、それ自体がPermErrorになるため、include:spf.privateemail.comを既存のレコードにまとめます。すべての送信元を記載したと確信できない限り、~allのsoftfailのままにしてください。
- 6
DKIMのTXTレコードを公開
Hostを手順2のセレクター（privateemail._domainkeyまたはdefault._domainkey）、Valueをv=DKIM1; k=rsa; p=…の文字列全体としてTXTレコードを追加します。BasicDNSでは鍵の生成時に自動で追加され、他のDNSホストでは手動で貼り付けます。DMARCの成功を実際に担うのはこのレコードなので、省略しないでください。
- 7
DMARCポリシーを追加
Host _dmarcにTXTレコードv=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comを作成します。まずp=noneで配信に影響を与えずに監視し、集計レポート（rua）を確認します。DKIMのアライメントが一致して成功していることを確かめたら、p=quarantine、最終的にp=rejectへと段階的に引き上げます。_dmarcレコードはドメイン全体で1つだけにしてください。
- 8
（任意）メールクライアントの自動設定レコードを追加
Outlook、Thunderbird、Apple Mailでのワンクリック設定用に、NamecheapはCNAME（mail、autodiscover、autoconfig → privateemail.com）と、ポート443でprivateemail.comを指す_autodiscover._tcpのSRVも記載しています。これらはメールクライアントの自動設定に役立つだけで、SPF/DKIM/DMARCの認証には関係せず、省略しても問題ありません。
- 9
待ってから実際のメールでテスト
DNSの反映に約30～60分見込み、その後Private EmailのアドレスからGmailアカウント宛てにメールを送ってShow originalを開きます。自社ドメインとアライメントが一致したDKIM: PASSとDMARC: PASSが表示されていれば成功です。SPFもpassと表示されますが、対象は自社ドメインではなくPrivate EmailのReturn-Pathドメインです。ここではそれが想定どおりで、だからこそDKIMが必要です。
追加するレコード
正確な値はNamecheap Private Emailのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。
| タイプ | ホスト | 値 |
|---|---|---|
| MX | @ | mx1.privateemail.com優先度10。メールを受信します。Namecheap BasicDNSでは自動で追加されます。 |
| MX | @ | mx2.privateemail.com優先度10。2つ目のMXで、優先度は同じです。BasicDNSでは自動で追加されます。 |
| TXT | @ | v=spf1 include:spf.privateemail.com ~allSPF TXTは1つだけにし、既存のv=spf1レコードにまとめます。この1つのincludeは10回のSPFルックアップのうち4回を消費します。 |
| TXT | privateemail._domainkey | v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA… (generated in your Private Email panel)例です。正確な値はアカウントごとに異なります。ホストは、2026年6月2日以降のサブスクリプションではprivateemail._domainkey、それより前のものではdefault._domainkeyです。ここでDMARCを成功させるのはDKIMです。 |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com1つのドメインにつき1つです。p=noneで始めます。SPFのアライメントが一致しないため、DMARCの成功はDKIMにかかっています。 |
ルートドメインのSPF（v=spf1）のTXTレコードは1つだけにし、すべての送信元をこの1行にまとめてください。SPFレコードが2つあると、それ自体がエラーになります。
DNSルックアップの10回制限
SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。Namecheap Private Emailの設定がこの上限のうち何回を消費するかは、次のとおりです。
Namecheap Private Emailは10回のルックアップのうち4回を消費します。ip4:とip6:のメカニズムはルックアップを消費しません。
DKIM
Private EmailのDKIMは、CNAMEではなくTXTレコードで、Private Emailのパネル内で生成します。貼り付けられる共通の鍵はなく、値は生成して初めて存在します。Namecheapアカウントで、Private Email → サブスクリプションの横のManage → DKIMセクション → Generateと進みます。NamecheapがRSA公開鍵を生成し、ホストと値を表示します。ホスト（セレクター）はサブスクリプションの購入時期によって異なります。2026年6月2日以降に作成したサブスクリプションはprivateemail._domainkey、それより前のものはdefault._domainkeyです。推測せず、必ず自分のパネルに表示されたセレクターをコピーしてください。値はv=DKIM1; k=rsa; p=で始まり、base64の公開鍵が続く1つの文字列です。前後に引用符や括弧を付けずに入力します。ドメインがNamecheap BasicDNSを使っている場合、DKIMのTXTは生成と同時に自動で公開されます。PremiumDNS、cPanel/Web HostingのDNS、サードパーティのDNSホスト（Cloudflare、GoDaddyなど）では、TXTレコードを手動で追加します。Private Emailを使う場合、SPFは自社ドメインとアライメントが一致しないため、このDKIMレコードはおまけではありません。DMARCのアライメントを実現する唯一のメカニズムなので、DMARCポリシーを引き上げる前に、解決されて成功することを確認してください。
DMARC
DMARCは、ルートドメインの_dmarc.yourdomain.comにTXTとして公開する別のポリシーレコードです。送信者がいくつあっても、ドメイン全体で1つのレコードです。まずv=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comで始めます。p=noneは監視のみのため、Private Emailのメールが認証に成功していることを確認している間、配信には影響しません。このサービスで決定的に重要なのは、DMARCの結果が完全にDKIMに依存することです。Private Emailは自身のReturn-Pathドメインを使うので、SPFには成功してもアライメントが一致せず、DMARCにはSPFだけでは成功できません。成功できるのはDKIMのアライメントを通じてのみです。1～2週間、集計レポート（rua）を確認し、Private EmailでDKIMのアライメントが一致して安定して成功していることを確かめてから、ポリシーをp=quarantine、最終的にp=rejectへと段階的に引き上げます。DKIMのアライメントと動作を確認する前にいきなりp=rejectにしないでください。正規のメールが拒否されるおそれがあります。
正しく設定できたか確認する
DNSの反映時間を感覚で判断せず、公開後およそ30～60分待ってから、実際のメールで確認してください。Private EmailのアドレスからGmailアカウント宛てにメールを送り、開いて⋮ → Show originalを選びます。確認するのは、自社ドメインで署名されたDKIM: PASSとDMARC: PASSです。SPFもpassと表示されますが、認証しているのは自社ドメインではなくPrivate EmailのReturn-Pathドメインです。ここではそれが正常で、だからこそDKIMが存在し、アライメントが一致している必要があります。より詳しい内訳を見るには、mail-tester.comのようなツールにテストメールを送るか、Qualisendの送信ドメイン認証チェックとドメイン診断でドメインをチェックします。SPFのincludeが解決されること（ルックアップを4回消費していることも確認できます）、DKIMセレクターが公開されていること、DMARCレコードが正しく解析されることを確認してください。集計レポートが届き始めたら、DMARCレポート解析にレポートをドロップし、p=noneから移行する前に、Private Emailが、アライメントが一致して成功している送信元として表示されることを確認します。
よくある注意点
- DNS設定
SPFには成功しますが、アライメントが一致することはありません。Private Emailは自身のReturn-Pathドメインで送信するため、SPFだけではDMARCを満たせず、DMARCの成功は完全にDKIMに依存します。DKIM鍵の生成と公開は任意ではなく必須です。
- 認証失敗の原因
includeは見た目より重いです。include:spf.privateemail.comはさらに3つのinclude（ips1、fbrelay、spf-pe.jellyfish.systems）をネストしており、10回のSPF DNSルックアップのうち4回を消費します。Google Workspace、SendGrid、Mailchimpのいずれかを重ねるとRFC 7208のPermErrorの上限に達することがあるため、SPFレコードは1つにし、使わなくなった送信元は削除してください。
- 適用範囲
DKIMセレクターは2026年6月2日に変更されました。新しいサブスクリプションはprivateemail._domainkey、それより前のものはdefault._domainkeyを使います。自分のパネルから正確なホストをコピーし、「default」だと決めつけないでください。
- 適用範囲
DKIMは先に生成する必要があります。貼り付けられる共通の鍵はなく、値はPrivate EmailのパネルでGenerateをクリックして初めて存在します。新しいサブスクリプションでは注文直後から利用できますが、従来のプランでは生成の前にメールボックスの作成が必要な場合があります。
- DNS設定
レコードを自動で追加するのはBasicDNSだけで、他のDNSホストでは追加されません。Namecheap BasicDNSでは、MXとSPFがAdvanced DNS → Mail Settings → Private Emailから追加され、DKIMは自動で公開されます。ドメインがCloudflare、レジストラ、WebホストのcPanelのいずれかを指している場合は、そちらですべてのレコードを手動で追加する必要があります。
- 認証失敗の原因
SPFレコードが2つあるとPermErrorになります。ルートにv=spf1レコードがすでにある場合は、include:spf.privateemail.comをそこにまとめ、2つ目のSPF TXTは絶対に公開しないでください。
- DNS設定
ホスト欄の重複：ドメインを自動で付加するDNSエディターでは、default._domainkeyがdefault._domainkey.yourdomain.com.yourdomain.comになります。パネルがドメインを付加する場合は、@、セレクターのみ、または_dmarcだけを入力してください。
- 適用範囲
Private Emailはメールボックスサービスであり、大量送信向けのメール配信サービス（ESP）ではありません。ニュースレターやコールドアウトリーチには専用のサービスを使って別途認証してください。Private Email経由でキャンペーンを送ると、送信上限やメールボックスのレピュテーションに関わるリスクがあります。
SPFレコードを作成
以下ではNamecheap Private Emailがあらかじめ選択されています。他に利用している送信プラットフォームを追加し、1つにまとめたレコードを公開してください。
このドメイン自身のサーバー
ドメインが（上記のサービスを経由せず）直接メールを送信する場合は、ドメイン自体を許可します。
その他の送信元・IP
リストにないもの（別のサービスのSPFホストや特定のIPアドレス）を追加します。
接頭辞のinclude:は自動で付加されます。サービスのドキュメントに記載されているホスト名を入力してください。
その他すべての送信元へのポリシー
上記に記載されていないサーバーからのメールを、受信側がどう処理すべきかを指定します（allメカニズム）。
- ルートドメインにTXTレコードとして公開します。ホストは@（ドメインそのもの）、値は上記の文字列全体です。
- SPFレコードは1つのドメインにつき1つだけにします。すべての送信元をこの1行にまとめてください。v=spf1で始まるTXTレコードが2つあると、両方とも無効になります。
- DNSルックアップは10回以内に収めてください。include:、a、mxはそれぞれ1回とカウントされ、includeは内部でさらにルックアップを発生させることがあります。ip4:とip6:はカウントされません。
送信ドメイン認証の設定が済んだら、次は検証済みのクリーンなリストへの配信です。
リストを検証Namecheap Private EmailのSPFに関するよくある質問
関連記事
ワークスペース・メールボックスの他のサービス
- Proton Mail
- Purelymail
- Rackspace Email
- Titan
- Yandex 360
- Zoho Mail
- Apple iCloud+ Custom Email Domain
- Fastmail
公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。
認証の次は、リストをクリーンに保つ
SPF、DKIM、DMARCに成功すれば受信トレイに届き、クリーンなリストならその状態を維持できます。お手持ちのリストも検証してクリーニングできます。100クレジット無料、クレジットカード登録不要で始められます。