Purelymailの​SPF・DKIM・DMARC設定。

Purelymailを認証すべき理由

Purelymailのドメイン認証は形式的な作業ではなく、メールが受信トレイに届くかどうか、そしてなりすましを防げるかどうかを左右します。2024年2月以降、GmailとYahooは、すべての送信者にSPFまたはDKIMの成功を、すべての大量送信者（1日あたり約5,000通以上）にはさらにアライメントが一致した状態でのDMARC公開を義務付けています。Yahooも同じ月に同じルールに合わせ、Microsoftも2025年にOutlook.com/Hotmail/Liveへの適用を始めました。レコードが有効になるまで、Purelymailから送るメールと自社ドメインの結び付きは弱く、DMARCに成功できません。また、登録しただけで保護していないドメインは簡単になりすまされます。設定が済めば、Purelymailは珍しいほど有利な立場にあります。Purelymailからの送信では自社ドメインがエンベロープ（Return-Path）の送信者になるため、SPFは組織ドメインとアライメントが一致し、DKIMはd=yourdomain.comとして署名します。つまり、多くのメール配信サービス（ESP）のようにDKIMだけでなく、両方の仕組みがアライメントの一致した状態で成功します。さらに、Purelymailが管理するDMARCはp=rejectで提供され、解決された時点からなりすましメールを積極的にブロックします。注意点は、p=rejectのポリシーでは認証し忘れた正規の送信元のメールも拒否されることです。そのため、3つのレコードすべてを意識して設定することが大切です。

PurelymailにおけるSPFの実情

Purelymailは、実際にincludeで認証するサービスです。CNAMEで委任するESP（Mailchimp、Klaviyo）でも、Return-Pathを所有するリレーでもありません。ルートドメインにある1つのSPFのTXTレコードに、共有メカニズムのinclude:_spf.purelymail.comを1つ追加します。レコード全体はv=spf1 include:_spf.purelymail.com ~allです。このSPFが実際に役立つ理由は2つあります。1つ目に、このincludeはフラットなレコードに解決され、その中身は3つのip4アドレスと、そのレコード自身の~allだけです（実際に確認済み：v=spf1 ip4:34.202.193.197 ip4:54.89.13.140 ip4:3.231.132.23 ~all）。入れ子のincludeはないため、消費するのは10回のDNSルックアップのうちちょうど1回で、一部のチェックツールが推測するような2回や3回ではありません。2つ目に、多くの送信プラットフォームとは異なり、you@yourdomain.comとしてPurelymailから送信する際は、自社ドメインがSMTPのエンベロープ送信者になります。そのため、SPFは実際に組織ドメインとアライメントが一致し、DKIMと並んで、それ単独でDMARCの成功に寄与します。Purelymailが公開しているのは-allではなく~all（softfail）で、すべての送信元が記載されていることを確認する間の妥当なデフォルトです。通常のルールも当てはまります。ルートドメインのSPFのTXTレコードは1つだけにします。Google Workspace、Microsoft 365、またはトランザクション用リレーからも送信する場合は、2つ目のSPFレコードを公開せず、すべてのincludeを1つのv=spf1の行にまとめてください（SPFレコードが2つあるとPermErrorになります）。また、以前のメールホストのSPFレコードが残っていれば削除してください。

2つの設定方法

設定手順

追加するレコード

正確な値はPurelymailのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。

DNSルックアップの10回制限

SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。Purelymailの設定がこの上限のうち何回を消費するかは、次のとおりです。

正しく設定できたか確認する

Purelymailの「Check DNS records」の緑のチェックだけで判断せず、実際のメールで確認してください。PurelymailのアドレスからGmailアカウント宛てにテストメールを送り、開いて⋮ → Show originalを選びます。SPF: PASS（yourdomain.comとアライメントが一致）、DKIM: PASS（d=yourdomain.com）、DMARC: PASSと表示されていれば成功です。SPFのアライメントが一致するのは、Purelymailでは自社ドメインがエンベロープ送信者になるためです。レコードそのものはターミナルからもスポットチェックできます。dig TXT _spf.purelymail.comでは3つのip4アドレスが表示され、dig CNAME purelymail1._domainkey.yourdomain.comではkey1.dkimroot.purelymail.comが指定されているはずです。dig TXT _dmarc.yourdomain.comではDMARCポリシーが返ります（管理型を使った場合はCNAMEをたどります）。その後、Qualisendのドメイン診断でドメインをチェックし、SPFのルックアップが1回のままであること、3つのDKIM用CNAMEが解決されること、DMARCが存在することを確認します。管理型のCNAMEを選んだ場合、レポートはPurelymailに届くことを忘れないでください。自分で状況を把握したくなった時点で、ruaの宛先を自分にした独自のDMARCレコードに切り替え、集計レポートをDMARCレポート解析に取り込みます。

よくある注意点

• DNS設定

  ここではDMARCはTXTではなくCNAMEで、両方を置くことはできません。自分宛てのruaレポートやp=noneからrejectへの段階的な引き上げが必要な場合は、Purelymailの_dmarcのCNAMEを追加せず、_dmarcのTXTレコードを公開してください。1つのホスト名はCNAMEにするかTXTレコードを持つかのどちらかで、両立はできません（RFC 1034）。混在は設定エラーとしてDNSホストに拒否されます。

• 適用範囲

  管理型のDMARCはp=rejectで、すぐに適用されます。Purelymailに限らず、認証していない送信元（ニュースレターツール、CRM、フォームプラグイン、またはトランザクション用リレー）からの正規のメールも拒否されます。先にすべての送信元を認証するか、段階的に引き上げる間は独自のp=noneレコードを使ってください。

• DNS設定

  管理型のDMARCのレポートはdmarc@purelymail.comに届き、集計レポート（rua）は送られてきません。誰が自社ドメインとして送信しているかを把握できません。レポートが必要な場合は、rua=を指定した独自のDMARCレコードを公開してください。

• DNS設定

  DKIMの3つのCNAMEはすべて必要です。Purelymailは各メールをローテーションする3つの鍵のいずれかで署名するため、purelymail1._domainkeyだけを公開すると、鍵2と鍵3で署名されたメールがDKIMに失敗します。purelymail1/2/3._domainkeyのすべてを追加してください。

• 認証失敗の原因

  以前のサービスのMXレコードとSPFレコードを削除してください。残ったMXレコードがあると受信メールが複数のホストに分かれ、2つ目のSPFのTXTレコードはPermErrorになります。MXレコードはmailserver.purelymail.com（優先度50）の1つだけ、SPFのTXTレコードも1つだけにしてください。

• DNS設定

  Cloudflareのプロキシを使うとCNAMEが機能しません。DKIMの3つのCNAMEと、使う場合はDMARCのCNAMEを「DNS only」（グレーのクラウド）に設定してください。オレンジのクラウドでプロキシが有効なCNAMEは、Purelymailのdkimroot/dmarcrootのホストに解決されず、検証に失敗します。

• DNS設定

  所有権確認の値は正確にコピーしてください。purelymail_ownership_proofのTXTレコードが解決されるまで、Purelymailはドメインを追加しません。値が途中で切れていたり編集されていたりすると、「Check DNS records」の手順が何も表示されないまま失敗します。

• DNS設定

  ホスト欄の二重化：多くのレジストラはドメインを自動で追加するため、purelymail1._domainkey.yourdomain.comと入力するとpurelymail1._domainkey.yourdomain.com.yourdomain.comになります。管理画面がドメインを追加する場合は、ラベルのみ（purelymail1._domainkey、_dmarc、@）を入力してください。

SPFレコードを作成

以下ではPurelymailがあらかじめ選択されています。他に利用している送信プラットフォームを追加し、1つにまとめたレコードを公開してください。

PurelymailのSPFに関するよくある質問

関連記事

ワークスペース・メールボックスの他のサービス

• Rackspace Email
• Titan
• Yandex 360
• Zoho Mail
• Apple iCloud+ Custom Email Domain
• Fastmail
• Google Workspace
• mailbox.org

公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。