OmnisendのSPF・DKIM・DMARC設定。
Omnisendは、魔法の1行を貼り付ける方式ではなく、Store settings → Domainsから送信ドメインを認証します。OmnisendはメールをMailgunのインフラで配信しているため、この手順では3つのものが提示されます。1つ目は、ルートドメインのSPFレコードにまとめる、include:mailgun.orgを中心としたSPFレコードです。2つ目は、アカウント固有のセレクターを持つ2つのCNAMEレコードとして公開するDKIMで、ローテーションする鍵ペアをOmnisendに委任します。3つ目はDMARCのポリシーレコードです。SPFのincludeはMailgunのIPアドレスに自社ドメインの名義での送信を許可し、DKIMのCNAMEはメールにd=yourdomain.comで署名してDMARCのアライメントを一致させます。3つすべてが解決され、DomainsページがVerifiedに変わると、ブランド名のない共有の送信IDに頼らず、Omnisendから完全に自社ドメインとして送信できるようになります。
Omnisendを認証すべき理由
Eコマースの送信者にとって、Omnisendのドメイン認証は、プロモーションタブに届くか迷惑メールフォルダーに振り分けられるかの分かれ目で、今では事実上必須です。2024年2月以降、GmailとYahooは、すべての大量送信者（1日あたり約5,000通以上）に対し、SPF、DKIM、DMARCにアライメントが一致した状態で成功することを義務付けています。Microsoftも2025年に、Outlook/Hotmail/Live宛ての大量メールに同じ要件の適用を始めました。Omnisendのアカウントは、カゴ落ちメールやニュースレターの初回配信で1日5,000通を軽く超えることが多く、これらのメールプロバイダーから見れば間違いなく大量送信者です。認証するまで、Omnisend経由で送信するメールは暗号的に自社のものではありません。Fromアドレスのアライメントは一致せず、DMARCにも成功できず、レピュテーションは共有インフラ上の認証していない他の送信者すべてと共有されます。さらに、gmail.comやyahoo.comなどの無料の公開Fromアドレスでは、Omnisendのキャンペーンを確実に配信できません。これらのドメインのDKIM鍵は管理できないため、アライメントが一致せず、DMARCに成功できないからです。Yahooはp=rejectを公開して完全に拒否し、Gmailはgmail.comのなりすましを厳しく取り締まるため、迷惑メールに振り分けられるかバウンスします。自社ドメインを認証すれば、DKIMのアライメントが一致してDMARCに成功し、共有送信者としての不利がなくなり、キャンペーンごとに築く送信者レピュテーションが自社ブランドに蓄積されます。
OmnisendにおけるSPFの実情
Omnisendは本来の意味で「include」を使うサービスです。Domainsの手順で実際のSPFの行v=spf1 include:mailgun.org ~allが生成され、ルートドメインへの公開を求められます。OmnisendはMailgun経由で送信し、include:mailgun.orgはMailgunの送信IPを許可する共有メカニズムだからです。追加してください。ただし、このSPFには特殊な点が2つあり、どちらも重要です。1つ目はアライメントの注意点です。Omnisend/Mailgunはmailgun.org上の独自のReturn-Path（エンベロープのfrom）ドメインでバウンスを処理し、DMARCは表示上のFromアドレスではなくこのReturn-Pathに対してSPFのアライメントをチェックします。そのため、このレコードはチェック自体には成功しても、アライメントが一致するのは自社ではなくMailgunのドメインです。つまり、SPFだけではDMARCに成功しません。Omnisendの手順でCNAMEとしてDKIMも提供されるのはまさにこのためです。d=yourdomain.comで署名するDKIMこそが、実際にアライメントを一致させてDMARCの成功を担う仕組みです（SPFと異なり転送にも耐えます）。両方を設定した上で、DMARCの成功はDKIMに頼ってください。2つ目はコストです。include:mailgun.orgは消費が大きいincludeです。Mailgunのチェーン全体をネストしており、mailgun.orgはinclude:_spf.mailgun.orgとinclude:_spf.eu.mailgun.orgに解決され、_spf.mailgun.orgはさらにinclude:_spf1.mailgun.orgとinclude:_spf2.mailgun.orgをネストしています。そのため、1つのinclude:mailgun.orgで、SPFで許可された10回のDNSルックアップ（RFC 7208）のうち5回を消費します。Google Workspace、Microsoft 365、Klaviyo、ヘルプデスクツールのいずれかからも送信している場合は、すぐに10回制限のPermErrorに達する可能性があるので、慎重にまとめてください。EUのみの送信者は、US+EUのincludeの代わりにinclude:eu.mailgun.org（2回）またはinclude:_spf.eu.mailgun.org（1回）を使ってコストを抑えられます。また、ドメインのSPFのTXTレコードは1つだけでなければなりません。2つ目のSPFレコードを公開せず、Mailgunのincludeを既存のv=spf1の行にまとめてください（SPFレコードが2つあると、それ自体がPermErrorになります）。便利なことに、Omnisendは既存のSPFレコードを検出するとinclude:mailgun.orgの自動統合を試み、貼り付ける1行にまとめて表示します。ただし、結果が10回未満に収まることを必ず確認してください。
設定手順
- 1
Domainsページを開く
Omnisendにログインし、Store settings → Domainsを開きます（ストア名または設定のメニューを開き、Domainsを選択）。送信ドメインの認証はここで行います。ドメインを追加して確認し、生成されたレコードをDNSホストで公開します。
- 2
送信ドメインを追加
+ Add domainをクリックし、Email domainタイプを選んで、キャンペーンの送信に使うドメインを入力します（例：yourdomain.com。DKIMのアライメントが一致するよう、Fromアドレスと同じ組織ドメインを使ってください）。Omnisendが、そのドメイン専用のSPF、DKIM、DMARCのレコードを生成します。
- 3
DNSプロバイダーを選択してレコードをコピー
ドロップダウンからDNSホストを選ぶと、画面の手順がそれに合わせて調整されます（Omnisendがログインしてレコードを追加するわけではなく、貼り付けるのは自分です）。するとOmnisendに、SPFのTXTレコードの値（v=spf1 include:mailgun.org ~all）、アカウント固有のセレクターを持つ2つのDKIMのCNAMEレコード、DMARCの初期値のTXTレコードが表示されます。正確にコピーしてください。DKIMセレクターと参照先はアカウントごとに固有です。
- 4
SPFレコードを公開（既存なら1つにまとめる）
DNSホストで、ルートドメイン（ホストは@または空欄）にv=spf1 include:mailgun.org ~allの値でTXTレコードを追加します。v=spf1のレコードがすでにある場合（Google Workspace、Microsoft 365、Shopify、他のメール配信サービス（ESP））は2つ目を作成せず、include:mailgun.orgを既存の1つのレコードにまとめます（現在のSPFレコードを読み取れる場合、Omnisendがあらかじめまとめてくれることがよくあります）。合計に注意してください。include:mailgun.orgだけで、許可された10回のDNSルックアップのうち5回を消費します。
- 5
DKIMの2つのCNAMEを追加
Omnisendに表示される2つのDKIMのCNAMEレコードを、両方作成します。鍵のローテーション用のペアとして発行され、それぞれ正確なセレクター（._domainkeyの前のラベル）が、Omnisendから渡された正確な参照先を指します。これがDMARCのアライメントを一致させる仕組みなので、正確に設定してください。タイプはCNAMEのままにし（TXTにしない）、スペースを加えず、値を分割したり編集したりしないでください。両方を追加しないと、Omnisendが鍵をローテーションしたときにDKIMが機能しなくなります。
- 6
DMARCレコードを追加
OmnisendがDMARCポリシーの初期値を生成します。ホスト_dmarcに、v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comのような値のTXTレコードとして追加します。Omnisendが生成する値は、緩和されたアライメント（DMARCのデフォルト）を使うp=noneのプレースホルダー（監視のみ）です。DMARCの成功はSPFではなくアライメントが一致したDKIMによるものなので、まずはそのまま公開してください。_dmarcレコードは1つのドメインにつき1つだけにします。すでにある場合は省略してください。
- 7
ホストの二重化とCloudflareのプロキシを修正
多くのレジストラはドメインを自動で追加するため、selector._domainkey.yourdomain.comと入力すると…yourdomain.com.yourdomain.comとなります。管理画面がドメインを追加する場合はラベルだけを入力してください（例外はGoDaddyで、._domainkeyを含む完全なセレクターを入力します）。DNSがCloudflare配下にある場合は、2つのDKIMのCNAMEレコードを「DNS only」（グレーのクラウド）に設定します。オレンジのクラウドでプロキシが有効なCNAMEはOmnisendの参照先に解決されず、確認に失敗します。
- 8
Omnisendで確認
Domainsページに戻り、Finish verificationをクリックします。ステータスはIn progress / UnverifiedからVerifiedに変わり、完了するとOmnisendからメールが届きます。Omnisendは有効なレコードが1つあれば確認済みにすることがあるので、緑のバッジで終わりにせず、3つすべてが反映されたことを確認してください。DNSの反映は通常約30分ですが、最大48時間かかることがあります。古い設定でドメインをすでに使っている場合は、完了のためにサポートへの連絡を求められることがあります。それ以外はすべてセルフサービスで完了します。
- 9
テストを送信してアライメントを確認
オーディエンス、フォーム、オートメーションが認証済みドメインのFromアドレスを使っていることを確認してください（DNSの確認だけでは、別のFromに設定済みのキャンペーンは変わりません）。Gmailアカウントにテストを送って開き、⋮ → Show originalを選びます。DKIM: PASS（d=yourdomain.com）とDMARC: PASSが表示されていれば成功です。SPFには、チェックしたドメインとしてmailgun.orgが表示されることがあります。許可はするがアライメントは一致しないという動作で、アライメントが一致したDKIMがDMARCの成功を担っていれば問題ありません。
追加するレコード
正確な値はOmnisendのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。
| タイプ | ホスト | 値 |
|---|---|---|
| TXT | @ | v=spf1 include:mailgun.org ~allルートドメインのSPF：SPFレコードは1つだけにし、include:mailgun.orgをそこにまとめます。DNSルックアップを5回消費する（Mailgunのチェーン全体）ので、10回の上限に注意してください。EUのみの送信者は、代わりにinclude:eu.mailgun.org（ルックアップ2回）またはinclude:_spf.eu.mailgun.org（1回）を使えます。 |
| CNAME | s1._domainkey | s1.dkim.omnisend-mailgun.example (illustrative)2つのうち1つ目のDKIMレコード：正確なセレクターと参照先は、DomainsページでOmnisendがドメインごとに生成します。そのままコピーし、タイプをTXTに変更したり、スペースを加えたり、値を編集したりしないでください。これがDMARCのアライメントが一致したDKIM署名です（d=yourdomain.com）。 |
| CNAME | s2._domainkey | s2.dkim.omnisend-mailgun.example (illustrative)2つのうち2つ目のDKIMレコード：2つ目のセレクターは鍵のローテーション用のペアです。両方を追加しないと、Omnisendが鍵をローテーションしたときに署名が機能しなくなります。正確なセレクターと参照先は、OmnisendのDomainsページに表示されます。 |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comOmnisendのプレースホルダーの値をもとに自分で追加します。p=none（監視のみ）、緩和されたアライメント（デフォルト）から始めます。DMARCレコードは1つのドメインにつき1つです。DKIMがアライメントの一致した状態で成功するようになったら、quarantine/rejectへと引き上げます。 |
ルートドメインのSPF（v=spf1）のTXTレコードは1つだけにし、すべての送信元をこの1行にまとめてください。SPFレコードが2つあると、それ自体がエラーになります。
DNSルックアップの10回制限
SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。Omnisendの設定がこの上限のうち何回を消費するかは、次のとおりです。
Omnisendは10回のルックアップのうち5回を消費します。ip4:とip6:のメカニズムはルックアップを消費しません。
DKIM
DKIMは、Omnisendの認証で実際にDMARCの成功を担う部分なので、最も正確に設定すべきレコードです。OmnisendはMailgunで稼働し、mailgun.org上の独自のReturn-Pathドメインでバウンスを処理するため、SPF（include:mailgun.org）は送信を許可しますが、アライメントが一致するのは自社ドメインではなくMailgunのドメインです。d=yourdomain.comで署名し、組織ドメインとのアライメントを一致させるのはDKIMです。OmnisendのDKIMは、貼り付けるTXTレコードではなくCNAMEレコードとして公開します。2つのCNAMEを追加し、それぞれのホストはアカウント固有のセレクター（._domainkeyの前のラベル。正確な値はOmnisendに表示されます）で、Omnisendがアカウント用に生成した参照先を指します。Omnisend/Mailgunに委任するCNAMEなので、秘密鍵は先方が保持し、DNSを編集し直さなくてもセレクターの裏側で公開鍵をローテーションできます。2つあるのはそのためで、ローテーション用のペアです。両方を追加し、セレクターと参照先をそのままコピーしてください。タイプをTXTに変更したり、スペースを加えたり、値を分割したり、「きれいに整え」たりしないでください。ホスト欄の注意点が2つあります。多くのレジストラはドメインを自動で追加するので、管理画面が追加しない場合を除き、セレクターのラベルだけを入力します。例外はGoDaddyで、._domainkeyを含む完全なセレクターを入力します。DNSがCloudflareでプロキシされている場合は、レコードを「DNS only」（グレーのクラウド）に設定してください。そうしないと解決されません。2つのCNAMEが解決され、OmnisendにドメインがVerifiedと表示されて初めて、メールは自社ドメインとして署名され、DKIMのアライメントが一致し始めます。
DMARC
DMARCは、ドメインに設定する別のポリシーレコードです。Omnisendが初期値を生成しますが、_dmarc.yourdomain.comには自分で公開します。v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comから始めてください。Omnisendが生成するレコードはp=noneのプレースホルダーで、監視中にGmailとYahooの大量送信者の要件を満たすよう意図的に調整されています。p=noneは監視のみのため、集計レポート（rua）を収集し、Omnisend経由のメールが、自社ドメインとアライメントが一致したDKIMで成功していることを確認する間、配信には何も影響しません。なお、ここでのDMARCの成功はSPFではなくDKIMによるものです。OmnisendのReturn-Pathはmailgun.orgのままなので、アライメントをどう設定しても、SPFは自社ドメインと一致しません。DMARCを成功させるのは、アライメントが一致したDKIM署名（d=yourdomain.com）です。アライメントは緩和されたまま（DMARCのデフォルト）にしてください。1～2週間レポートを確認し、すべての正規の送信元（Omnisendに加え、Shopify、Google Workspace、ヘルプデスクなど）が認証されていることを確かめたら、p=quarantine、最終的にp=rejectへと段階的に引き上げ、なりすましからドメインを実際に保護します。送信元の数にかかわらず、_dmarcレコードは組織ドメイン全体で1つだけにしてください。Omnisend専用に2つ目のDMARCレコードを追加しないでください。
正しく設定できたか確認する
DomainsページのVerifiedのバッジだけで判断せず、実際のメールで確認してください。Omnisendは有効なレコードが1つあるだけでドメインをVerifiedにすることがあります。認証済みドメインのアドレスから、テストキャンペーンまたはテストメールをGmailアカウントに送って開き、⋮ → Show originalを選びます。DKIM: PASS（signed-by / d=yourdomain.com）とDMARC: PASSが表示されていれば成功です。SPFの行には、チェックしたドメインとしてmailgun.orgが表示されることがありますが、これは想定どおりで（Return-PathはMailgunが所有しています）、アライメントが一致したDKIMがDMARCの成功を担っていれば問題ありません。注意すべき失敗は、DKIMの署名が自社ではなくMailgunやOmnisendのドメインで行われている場合で、CNAMEがまだ有効になっていないことを意味します。生のレコードは、dig TXT yourdomain.com（SPF）、dig CNAME s1._domainkey.yourdomain.com（DKIM、実際のセレクターを使い、両方を確認）、dig TXT _dmarc.yourdomain.comで個別に確認できます。次に、Qualisendのドメイン診断でドメインをチェックし、すべてのレコードが解決され、まとめたSPFがDNSルックアップの10回制限に収まっていることを確認します。include:mailgun.orgだけで5回を消費するので、これは重要です。集計レポートが届き始めたら、DMARCレポート解析にレポートをドロップします。Omnisend/Mailgunが、アライメントが一致し、認証に成功している送信元として表示されるはずです。
よくある注意点
- 認証失敗の原因
include:mailgun.orgは消費が大きいincludeです。Mailgunのチェーン全体をネストしており（mailgun.org → _spf.mailgun.org → _spf1/_spf2、さらに_spf.eu.mailgun.org）、SPFで許可された10回のDNSルックアップのうち5回を消費します。これはRFC 7208の上限の半分です。Google WorkspaceやMicrosoft 365、他のESPと併用するとPermErrorに達する可能性があります。EUのみの送信者はinclude:eu.mailgun.org（ルックアップ2回）またはinclude:_spf.eu.mailgun.org（1回）に絞り込めます。
- DNS設定
SPFは許可しますが、アライメントは一致しません。Omnisend/Mailgunは独自のmailgun.orgのReturn-Pathでバウンスを処理し、DMARCはReturn-PathのドメインとSPFを照合します。そのため、このSPFレコードはチェック自体には成功しても、アライメントが一致するのは自社ではなくmailgun.orgです。実際にDMARCを担うのは、DKIM（CNAME、d=yourdomain.com）です。SPFで十分と考えて省略しないでください。
- DNS設定
DKIMのCNAMEを変更せず、2つ目も省略しないでください。Omnisendからは2つのCNAMEレコードが提供されます。セレクターと参照先を両方とも正確にコピーし、CNAMEのまま（TXTにしない）にし、スペースの追加、分割、「きれいに整える」などの変更は行わないでください。1文字変更しただけで署名が機能しなくなり、2つ目のCNAMEを省略するとOmnisendの次の鍵のローテーションで署名が機能しなくなります。
- DNS設定
Cloudflareのプロキシを使うと、DKIMのCNAMEレコードが機能しなくなります。両方を「DNS only」（グレーのクラウド）に設定してください。オレンジのクラウドでプロキシが有効なCNAMEはOmnisendの参照先に解決されず、確認に失敗します。
- DNS設定
ホスト欄の重複：ドメインを自動で追加するレジストラでは、s1._domainkeyがs1._domainkey.yourdomain.com.yourdomain.comになります。ラベルだけを入力してください。例外はGoDaddyで、._domainkeyを含む完全なセレクターを入力します。
- 認証失敗の原因
SPFのTXTレコードは、ルートドメインに1つだけにしてください。Shopify、Google Workspace、Microsoft 365などからすでに送信している場合は、include:mailgun.orgをその1行のv=spf1にまとめます。SPFレコードが2つあるとPermErrorになります。
- DNS設定
無料の公開Fromアドレスからは送信できません。gmail.com、yahoo.com、outlook.comのDKIM鍵は管理できないため、これらを「from」にしたOmnisendのキャンペーンはDMARCのアライメントが一致せず失敗します。Yahooはp=rejectを公開して破棄し、Gmailは同社のドメインのなりすましを厳しく取り締まっています。認証済みの独自ドメインから送信してください。
- 適用範囲
DNSを確認しても、既存のキャンペーンは変わりません。オーディエンス、フォーム、オートメーションのFromアドレスを認証済みドメインに設定してください。そうしないと、メールは古い、アライメントの一致しないIDで送信され続けます。
SPFレコードを作成
以下ではOmnisendがあらかじめ選択されています。他に利用している送信プラットフォームを追加し、1つにまとめたレコードを公開してください。
このドメイン自身のサーバー
ドメインが（上記のサービスを経由せず）直接メールを送信する場合は、ドメイン自体を許可します。
その他の送信元・IP
リストにないもの（別のサービスのSPFホストや特定のIPアドレス）を追加します。
接頭辞のinclude:は自動で付加されます。サービスのドキュメントに記載されているホスト名を入力してください。
その他すべての送信元へのポリシー
上記に記載されていないサーバーからのメールを、受信側がどう処理すべきかを指定します（allメカニズム）。
- ルートドメインにTXTレコードとして公開します。ホストは@（ドメインそのもの）、値は上記の文字列全体です。
- SPFレコードは1つのドメインにつき1つだけにします。すべての送信元をこの1行にまとめてください。v=spf1で始まるTXTレコードが2つあると、両方とも無効になります。
- DNSルックアップは10回以内に収めてください。include:、a、mxはそれぞれ1回とカウントされ、includeは内部でさらにルックアップを発生させることがあります。ip4:とip6:はカウントされません。
送信ドメイン認証の設定が済んだら、次は検証済みのクリーンなリストへの配信です。
リストを検証OmnisendのSPFに関するよくある質問
関連記事
マーケティング・ESPの他のサービス
すべてのSPFガイド公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。
認証の次は、リストをクリーンに保つ
SPF、DKIM、DMARCに成功すれば受信トレイに届き、クリーンなリストならその状態を維持できます。お手持ちのリストも検証してクリーニングできます。100クレジット無料、クレジットカード登録不要で始められます。