OVHcloudのSPF・DKIM・DMARC設定。
OVHcloudはレジストラ、DNSホスト、メールサービスを兼ねているため、多くのOVHユーザーはSPF、DKIM、DMARCのすべてを同じOVHcloud Control Panel内で設定できます。ワンクリックの補助機能が用意されていることもよくあります。OVHの共有メールプラットフォーム（ドメインに付属する無料のMX Plan、有料のMX Plan、Email Pro、Hosted Exchange）では、SPFは実在する共有のinclude（include:mx.ovh.com）で認証します。DKIMは比較的最近追加された機能で、メール製品のダッシュボードからワンクリックで有効にできます。このガイドでは、パネル内の正確なパス、OVHが生成するレコードの形式、自分で追加する必要があるDMARCレコードについて説明します。
OVHcloudを認証すべき理由
OVHでホストするドメインの認証は、形式的な作業ではなく、メールが受信トレイに届くかどうかを左右します。2024年2月以降、GmailとYahooは、すべての大量送信者（1日あたり約5,000通以上）に対し、SPF、DKIM、DMARCにアライメントが一致した状態で成功することを義務付けています。Microsoftも2025年に、要件を満たさないメールの拒否を始めました。このしきい値を下回る場合でも、OVHのメールボックスから送る未認証のメールは迷惑メールに振り分けられるか、通知なく破棄されます。また、DMARCポリシーがなければドメインはなりすましに対して無防備です。OVHの利点は、3つのレコードをすべてドメインと同じ場所で管理できることです。include:mx.ovh.comのSPFは自社ドメインとアライメントが一致し、ワンクリックのDKIMはd=yourdomain.comで署名します。これにDMARCポリシーを加えれば全体がつながり、正しく設定したOVHのドメインはGmail、Yahoo、Microsoftのいずれでも問題なく認証に成功します。
OVHcloudにおけるSPFの実情
OVHcloudは、実際にSPFのincludeを提供するサービスです。mx.ovh.comは実在する共有レコードで、ルートドメインのSPFはv=spf1 include:mx.ovh.com ~allとします。OVH自身もこの方式を推奨しており、DNS zoneのエントリ追加ウィザードには、これを書き込むワンクリックの「Use the SPF for OVHcloud web hosting」ボタンがあります。マーケティング向けのメール配信サービス（ESP）の場合よりSPFが重要なのは、OVHのメールボックスから送信すると、エンベロープのMAIL FROMに自社ドメインが使われるためです。つまり、SPFは組織ドメインと実際にアライメントが一致し、SPF単独でもDMARCの成功に寄与します。寄与するのはDKIMだけではありません。内部的には、mx.ovh.comは単純なip4/ip6のリストではありません。OVHの送信サーバーを主に逆引きDNSで許可しており、2つのptrメカニズム（ptr:mail-out.ovh.net、ptr:mail.ovh.net）と、いくつかのIPv4ブロック、neutralの?allで構成されています。ptrの各項目もDNSルックアップになるため、このincludeが消費するのは1回ではなく、include自体の1回と各ptrの1回ずつで、10回のうち3回です。ネストしたincludeのチェーンはなく、他の送信者には7回が残ります。正しく設定すべき点が2つあります。第1に、OVHにはリージョン別のバリアントがあります（標準のホストはmx.ovh.comで、カナダリージョンの一部のアカウントでは過去にmx.ovh.caが確認されています）。ホストを手入力せず、ワンクリックの補助機能がアカウントに合わせて入力する値を使ってください。第2に、ドメインのSPFのTXTレコードは必ず1つにします。OVHの補助機能は新しいv=spf1 include:mx.ovh.com ~allをそのまま作成するため、Google Workspace、Microsoft 365、ESPですでに送信している場合は2つ目のSPFレコードを追加させず、既存の行にinclude:mx.ovh.comをまとめてください（SPFレコードが2つあるとPermErrorになります）。OVHのウィザードでは、失敗時のポリシーとしてsoftfail（~all）またはhardfail（-all）を選べます。正規の送信者をすべて記載できたと確信するまでは~allのままにし、その後、なりすまし対策を最も強くするために-allへ引き上げてください。
2つの設定方法
DNS zoneをOVHcloudでホスト：自動設定（推奨）
- 「Use the SPF for OVHcloud web hosting」補助機能を使うと、ワンクリックでv=spf1 include:mx.ovh.comが追加されます
- DKIMを有効にすると、2つのセレクターのCNAMEがゾーンに書き込まれます。貼り付けるものはありません
- OVHがDKIM鍵を保持し、2つのセレクター間で自動的にローテーションします
- 自分で追加するのはDMARCレコードだけです
外部ネームサーバー：レコードを手動で追加
- DNSホストに、v=spf1 include:mx.ovh.com ~allをTXTレコードとして追加します
- DKIMの有効化ダイアログに2つのCNAMEの値が表示されるので、Enableをクリックする前に貼り付けます
- Cloudflareでは、DKIM CNAMEを解決できるよう「DNS only」（グレーのクラウド）に設定します
- includeもDMARCレコードも同じで、変わるのはレコードを書き込む主体だけです
設定手順
- 1
利用中のOVHメール製品を特定
SPFは3つとも同じですが、DKIMのトグルがあるタブは製品ごとに異なります。無料の1アドレスのMX Planと有料のMX Plan：Web Cloud > MX Plan。Email Pro：Web Cloud > Email Pro。Hosted Exchange：Web Cloud > Microsoft > Exchange。始める前に、どれを使っているか確認してください。
- 2
DNS zoneを開く
OVHcloud Control PanelでWeb Cloud > Domain namesを開いてドメインを選択し、DNS zoneタブを開いて、右上のAdd an entryをクリックします。
- 3
OVHのワンクリックSPF補助機能を使う
SPFレコードタイプを選び、「Use the SPF for OVHcloud web hosting」にチェックを入れると、OVHがv=spf1 include:mx.ovh.comを入力します。失敗時のポリシーは今のところ~all（softfail）のままにしてSaveします。重要：SPFのTXTレコードがすでにある場合（Google、Microsoft 365、ESP）は、2つ目を作成しないでください。補助機能をキャンセルし、既存のレコードを編集してinclude:mx.ovh.comを追加します。
- 4
製品のDKIM設定を開く
MX Planの場合は、Web Cloud > MX Planでドメインを開き、General informationタブを確認します。DKIMのステータスが赤いバッジで表示されます。（Email Pro/Exchangeの場合は、代わりにAssociated domainsタブを開きます。ドメインの横に同じ赤いDKIMバッジが表示されます。）
- 5
DKIMを有効化
赤いDKIMバッジをクリックし、Validate/Enableをクリックします。ドメインのDNS zoneが同じアカウントのOVHでホストされていれば、OVHが2つのセレクターのCNAMEを自動で書き込みます。ネームサーバーが外部の場合は、ダイアログに2つのCNAMEの値が表示されます。先に両方をDNSホストに追加してからEnableをクリックしてください（設定前に有効化しないでください）。
- 6
バッジが緑になるのを待つ
DKIMの自動有効化には、鍵の公開と反映のため30分～最大24時間かかります。OVHがセレクターの解決を確認すると、バッジが赤から緑に変わります。OVHが2つのセレクター（…-selector1、…-selector2）を用意するのは、ユーザーがDNSを変更しなくても後から鍵をローテーションできるようにするためです。
- 7
DMARCポリシーを自分で公開
OVHはDMARCレコードを作成しません。DNS zone > Add an entryに戻り、サブドメイン_dmarcに、値がv=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comのレコードを追加します（OVHの組み込みDMARCウィザードは一部のタグに限られるため、多くの場合はプレーンなTXTレコードが適しています）。アライメントを確認している間は監視だけを行うよう、p=noneから始めます。
- 8
実際のメールで確認
OVHのメールボックスから自分宛てにテストメールを送り、Gmailで開いて、3点メニュー > Show originalを選びます。SPF: PASS、DKIM: PASS、DMARC: PASSと表示され、すべて自社ドメインを示していれば成功です。その後、チェックツールでドメインをチェックし、すべてのレコードが解決されることを確認します。
追加するレコード
正確な値はOVHcloudのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。
| タイプ | ホスト | 値 |
|---|---|---|
| TXT | @ | v=spf1 include:mx.ovh.com ~allルートドメインのSPF：OVHのワンクリック補助機能が書き込みます。includeはOVHのptr/ip4レコードに解決され、10回のルックアップのうち3回を消費します。SPFレコードがすでにある場合（Google、Microsoft 365、ESP）は、2つ目を追加せず、既存のレコードにinclude:mx.ovh.comをまとめてください。 |
| CNAME | ovhmo1234567-selector1._domainkey | ovhmo1234567-selector1._domainkey.1500.aj.dkim.mail.ovh.net.DKIMセレクター1の例です。プレフィックスとターゲットはアカウントごとに生成されます（MX Planはovhmo…、Email Proはovhemp…、Exchangeはovhex…）。末尾のドットは残してください。 |
| CNAME | ovhmo1234567-selector2._domainkey | ovhmo1234567-selector2._domainkey.1500.aj.dkim.mail.ovh.net.DKIMセレクター2。OVHが自動でローテーションする2つ目の鍵です。 |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comDMARCポリシーです。自分で追加し、1つのドメインにつき1つだけにしてください。 |
ルートドメインのSPF（v=spf1）のTXTレコードは1つだけにし、すべての送信元をこの1行にまとめてください。SPFレコードが2つあると、それ自体がエラーになります。
DNSルックアップの10回制限
SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。OVHcloudの設定がこの上限のうち何回を消費するかは、次のとおりです。
OVHcloudは10回のルックアップのうち3回を消費します。ip4:とip6:のメカニズムはルックアップを消費しません。
DKIM
OVHcloudのDKIMは、鍵を貼り付けるのではなく、コントロールパネルのトグルで設定します。MX Planの場合は、Web Cloud > MX Plan > 対象のドメイン > General informationを開きます。DKIMのステータスが赤いバッジで表示されるので、クリックしてValidateを選ぶと、OVHが2つのセレクター（ovhmoXXXXXXX-selector1、ovhmoXXXXXXX-selector2）を用意します。これらはOVHの署名基盤に委任するCNAMEレコードです（ターゲットの形式はovhmoXXXXXXX-selector1._domainkey.NNNN.aj.dkim.mail.ovh.net.で、末尾のドットを含みます）。TXTの鍵ではなく、OVHを指すCNAMEなので、秘密鍵はOVHが保持して2つのセレクター間でローテーションします。公開鍵をコピーしたりDNSを編集し直したりする必要はありません。ドメインのDNS zoneが同じアカウントのOVHでホストされていれば、OVHが両方のCNAMEを自動で書き込みます。ネームサーバーが外部（Cloudflare、他のレジストラ）の場合は、有効化ダイアログに2つのCNAMEの値が表示されるので、先にDNSホストに追加してからEnableをクリックします。有効化には30分～24時間かかり、鍵が解決されるとバッジが赤から緑に変わります。Email ProとHosted Exchangeも同じ仕組みですが、パスは異なり（Web Cloud > Email ProまたはWeb Cloud > Microsoft > Exchange、その後Associated domainsタブ）、セレクターのプレフィックスはovhemp…/ovhex…です。なお、無料/ベーシックのMX PlanのワンクリックDKIMは比較的最近追加されたものです。「DKIMはExchangeまたはEmail Proでのみ利用可能」と書かれた古いガイドの情報は現在は当てはまりません。
DMARC
OVHcloudはDMARCレコードを作成しないので、自分で追加します。同じDNS zone > Add an entryのウィザードで、サブドメイン_dmarcに、値がv=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comのレコードを追加します。OVHには専用のDMARCエントリ（Add an entry > Mail records > DMARC）もありますが、そのウィザードでは一部のタグしか扱えません。プレーンなTXTレコードを選べば、p、sp、pct、rua、rufを自由に設定できます。p=noneは監視のみです。OVHのメールがSPFとDKIMに、自社ドメインとアライメントが一致した状態で成功することを確認している間、配信に影響を与えずに集計レポートを収集します。問題のないレポートが1～2週間続いたら、p=quarantine、最終的にp=rejectへと段階的に引き上げます。送信者がいくつあっても、_dmarcレコードはドメイン全体で1つだけにしてください。また、レポートが未読のまま溜まらないよう、ruaは実際に確認するメールボックス（またはDMARCレポートサービス）に向けてください。
正しく設定できたか確認する
緑のDKIMバッジだけで判断せず、実際のメールで確認してください。OVHのメールボックスから自分宛てにメールを送り、Gmailで開いて、3点メニュー > Show originalを選びます。SPF: PASSとDKIM: PASSがどちらも自社ドメインを示し、さらにDMARC: PASSと表示されていれば成功です。レポートを文書で受け取りたい場合は、check-auth@verifier.port25.com宛てにメールを送ると、詳しい内訳が返信されます。Qualisendのドメイン診断でドメインをチェックし、mx.ovh.comのinclude、2つのDKIMセレクターのCNAME、_dmarcレコードがすべて正しく解決されることを確認します。DMARCの集計レポートが届き始めたら、DMARCレポート解析にレポートをドロップします。OVHcloudが、アライメントが一致し認証に成功している送信元として表示されるはずです。
よくある注意点
- 適用範囲
MX PlanのDKIMは新しい機能で、インターネット上の情報が追いついていません。OVHは長年ExchangeとEmail ProでのみDKIMを提供しており、古いフォーラムのスレッドや第三者のガイドの多くには今もMX PlanではDKIMを使えないと書かれています。現在は使えます。外部で署名しようとせず、General informationタブのワンクリックのバッジを使ってください。
- DNS設定
includeはSPFのルックアップを1回ではなく3回消費します。mx.ovh.comはOVHのサーバーを主に逆引きDNSで許可しており、2つのptrメカニズム（ptr:mail-out.ovh.net、ptr:mail.ovh.net）と、いくつかのip4ブロックを含みます。ptrの各項目はinclude自体に加えてDNSルックアップとして数えられます。他の送信者を重ねる場合は、SPFの10回のルックアップのうち3回をこのincludeに見込んでください。
- DNS設定
自動設定が機能するのは、DNS zoneがOVHにある場合だけです。OVHがSPFとDKIMのレコードを書き込めるのは、ドメインのDNS zoneが同じOVHアカウントにあるときに限られます。ネームサーバーが別の場所（Cloudflare、GoDaddy、他のレジストラ）を指している場合は、Enableをクリックする前に2つのDKIM CNAMEをそのホストに貼り付け、SPFのTXTレコードも手動で追加してください。
- 認証失敗の原因
SPFレコードを2つにしないでください。OVHの「Use the SPF for OVHcloud web hosting」補助機能は、新しいv=spf1 include:mx.ovh.com ~allを作成します。Google Workspace、Microsoft 365、ESP用のSPFレコードがすでにある場合、2つ目を公開するとPermErrorになります。既存の1つのレコードにinclude:mx.ovh.comをまとめてください。
- DNS設定
DKIMターゲットの末尾のドットは残してください。OVHのCNAMEの値はピリオドで終わり（…dkim.mail.ovh.net.）、完全修飾であることを示します。外部のDNSパネルには、このドットが必要なものと自動で付加するものがあります。ターゲットが誤って…ovh.net.yourdomain.comにならないよう注意してください。
- DNS設定
Cloudflareのプロキシを使うと、DKIMが機能しなくなります。DNSがCloudflareにある場合、2つのDKIMセレクターのCNAMEは「DNS only」（グレーのクラウド）に設定する必要があります。オレンジのクラウドでプロキシが有効なCNAMEはdkim.mail.ovh.netに解決されず、バッジは赤のままです。
- 適用範囲
~allと-allについて。OVHのSPFウィザードでは失敗時のポリシーを選べます。-all（hard fail）はなりすまし対策として最も強く、最終的に目指す状態です。ただし、~allから-allに切り替えるのは、自社ドメインとして送信する正規の送信元がすべてSPFレコードに含まれていると確信できてからにしてください。そうでないと、-allにより自社のメールがバウンスするおそれがあります。
SPFレコードを作成
以下ではOVHcloudがあらかじめ選択されています。他に利用している送信プラットフォームを追加し、1つにまとめたレコードを公開してください。
このドメイン自身のサーバー
ドメインが（上記のサービスを経由せず）直接メールを送信する場合は、ドメイン自体を許可します。
その他の送信元・IP
リストにないもの（別のサービスのSPFホストや特定のIPアドレス）を追加します。
接頭辞のinclude:は自動で付加されます。サービスのドキュメントに記載されているホスト名を入力してください。
その他すべての送信元へのポリシー
上記に記載されていないサーバーからのメールを、受信側がどう処理すべきかを指定します（allメカニズム）。
- ルートドメインにTXTレコードとして公開します。ホストは@（ドメインそのもの）、値は上記の文字列全体です。
- SPFレコードは1つのドメインにつき1つだけにします。すべての送信元をこの1行にまとめてください。v=spf1で始まるTXTレコードが2つあると、両方とも無効になります。
- DNSルックアップは10回以内に収めてください。include:、a、mxはそれぞれ1回とカウントされ、includeは内部でさらにルックアップを発生させることがあります。ip4:とip6:はカウントされません。
送信ドメイン認証の設定が済んだら、次は検証済みのクリーンなリストへの配信です。
リストを検証OVHcloudのSPFに関するよくある質問
関連記事
ホスティング・Webサイトの他のサービス
すべてのSPFガイド公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。
認証の次は、リストをクリーンに保つ
SPF、DKIM、DMARCに成功すれば受信トレイに届き、クリーンなリストならその状態を維持できます。お手持ちのリストも検証してクリーニングできます。100クレジット無料、クレジットカード登録不要で始められます。