PipedriveのSPF・DKIM・DMARC設定。
Pipedriveでドメインを認証する場所は、一括メールのアドオンであるCampaignsです。共通のSPFの行を貼り付ける方式ではなく、CNAMEレコードで認証する方式です。Campaigns > Settings > Domain authenticationでドメインを追加してGet DNS recordsをクリックすると、Pipedriveがドメイン固有の少数のレコードを生成します。内訳は、Return-Path/SPFのCNAMEレコード1つと、署名をPipedriveの送信プラットフォーム（LeaderSend）に委任するDKIMのCNAMEレコード2つで、DMARCレコードの公開も促されます。これらが解決されてRefresh statusをクリックすると、Campaignsは自社ドメインとして送信できるようになり、受信側のDMARCチェックに成功し、送信者レピュテーションもPipedriveの共有プールではなく自社に蓄積されます。最初に押さえておきたい点が2つあります。1つ目は、これがCampaignsだけに適用されることです。日常のCRMメール（取引や連絡先から同期・送信するメッセージ）は、接続したGmailまたはMicrosoft 365のメールボックスから送信され、そのメールボックス自身のSPF/DKIM/DMARCで認証されるため、PipedriveのDNSレコードは一切不要です。2つ目は、ドメインの認証と送信の許可は別だということです。キャンペーンを送信するには、個別の送信者（From）アドレスの確認も必要です。
Pipedriveを認証すべき理由
Campaignsのドメイン認証は、一括メールが受信トレイに届くかどうかを左右します。キャンペーンは本質的に一括送信です。2024年2月以降、GmailとYahooは、すべての大量送信者（1日あたり約5,000通以上）に対し、SPF、DKIM、DMARCにアライメントが一致した状態で成功することを義務付けています。Microsoftも2025年に、Outlook.com/Hotmail宛ての大量メールに同じ要件の適用を始めました。Pipedrive固有の注意点は、ほかの多くのサービスより深刻です。自社ドメインがすでにp=quarantineまたはp=rejectのDMARCポリシーを公開していて（そうしたドメインは増えています）、認証せずにキャンペーンを送信すると、PipedriveのメールはDMARCチェックに失敗し、受信側によって迷惑メールに振り分けられるか、完全にブロックされます（Pipedrive自身のドキュメントでも、quarantineポリシーでは迷惑メールフォルダーに入り、rejectではブロックされると警告しています）。認証するまで、CampaignsはPipedriveの共有インフラから、Pipedrive自身のドメインのReturn-Pathで送信します。そのため、Fromアドレスは暗号学的に自社のものとはいえず、自社ドメインでDMARCに成功できず、レピュテーションも未認証のCampaigns送信者全員と共有されます。CNAMEを追加すれば解決します。自社ドメインとアライメントが一致するDKIM鍵でPipedriveが署名するのでDMARCに成功し、築いた送信者レピュテーションも自社のものになります。
PipedriveにおけるSPFの実情
Pipedrive Campaignsは、CNAMEでドメインを認証するサービスのため、ルートドメインのSPFレコードに貼り付けるinclude:spf.pipedrive.comはありません。ドメイン認証を実行すると、自社ドメインのサブドメインにReturn-Path/SPFのCNAME（ヘルプページでSPFの「key and return path」レコードと呼ばれているもの）が生成され、Pipedrive自身のSPFで許可された範囲に解決されます。追加するのは共通のincludeではなく、このCNAMEだけです。ここに重要な注意点があり、実質的な役割を担うのはDKIMです。Pipedriveの送信プラットフォーム（ブランド名はPipedrive/LeaderSend）は、エンベロープのReturn-Pathを同社自身のドメインの1つに設定します。つまりSPFは認証されますが、組織ドメインとアライメントは一致しません。プラットフォームにSPFのアライメントを一致させる手段はないため、DMARCの成功は、DKIMのアライメントだけで決まります。だからこそPipedriveが提示する2つのDKIMのCNAMEが、実際にDMARCの成功をもたらすレコードであり、1つではなく両方を追加する必要があります。CNAME方式の利点は、ルートドメインのSPFレコードにDNSルックアップを1回も追加しないことです（まとめるものがありません）。Google Workspace、Microsoft 365、マーケティングツールをすでに併用していても、RFC 7208の10回制限の枠を消費することはありません。ほかの送信者用に、ルートドメインのSPFのTXTレコードは1つだけにし、2つ目を追加したり、不要なinclude:spf.pipedrive.comを加えたりしないでください。PipedriveのSPFはCNAMEが処理します。
2つの設定方法
ドメインを認証（推奨）
- 自社ドメインとアライメントが一致するDKIM鍵でPipedriveが署名するため、キャンペーンはDMARCに成功します
- ルートドメインのSPFレコードにDNSルックアップを1回も追加しません。まとめるものはありません
- Pipedriveが秘密鍵を保持し、2つのCNAMEの背後でDKIM鍵をローテーションします
- 自社ドメインがp=quarantineまたはp=rejectを公開している場合、事実上必須です
認証せずに送信（Pipedriveのデフォルト）
- Pipedriveの共有インフラから、Pipedriveのドメイン上のReturn-Pathで送信されます
- Fromアドレスのアライメントが一致しないため、自社ドメインでDMARCに成功できません
- 自社ドメインにDMARCポリシーがあると、キャンペーンは隔離またはブロックされます
- レピュテーションは、未認証のCampaigns送信者全員と共有されます
設定手順
- 1
Campaignsの利用環境を確認
ドメイン認証があるのは、Pipedriveの有料の一括メールアドオンであるCampaignsで、一般のメール設定ではありません。GmailまたはMicrosoft 365のメールボックスを通じて同期する1対1のCRMメールだけを送信している場合、これらのレコードは必要ありません。そのメールはメールプロバイダーが認証します。このガイドはCampaigns機能を対象としています。
- 2
Domain authenticationを開く
Campaigns > Settings > Domain authenticationを開き、右側の+ Domainをクリックします。ここでPipedriveが、ドメイン用のDKIM鍵とReturn-Pathを準備します。認証できるドメインは、会社アカウントごとに最大20個です。
- 3
ドメインを入力してレコードを生成
送信ドメイン（yourdomain.com）を入力します。Fromアドレスのドメインを使い、wwwやhttps://は付けないでください。次にGet DNS records（アカウントによってはGenerate DNS recordsと表示されます）をクリックします。追加する正確な名前と値が表示されます。内訳は、Return-Path/SPFのCNAMEレコード1つとDKIMのCNAMEレコード2つで、いずれもドメイン固有です。さらに、公開するDMARCレコードも表示されます。この画面は開いたままにしてください。
- 4
Return-Path/SPFのCNAMEレコードを追加
DNSホストで、SPFの「key and return path」レコードをCNAMEレコードとして作成します。Host/NameはPipedriveが示すサブドメインのラベル、Valueは表示された正確なターゲットです。Pipedriveのメールに対するSPFを担うのはこのレコードです。AレコードやTXTレコードに変更しないでください。
- 5
DKIMのCNAMEレコードを2つ追加
両方のDKIMセレクターレコードを、Pipedriveの表示どおりに作成します。それぞれ、Pipedriveのターゲットを指すCNAMEレコードにします。必ず両方を追加してください。自社ドメインとアライメントが一致し、DMARCの成功を担うのはこの2つであり、2つ目のセレクターは、Pipedriveが鍵をローテーションする余地を確保します。TXTレコードとして貼り付けないでください。ここでのDKIMはCNAMEによる委任なので、公開鍵を自分でコピーすることはありません。
- 6
Cloudflareのプロキシをオフにする
DNSがCloudflare（またはプロキシ機能のあるホスト）にある場合は、これらのCNAMEをすべて「DNS only」（オレンジではなくグレーのクラウド）に設定してください。プロキシが有効なCNAMEレコード（オレンジのクラウド）はルックアップの向き先が変わり、確認に失敗します。ホスト欄の二重入力にも注意してください。レジストラがyourdomain.comを自動で追加する場合は、サブドメインのラベルだけを入力します。
- 7
DMARCレコードを公開
DMARCレコードの公開はPipedriveから促されますが、作成はされません。ホスト_dmarcに、v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comのTXTレコードを追加します。p=noneは監視のみのため、アライメントを確認している間、配信には影響しません。Pipedriveに会社識別用のTXTレコード（ドメインをPipedriveの会社アカウントに結びつけるなりすまし防止用のレコード）も表示されている場合は、一覧どおりに追加してください。
- 8
PipedriveでRefresh statusをクリック
DNSの反映には最大48時間かかることがあります（通常はもっと短時間です）。Domain authentication画面に戻ってRefresh statusをクリックすると、解決された順に各レコードが緑のチェックマークに変わり、ドメインが認証済みと表示されます。48時間経ってもいずれかのレコードが失敗する場合、原因はほぼ必ず、プロキシが有効なCNAMEレコード、ホストの二重入力、誤ったタイプで保存されたレコードのいずれかです。
- 9
送信者（From）アドレスを確認
ドメインの認証と送信の許可は別です。Campaignsでは、送信に使う特定のメールアドレスも確認する必要があり、Pipedriveからそのアドレス宛てに確認メールが届きます。送信者が確認済みになるまでは、ドメインが認証済みと表示されていても、キャンペーンの送信者ドロップダウンで選択できません。
- 10
テストキャンペーンを送信してヘッダーを確認
管理しているGmailアドレス宛てに小規模なテストキャンペーンを送信して開き、3点メニュー > Show originalを選びます。DKIM: PASS（署名はpipedrive.comではなくyourdomain.com）、DMARC: PASSを確認します。この署名ドメイン（signed-by）が、設定が有効になっていることの本当の証拠です。
追加するレコード
正確な値はPipedriveのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。
| タイプ | ホスト | 値 |
|---|---|---|
| CNAME | pd-return | psrp.pipedrive.comReturn-Path/SPFの「key and return path」レコードです。Pipedriveのメールに対するSPFを担います。例です。Pipedriveがドメイン用に生成した正確な名前とターゲットをコピーしてください。 |
| CNAME | pd1._domainkey | dkim1.yourcompanyid.pipedrive.comDKIM鍵1：Pipedriveに委任します。例です。実際のセレクター名とターゲットはドメインごとに生成されるので、Pipedriveの表示どおりの値を使ってください。 |
| CNAME | pd2._domainkey | dkim2.yourcompanyid.pipedrive.comDKIM鍵2：2つ目のセレクターにより、Pipedriveが鍵をローテーションできます。例です。正確な値をコピーしてください。DKIMのCNAMEレコードは1つではなく両方を追加します。 |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com自分で公開するレコードです。Pipedriveは公開を促しますが、作成はしません。DMARCレコードはドメインごとに1つです。p=noneで始め、その後ポリシーを引き上げます。 |
| TXT | @ | pipedrive-verification=your-company-token会社識別用のTXTレコード：一部のアカウントでは、ドメインをPipedriveの会社アカウントに結びつけるこのなりすまし防止レコードの追加も求められます。例です。Pipedriveの画面に表示された場合にのみ、表示どおりの値で追加してください。 |
ルートドメインのSPF（v=spf1）のTXTレコードは1つだけにし、すべての送信元をこの1行にまとめてください。SPFレコードが2つあると、それ自体がエラーになります。
DNSルックアップの10回制限
SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。Pipedriveの設定がこの上限のうち何回を消費するかは、次のとおりです。
Pipedriveの推奨設定はルックアップを消費しません。10回すべてを、includeが必要な他の送信元に使えます。
DKIM
Pipedriveの認証を実際に機能させる仕組みは、DKIMです。自社ドメインとアライメントが一致するのはDKIMだからです。Pipedriveが提示するのは、セレクターのCNAMEレコード2つです（例：pd1._domainkeyとpd2._domainkey。実際のセレクター名はドメインごとに生成されます）。それぞれPipedriveのターゲットを指します。貼り付けるTXTレコードではなくCNAMEなので、Pipedriveが秘密鍵を保持し、2つのセレクターを使って公開鍵をローテーションします。DNSを再度編集する必要はなく、DKIMのTXTレコードを作成したり公開鍵をコピーしたりすることもありません。どちらのセレクターも表示どおりに追加してください。Pipedrive固有の注意点が2つあります。1つ目に、ここではDKIMが要です。Return-Pathは同社の送信ドメイン上にあり、プラットフォームにSPFのアライメントを一致させる手段がないため、DMARCの成功はDKIMのアライメントにかかっています。DKIMのCNAMEを1つでも省略すると、ドメインが「authenticated」と表示されていても、気づかないうちにDMARCに失敗する可能性があります。2つ目に、DNSがCloudflareの背後にある場合は、両方のセレクターを「DNS only」（グレーのクラウド）に設定してください。オレンジのクラウドでプロキシが有効なCNAMEはPipedriveのホストに解決されず、確認に失敗します。両方が解決されてRefresh statusをクリックすると、Campaignsはd=yourdomain.comと記された署名をメールに付けます。
DMARC
DMARCは、ルートドメインに設定する別のポリシーレコードです。Pipedriveは公開を促しますが作成はしないので、DNSホストで自分で公開します。_dmarc.yourdomain.comに、v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comで始まるTXTレコードを追加します。p=noneは監視のみのため、配信には影響しません。受信側から集計レポートがメールで届くので、ポリシーを引き上げる前に、CampaignsのメールがDKIMに成功し、自社ドメインとアライメントが一致していることを確認できます。PipedriveでDMARCが特に重要なのは、その裏返しがあるからです。自社ドメインがすでにp=quarantineまたはp=rejectを公開している場合、先に認証せずにキャンペーンを送信すると、アライメントが一致しないPipedriveのメールはそのポリシーを満たせず、受信側が迷惑メールに振り分けるかブロックします。メールがバウンスし始めてからではなく、送信前に認証してください。1～2週間、集計レポート（rua）を確認し、Pipedriveがアライメントが一致し成功している送信元として表示されたら、p=quarantine、最終的にp=rejectへと段階的に引き上げます。送信者がいくつあっても、_dmarcレコードはドメイン全体で1つだけにし、Pipedrive専用に2つ目を追加しないでください。
正しく設定できたか確認する
PipedriveのDomain authentication画面の緑のチェックマークだけで判断しないでください。確認できるのはレコードが解決されることで、メールのアライメントが一致することではありません。実際のメールで確認します。管理しているGmailアドレス宛てに小規模なテストキャンペーンを送信して開き、3点メニュー > Show originalを選びます。DKIM: PASS（署名はpipedrive.comではなくyourdomain.com）、DMARC: PASSと表示されていれば成功です。DKIMにd=pipedrive.comと表示される場合やDMARCに失敗する場合は、DKIMのCNAMEがまだ自社ドメインで解決されていません。Pipedriveでは、Refresh statusをクリックすると、Domain authenticationページのすべてのレコードに緑のチェックマークが表示されるはずです。その後、Qualisendのドメイン診断でドメインをチェックし、Return-PathのCNAMEレコード、両方のDKIMセレクター、DMARCレコードがすべて正しく解決され、SPFのルックアップが10回の上限に収まっていることを確認します。集計レポートが届き始めたら、DMARCレポート解析にレポートをドロップします。Pipedriveがアライメントが一致し成功している送信元として表示されるはずです。
よくある注意点
- 適用範囲
対象はCampaignsだけで、CRMのメール同期は対象外です。これらのレコードは一括メールアドオンのCampaigns用です。取引や連絡先から同期・送信する1対1のメールは、接続したGmail/Microsoft 365のメールボックスを経由し、そのメールボックスが認証するため、Pipedriveのレコードは不要です。
- DNS設定
DKIMが要なので、DKIMのCNAMEレコードは必ず両方追加してください。PipedriveのReturn-Pathは同社のドメイン上にあり、プラットフォームがSPFのアライメントを一致させられないため、DMARCの成功は完全にDKIMに依存します。セレクターを1つ省略すると、ドメインが「authenticated」と表示されていてもDMARCに失敗することがあります。
- 適用範囲
ドメインの認証と送信者の確認は別物です。CampaignsではFromアドレスも個別に確認する必要があり（確認リンクがメールで届きます）、確認後にはじめて、その送信者がキャンペーンのドロップダウンに表示されます。ドメインが認証済みでも、送信者が未確認なら送信できません。
- DNS設定
Cloudflareのプロキシが確認の妨げになります。PipedriveのCNAMEはすべて「DNS only」（グレーのクラウド）に設定してください。プロキシが有効なCNAMEレコード（オレンジのクラウド）はルックアップの向き先が変わり、確認が完了しません。
- 適用範囲
自社ドメインにp=quarantineまたはp=rejectのDMARCポリシーがすでにある場合、未認証のキャンペーンは迷惑メールに振り分けられるか、ブロックされます。メールがバウンスし始めてからではなく、最初のキャンペーンを送信する前にドメインを認証してください。
- DNS設定
ルートドメインのSPFレコードにinclude:spf.pipedrive.comを追加しないでください。PipedriveはCNAMEで認証するサービスで、SPFはReturn-PathのCNAMEレコードが処理します。誤って追加したincludeは不要で、10回のSPFルックアップのうち1回を無駄に消費するうえ、サポートされた方法でもありません。
- DNS設定
ホスト欄の二重入力に注意してください。多くのレジストラはドメインを自動で追加するため、pd1._domainkey.yourdomain.comがpd1._domainkey.yourdomain.com.yourdomain.comになってしまいます。管理画面がドメインを追加する場合は、Pipedriveが示すサブドメインのラベルだけを入力してください。
- DNS設定
最大48時間待ってからRefresh statusをクリックしてください。Pipedriveの再チェックはオンデマンドで、自動では行われません。48時間経っても失敗する場合、原因はほぼ必ず、プロキシが有効なCNAMEレコード、ホストの二重入力、誤ったタイプ（CNAMEではなくA/TXT）で保存されたレコードのいずれかです。
- 認証失敗の原因
ほかの送信者用に、ルートドメインのSPFのTXTレコードは1つだけにしてください。SPFレコードが2つあると、それ自体がPermErrorになります。ただし、PipedriveのCNAMEレコードはこのレコードに何も追加しないので、Pipedriveのためにまとめるものはありません。
SPFレコードを作成
Pipedriveでは、ルートドメインにSPFのinclude:を追加する必要はありません。作成ツールを使って他の送信元用のクリーンなレコードを1つ組み立て、1行に収めてください。
送信元
メールの送信に使っているサービスを検索して、それぞれチェックを入れてください。
上の検索欄で利用中のメールサービスを検索するか、してください。
このドメイン自身のサーバー
ドメインが（上記のサービスを経由せず）直接メールを送信する場合は、ドメイン自体を許可します。
その他の送信元・IP
リストにないもの（別のサービスのSPFホストや特定のIPアドレス）を追加します。
接頭辞のinclude:は自動で付加されます。サービスのドキュメントに記載されているホスト名を入力してください。
その他すべての送信元へのポリシー
上記に記載されていないサーバーからのメールを、受信側がどう処理すべきかを指定します（allメカニズム）。
送信元がまだないため、すべてのメッセージに~allポリシーが適用されます。ステップ1で利用中のサービスを追加してください。
- ルートドメインにTXTレコードとして公開します。ホストは@（ドメインそのもの）、値は上記の文字列全体です。
- SPFレコードは1つのドメインにつき1つだけにします。すべての送信元をこの1行にまとめてください。v=spf1で始まるTXTレコードが2つあると、両方とも無効になります。
- DNSルックアップは10回以内に収めてください。include:、a、mxはそれぞれ1回とカウントされ、includeは内部でさらにルックアップを発生させることがあります。ip4:とip6:はカウントされません。
送信ドメイン認証の設定が済んだら、次は検証済みのクリーンなリストへの配信です。
リストを検証PipedriveのSPFに関するよくある質問
関連記事
ヘルプデスク・CRMの他のサービス
すべてのSPFガイド公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。
認証の次は、リストをクリーンに保つ
SPF、DKIM、DMARCに成功すれば受信トレイに届き、クリーンなリストならその状態を維持できます。お手持ちのリストも検証してクリーニングできます。100クレジット無料、クレジットカード登録不要で始められます。