Proton Mailの​SPF・DKIM・DMARC設定。

Proton Mailを認証すべき理由

Protonのドメイン認証は、メールが受信トレイに届くかどうかを左右します。プライバシーはProtonの売りですが、プライバシーと認証は別物で、受信側は意図ではなくレコードで評価します。2024年2月以降、GmailとYahooは、すべての大量送信者（1日あたり約5,000通以上）に対し、SPF、DKIM、DMARCにアライメントが一致した状態で成功することを義務付けています。Microsoftも2025年に、Outlook.com/Hotmail宛ての大量メールに同じ要件の適用を始めました。少量の個人用や小規模ビジネス用のメールボックスでも、認証していないProtonのカスタムドメインには「via」の表示が付き、DMARCに失敗し、迷惑メールに振り分けられやすくなります。さらに、どのサーバーが自社ドメインとして送信できるかを何も公開していないため、ドメインがなりすましに無防備な状態になります。Protonには、これがさらに重要になる固有の理由もあります。Protonは送信メールのSMTP Return-Pathを所有・管理しており、利用者はカスタマイズできません。そのため、SPFのアライメントが自社ドメインと一致することは当てにできません。実際にDMARCの成功を支えるのは、Protonがd=yourdomain.comとして署名するDKIMです。SPF、DKIM、DMARCの3つすべてを設定すれば、メールは暗号技術によって自社のものと証明され、「via」の表示は消え、アライメントの一致したDKIMによってDMARCに成功し、築いたレピュテーションは自社ドメインに蓄積されます。

Proton MailにおけるSPFの実情

Proton Mailは、実際にincludeで認証するサービスです。ルートドメインにある1つのSPFのTXTレコードに、共有メカニズムのinclude:_spf.protonmail.chを1つ追加します。レコード全体はv=spf1 include:_spf.protonmail.ch ~allです。CNAMEで委任するESPとは異なり、これは本当に共有されるincludeで、Protonのカスタムドメインを使う顧客全員が同じものを使います。消費するDNSルックアップはRFC 7208の上限である10回のうち1回だけです。また、Protonは-allではなく~all（softfail）で終えることを明確に推奨しています。これにより、記載し忘れたサーバーからのメールは、完全に拒否されるのではなく疑わしいものとして扱われます。ただし、Proton特有の重要な注意点があります。Protonは送信メールのエンベロープ送信者（Return-Path）を管理しており、利用者側でこれを自社ドメインに向ける手段はありません（SendGridのようなem形式の送信用サブドメインも、カスタムReturn-Pathもありません）。そのため、DMARCでSPFのアライメントが自社ドメインと一致することを当てにしないでください。include:_spf.protonmail.chの役割は、Protonの送信IPを許可することと、SPFのチェック自体に成功することの2つと考えてください。Protonはすべてのメールにd=yourdomain.comで署名するため、アライメントを一致させる仕組みとしてはDKIMに頼ってください。SPFのTXTレコードはドメインに1つだけにします。Google Workspace、Microsoft 365、またはニュースレターツールからも送信する場合は、2つ目のSPFレコードを公開せず、すべてのメカニズムを1つのv=spf1の行にまとめてください。SPFレコードが2つあると、それ自体がPermErrorになります。また、送信用サブドメインにはそれぞれ専用のSPFレコードが必要です。yourdomain.comのレコードは、mail.yourdomain.comには適用されません。

設定手順

追加するレコード

正確な値はProton Mailのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。

DNSルックアップの10回制限

SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。Proton Mailの設定がこの上限のうち何回を消費するかは、次のとおりです。

正しく設定できたか確認する

タブの緑のチェックマークだけで判断しないでください。これはレコードが解決されることを示すだけで、メールの認証が最初から最後まで機能していることを示すものではありません。カスタムドメインのアドレスからGmailアカウント宛てに実際のテストメールを送り、開いて⋮ → Show originalを選びます。signed-by / d=yourdomain.comとともにDKIM: PASS、そしてDMARC: PASSと表示されていれば成功です。有効なセレクターは、ローテーションの状況に応じてprotonmail、protonmail2、protonmail3のいずれかです。SPFも通常はPASSと表示されますが、アライメントが自社ドメインとProtonのReturn-Pathのどちらに一致しているかを確認してください。アライメントが一致するのがDKIMだけの場合、Protonではそれが想定どおりで、DKIMによってDMARCに成功します。手軽なセカンドオピニオンとして、Mail-Testerのアドレスにメールを送る方法もあります。SPFとDKIMがともに緑で、10/10のスコアになるはずです。レコードそのものは、dig CNAME protonmail._domainkey.yourdomain.com、dig TXT yourdomain.com、dig TXT _dmarc.yourdomain.comでスポットチェックできます。最後に、Qualisendのドメイン診断でドメインをチェックし、SPFのinclude、3つのDKIM用CNAME、DMARCレコードが問題なく解決され、SPFがDNSルックアップの10回制限内に収まっていることを確認します。集計レポートが届き始めたら、DMARCレポート解析にレポートをドロップし、Protonがアライメントの一致した、成功している送信元として表示されることを確認してください。

よくある注意点

• 適用範囲

  カスタムドメインには有料のProton Mailプラン（Mail Plus、Proton Unlimited、Proton Family/Duo、またはProton for Business）が必要です。無料アカウントではドメインの追加も認証もできません。Domain namesセクションで先に進めない場合は、まずここを確認してください。

• DNS設定

  Protonでは、DMARCの成功をSPFに頼らないでください。Protonは送信時のReturn-Pathを管理しており、利用者がカスタマイズする手段はありません。そのため、SPFのアライメントは自社ドメインと一致しない場合があります。DMARCの成功を支えるのは、3つのCNAMEによりd=yourdomain.comとして署名するDKIMです。DKIMは決して省略しないでください。

• DNS設定

  DKIMのCNAMEは3つすべてが必要です。Protonは2048ビットの鍵をprotonmail、protonmail2、protonmail3の各セレクターでローテーションします。1つしか公開しないと、いずれローテーションによって、DNSに公開していない鍵で送信メールが署名され、数週間後に気づかないうちにDKIMが失敗し始めます。

• DNS設定

  DKIMのCNAMEの値は完全に一致させる必要があります。多くのレジストラは末尾にピリオドを付けたり、ドメインを自動で追加したりするため、ターゲットがProtonのチェックツールで拒否される形に変わることがあります。ウィザードの表示と完全に一致するよう取り除いてください。そうしないと緑のチェックマークは付きません。

• DNS設定

  従来のTXT方式のDKIMから移行する場合は、CNAMEを追加する前に古いprotonmail._domainkeyのTXTレコードを削除してください。同じホストに古いTXTと新しいCNAMEがあると競合し、DKIMの検証に失敗します。

• DNS設定

  Cloudflareでは、DKIMのCNAMEをすべてDNS only（グレーのクラウド）に設定してください。オレンジのクラウドでプロキシが有効なCNAMEは*.domains.proton.chに解決されず、検証に失敗します。ProtonをCloudflareで使う際によくある注意点です。

• 認証失敗の原因

  SPFのTXTレコードは1つだけにします。Google Workspace、Microsoft 365、またはニュースレターツールからも送信する場合は、include:_spf.protonmail.chを1つのv=spf1の行にまとめてください。SPFレコードが2つあるとPermErrorになります。また、送信用サブドメインにはそれぞれ専用のSPF、DKIM、DMARCが必要です。

SPFレコードを作成

以下ではProton Mailがあらかじめ選択されています。他に利用している送信プラットフォームを追加し、1つにまとめたレコードを公開してください。

Proton MailのSPFに関するよくある質問

関連記事

ワークスペース・メールボックスの他のサービス

• Purelymail
• Rackspace Email
• Titan
• Yandex 360
• Zoho Mail
• Apple iCloud+ Custom Email Domain
• Fastmail
• Google Workspace

公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。