Scaleway Transactional EmailのSPF・DKIM・DMARC設定。
Scaleway Transactional Email（TEM）は、コンソールのDNS recordsタブから送信ドメインを認証します。CNAMEによる委任を使うサービスとは異なり、本来の意味での「include」型のサービスです。利用者側で、共有のSPFのinclude、コンソールが生成するDKIMのTXT鍵、DMARCポリシーを自社のDNSゾーンに貼り付け、コンソールに確認させます。TEMには任意のブラックホールMXレコードもあります。ドメインをScaleway Domains and DNSで登録している場合は、SPF、DKIM、DMARC、MXの4つのレコードをすべて書き込むワンクリックの自動設定も使えます。Scalewayはメールの受け付けにSPFとDKIMの両方を求めるため、ドメインの確認が完了するまでTEMからは一切送信できません。つまり、最初に正しく済ませるべき作業です。
Scaleway Transactional Emailを認証すべき理由
TEMのドメイン認証は、メールの届き先だけでなく、メールが受け付けられるかどうかそのものを左右します。Scalewayはトランザクションメールをフランスの共有IP範囲から送信します（SPFのincludeには現在、62.210.3.0/24、51.159.124.109、51.159.124.110と、2001:bc8のIPv6ブロックが含まれています）。利用者が自社ドメインのSPFとDKIMを公開するまで、そのメールが自社のものであることを示す根拠は弱いままです。Fromアドレスは暗号学的に自社のものではなく、DMARCにも成功できず、レピュテーションはそのインフラ上の未認証の送信者全体と共有されます。2024年2月以降、GmailとYahooは、すべての大量送信者（1日あたり約5,000通以上）に対し、SPF、DKIM、DMARCにアライメントが一致した状態で成功することを義務付けています。Microsoftも2025年に、Outlook.com宛ての要件を満たさないメールの拒否を始めました。TEMでは利用者がSPFのincludeとDKIMセレクターを自社ドメインに置くため、設定が済めばSPFとDKIMのどちらも自社ドメインとアライメントが一致し、DMARCに成功します。TEMが追跡するドメイン単位のレピュテーションスコアも、共有プールではなく自社ドメインに蓄積されます。
Scaleway Transactional EmailにおけるSPFの実情
Scaleway TEMは本物の「include」型サービスです。利用者側で、送信ドメインの1つのSPF TXTレコードに、共有メカニズムinclude:_spf.tem.scaleway.comを1つ追加します。ドメインにSPFレコードがまだない場合、コンソールは完全なレコードv=spf1 include:_spf.tem.scaleway.com -allの公開を案内します。すでにSPFレコードがある場合は、2つ目のレコードを公開せず、既存のv=spf1の行にinclude:_spf.tem.scaleway.comの部分だけを追加して1つにまとめてください（SPFレコードが2つあるとPermErrorになります）。Scaleway固有の注意点が2つあります。1つ目は、このincludeの消費が少ないことです。_spf.tem.scaleway.comは、ネストしたincludeのないip4:/ip6:の範囲だけからなる1つのフラットなレコードに解決されるので、10回まで許されるSPFのDNSルックアップ（RFC 7208）のうち、ちょうど1回しか消費しません。includeを重ねるサービスのように3～4回消費することはありません。2つ目は、Scalewayの公式手順がレコードの末尾を厳格な-all（hardfail）としている点です。多くのサービスは~allを勧めるため、これは珍しい指定です。TEMが唯一の送信元であれば問題ありませんが、Google Workspace、Microsoft 365、Mailchimpなどからも送信している場合、すべての送信元をその1つのSPFレコードに記載しない限り、-allによってそれらはすべてhard failになります。先に追加するか、すべての送信元を1つにまとめるまで~allのままにしてください。先頭のアンダースコアにも注意してください（正しくは_spf.tem.scaleway.comで、spf.tem.scaleway.comではありません）。includeの文字列は、必ずコンソールのDNS recordsタブに表示されるものを正確にコピーしてください。
2つの設定方法
自動設定（ドメインがScaleway Domains & DNSにある場合）
- Scalewayのドメインを追加する際、Validate domain nameをクリックする前に「Configure my Transactional Email DNS records automatically」にチェックを入れます
- ScalewayがSPF、DKIM、DMARC、MXをDNSゾーンに書き込みます（後からDNS Verificationタブで有効にすることもできます）
- レコードの名前や値をコピーして貼り付ける必要がなく、ホスト欄の二重付加のミスも起きません
- ドメインの確認を最短で完了でき、送信とレピュテーションスコアの確認に集中できます
手動でのDNS設定（外部またはサードパーティのレジストラ）
- コンソールのDNS recordsタブから各レコードを自分でDNSホストにコピーします
- SPF：v=spf1 include:_spf.tem.scaleway.com -all（または既存のレコードにincludeを追加して1つにまとめる）
- DKIM：コンソールが生成したName（セレクター）とv=DKIM1の値をTXTレコードとして貼り付けます
- 所有権の確認に時間がかかることがあり、その後もScalewayがレコードを定期的に再チェックします
設定手順
- 1
Transactional Emailを開く
console.scaleway.comにログインし、サイドメニューのDomains & Web HostingセクションにあるTransactional Emailをクリックします。Transactional Emailの概要ページが表示されます。
- 2
プランを選択してドメインを追加
Select a planをクリックし、Essential（従量課金、ドメインごとにWebhook 1つ）またはScale（固定料金、10万通のメール、専用のIPv4+IPv6、無制限のWebhook、IPウォームアップのための30日間の契約を含む）を選びます。次に、Choose a plan and add a domainをクリックします。
- 3
Scalewayのドメインか外部ドメインかを選択
Use a Scaleway domainまたはAdd a domain external to Scalewayを選びます。Scalewayのドメインでは、Add a domain prefixにチェックを入れてサブドメイン（例：mail.yourdomain.com）から送信することもできます。その場合、すべてのレコードはそのサブドメインのゾーンに置きます。
- 4
（Scalewayのドメイン）レコードを自動設定
ドメインをScaleway Domains and DNSで登録している場合は、Validate domain nameをクリックする前に「Configure my Transactional Email DNS records automatically」にチェックを入れます。ScalewayがSPF、DKIM、DMARC、MXを書き込みます（後からドメインのDNS Verificationタブで有効または無効にすることもできます）。その後は手動のDNS手順を飛ばし、確認に進みます。
- 5
（外部ドメイン）DNS recordsタブを開く
ドメイン名をクリックし、DNS recordsタブを開きます。SPF, DKIM and DMARC recordsのセクションまでスクロールします。コピーする各レコードの正確なName/Valueがここに表示されます。
- 6
SPFレコードを追加（既存なら1つにまとめる）
送信ドメインのルートにTXTレコードを追加します。既存のSPFがない場合：v=spf1 include:_spf.tem.scaleway.com -all。すでにSPFがある場合：既存のv=spf1の行にinclude:_spf.tem.scaleway.comを追加して1つにまとめます。2つ目のSPFレコードは絶対に公開しないでください。
- 7
DKIMのTXTレコードを追加
同じゾーンにTXTレコードを追加します。コンソールに表示されたName（._domainkeyで終わる固有のセレクター）をNameフィールドに、値（v=DKIM1; k=rsa; p=…）をValueフィールドに、表示どおりにコピーします。セレクターを自分で作らないでください。
- 8
DMARCレコードを公開
_dmarc.yourdomain.comに、v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comを値とするTXTレコードを追加します。vとpのタグは必須で、タグはセミコロンで区切ります。p=noneは監視のみのため、アライメントを確認している間に何かがブロックされることはありません。
- 9
（任意）ScalewayのブラックホールMXを追加
ドメインに受信メールサーバーがない場合に限り、ルートに優先度10、ホスト名blackhole.tem.scaleway.com.（末尾のドットは残します）のMXレコードを追加します。これはブラックホールで、ここに返送されたものはすべて破棄されます。ドメインですでにメールを受信している場合は、自社のMXを維持してこの手順を飛ばしてください。
- 10
コンソールにレコードを確認させる
ドメインの画面に戻り、DNS records / DNS Verificationタブを確認します。Scalewayはレコードを自動でチェックし、定期的に再チェックします。反映と確認には最大48時間かかることがあるので、すべてのレコードをそのまま残してください。
- 11
テストメールを送信してヘッダーを確認
ドメインが確認済みと表示されたら、認証済みドメインのアドレスから送信してGmailで開き、⋮ → Show originalを選びます。SPF: PASS、DKIM: PASS（signed-by yourdomain.com）、DMARC: PASSと表示され、いずれも自社ドメインとアライメントが一致していることを確認します。
追加するレコード
正確な値はScaleway Transactional Emailのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。
| タイプ | ホスト | 値 |
|---|---|---|
| TXT | @ | v=spf1 include:_spf.tem.scaleway.com -allルートドメインのSPF：SPFレコードは1つだけにします。すでにある場合はinclude:_spf.tem.scaleway.comだけを追加して1つにまとめてください。Scalewayの手順は厳格な-allを使いますが、他の送信者を追加している間は~allを使ってください。 |
| TXT | <selector>._domainkey | v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A…IDAQAB例です。セレクター（Name）はScalewayがドメインごとに生成する固有の文字列です。正確なNameとValueはコンソールのDNS recordsタブからコピーし、セレクターを推測しないでください。 |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com自分で公開します。vとpは必須で、タグはセミコロンで区切ります。p=noneから始め、TEMがアライメントの一致した状態で成功するようになったらquarantine、rejectへと引き上げます。 |
| MX | @ | blackhole.tem.scaleway.com.任意で、優先度は10です。返送されたものをすべて破棄するブラックホールなので、ドメインに実際の受信用MXがない場合にのみ追加してください。末尾のドットは残します。 |
ルートドメインのSPF（v=spf1）のTXTレコードは1つだけにし、すべての送信元をこの1行にまとめてください。SPFレコードが2つあると、それ自体がエラーになります。
DNSルックアップの10回制限
SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。Scaleway Transactional Emailの設定がこの上限のうち何回を消費するかは、次のとおりです。
Scaleway Transactional Emailは10回のルックアップのうち1回を消費します。ip4:とip6:のメカニズムはルックアップを消費しません。
DKIM
Scaleway TEMのDKIMは、委任するCNAMEではなく、コンソールからコピーする静的なTXTレコードです。ドメインのDNS recordsタブに、DKIMレコードが表示されます。Nameはそのドメイン用にScalewayが生成した固有のセレクター（._domainkeyで終わるランダムに見えるラベル）で、Valueはv=DKIM1; k=rsa; p=<your public key>という形式の標準的な公開鍵です。どちらもそのまま、送信ドメインと同じゾーン（またはプレフィックス付きサブドメインを設定した場合はそのサブドメイン）のTXTレコードに貼り付けます。対応する秘密鍵はScalewayが保持し、リレー（smtp.tem.scaleway.com）を通じて送信メールに署名します。CNAMEで認証するサービスとの違いは2つあります。1つ目は、CNAMEで委任するのではなくTXTの値を貼り付けるため、手動で設定したドメインでは鍵の自動ローテーションがないことです。Scalewayが鍵をローテーションした場合は新しい値をコピーし直す必要があり、レコードが一致しなくなると、Scalewayの定期的な再チェックでドメインが無効に戻ることがあります（ScalewayのDNSで自動設定したドメインは自動で更新されます）。2つ目は、RSAのDKIM公開鍵は1つのTXT文字列の上限である255文字を超える長さがあり、多くのDNS管理画面では1つのレコード内に引用符付きの複数の断片として保存されることです。ほとんどの場合は正しく連結されますが、確認で鍵が無効と報告された場合は、連結の崩れが通常の原因です。セレクターは「scw」のように記憶から入力できる固定の単語ではありません。表示されたNameとValueを正確にコピーしてください。
DMARC
DMARCは、自分で公開する別のポリシーレコードです。Scalewayは推奨値を表示しますが、自動設定を使わない限り作成はしません。Nameを_dmarcとドメインの組み合わせ（例：_dmarc.yourdomain.com）とし、v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comを値とするTXTレコードを追加します。Scalewayのドキュメントでは、少なくともvとpのタグが必須で、タグはセミコロンで区切ることになっています。p=noneは監視のみのため、TEMのメールがSPFとDKIMに成功し、自社ドメインとアライメントが一致していることを確認している間、配信には何も影響しません。1～2週間、集計レポート（rua）を確認し、正規の送信者がすべて認証できていることを確かめたら、本格的ななりすまし対策としてp=quarantine、最終的にp=rejectへと引き上げます。なお、p=rejectでは、SPFレコードにない送信元からのメールや有効なDKIM署名のないメールはそのまま拒否されるので、先にすべての送信者が記載されていることを確認してください。Scaleway固有の補足として、Nameが異なれば1つのドメインで複数のDMARCレコードを運用できます。プレフィックス付きサブドメイン（例：tem.yourdomain.com）から送信する場合は、_dmarc.yourdomain.comに加えて_dmarc.tem.yourdomain.comも公開できます。同じ名前に2つのDMARCレコードを公開することは絶対に避けてください。
正しく設定できたか確認する
コンソールのバッジだけで判断しないでください。確認には最大48時間かかることがあり、Scalewayは定期的に再チェックします。SPF、DKIM、DMARC、MXがそれぞれ解決されているかどうかは、DNS records / DNS Verificationタブで判断します。ドメインが確認済みと表示されたら、実際のメールで確かめます。認証済みドメインのアドレスから送信してGmailで開き、⋮ → Show originalを選びます。SPF: PASS、DKIM: PASS（signed-by: yourdomain.com、固有のセレクター）、DMARC: PASSと表示され、いずれもscaleway.comではなく自社ドメインとアライメントが一致していれば成功です。生のレコードは、dig TXT _spf.tem.scaleway.com（ip4/ip6だけの1つのフラットなレコードが表示され、ルックアップの消費が1回であることを確認できます）、dig TXT <selector>._domainkey.yourdomain.com、dig TXT _dmarc.yourdomain.comで個別に確認できます。最後に、Qualisendのドメイン診断でドメインをチェックし、すべてのレコードが解決され、SPFレコードが10回の上限内に収まっていることを確認します。送信ドメイン認証チェックで3つのレコードをまとめて検証し、集計レポートが届き始めたらDMARCレポート解析にレポートをドロップします。Scalewayが、アライメントが一致し認証に成功している送信元として表示されるはずです。
よくある注意点
- DNS設定
Scalewayの新規ドメイン向けの既定のSPFレコードは、通常の~allではなく-all（厳格なhardfail）で終わります。Google Workspace、Microsoft 365、Mailchimpなどのツールからも送信している場合、すべての送信元をその1つのSPFレコードに含めない限り、-allによってそれらはすべてhard failになります。先にすべての送信者を追加するか、一覧が揃ったと確信できるまで~allのままにしてください。
- 適用範囲
先頭のアンダースコアに注意してください。メカニズムはinclude:_spf.tem.scaleway.comであり、spf.tem.scaleway.comではありません。コンソールのDNS recordsタブに表示される文字列を必ず正確にコピーしてください。
- 適用範囲
古いScalewayのチュートリアル（および現在も有効な従来のエイリアス）は、_spf.tem.scaleway.comではなくinclude:_spf.scw-tem.cloudを参照しています。現時点ではどちらも同じフラットなip4/ip6のレコードに解決されますが、キャッシュされたブログ記事から貼り付けず、今コンソールに表示されているincludeを正確にコピーしてください。
- 認証失敗の原因
ドメインのSPF TXTレコードは1つだけにしてください。すでにSPFがある場合は、include:_spf.tem.scaleway.comの部分だけを追加して1つにまとめます。2つ目のv=spf1レコードを公開するとPermErrorになり、SPFが完全に機能しなくなります。
- DNS設定
DKIMのNameは、._domainkeyで終わるコンソール生成の固有のセレクターで、記憶から入力できる固定の単語ではありません。NameとValueをそのままコピーしてください。また、レジストラが._domainkeyの名前にドメインを付加するホスト欄の二重付加にも注意してください。
- 適用範囲
ブラックホールMX（blackhole.tem.scaleway.com.）は、返送されたものをすべて破棄し、復旧はできません。ドメインに実際の受信メールサーバーがない場合にのみ追加してください。ドメインでメールを受信している場合は、既存のMXを維持し、Scalewayのものは追加しないでください。末尾のドットも残してください。残さないと、レジストラがホスト名にドメインを付加します。
- 適用範囲
確認には最大48時間かかることがあり、Scalewayは定期的に再チェックします。後からレコードを変更、切り詰め、または削除すると、ドメインが無効に戻って送信が止まることがあります。これらのレコードは恒久的なものとして扱ってください。
- 適用範囲
自動設定は、ドメインをScaleway Domains and DNSで登録している場合にのみ機能します。外部ドメインは手動で設定する必要があり、所有権の確認に時間がかかることがあります。
- DNS設定
長いRSAのDKIM鍵は1つのTXT文字列の上限である255文字を超えるため、引用符付きの断片に分割して保存されます。確認で鍵が無効と報告された場合、最も可能性が高い原因はDNS管理画面による連結の崩れです。
SPFレコードを作成
以下ではScaleway Transactional Emailがあらかじめ選択されています。他に利用している送信プラットフォームを追加し、1つにまとめたレコードを公開してください。
このドメイン自身のサーバー
ドメインが（上記のサービスを経由せず）直接メールを送信する場合は、ドメイン自体を許可します。
その他の送信元・IP
リストにないもの（別のサービスのSPFホストや特定のIPアドレス）を追加します。
接頭辞のinclude:は自動で付加されます。サービスのドキュメントに記載されているホスト名を入力してください。
その他すべての送信元へのポリシー
上記に記載されていないサーバーからのメールを、受信側がどう処理すべきかを指定します（allメカニズム）。
- ルートドメインにTXTレコードとして公開します。ホストは@（ドメインそのもの）、値は上記の文字列全体です。
- SPFレコードは1つのドメインにつき1つだけにします。すべての送信元をこの1行にまとめてください。v=spf1で始まるTXTレコードが2つあると、両方とも無効になります。
- DNSルックアップは10回以内に収めてください。include:、a、mxはそれぞれ1回とカウントされ、includeは内部でさらにルックアップを発生させることがあります。ip4:とip6:はカウントされません。
送信ドメイン認証の設定が済んだら、次は検証済みのクリーンなリストへの配信です。
リストを検証Scaleway Transactional EmailのSPFに関するよくある質問
関連記事
トランザクションメール・APIの他のサービス
すべてのSPFガイド公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。
認証の次は、リストをクリーンに保つ
SPF、DKIM、DMARCに成功すれば受信トレイに届き、クリーンなリストならその状態を維持できます。お手持ちのリストも検証してクリーニングできます。100クレジット無料、クレジットカード登録不要で始められます。