SMTP2GOの​SPF・DKIM・DMARC設定。

SMTP2GOを認証すべき理由

SMTP2GOでは、Verified Senderの登録はもはや任意ではありません。2025年以降、ドメイン（または少なくとも1つのアドレス）の確認が済むまで送信がブロックされます。到達率を考えるなら、必要なのはSender Domainの完全な設定です。背景にあるのはメールプロバイダーのルールです。2024年2月以降、GmailとYahooは、すべての送信者にSPFまたはDKIMに成功することを、すべての大量送信者（1日あたり約5,000通以上）にはさらにアライメントを伴うDMARCポリシーの公開を義務付けています。Microsoftも2025年に、OutlookとHotmail宛ての大量送信者に同じ基本要件の適用を始めました。Sender Domainの確認が済むまで、SMTP2GOは組織ドメインとアライメントが一致しない送信にフォールバックするしかありません。受信者に「via」の表示が見える場合があり、SPFではDMARCに成功できず、積み上げたレピュテーションは自社ドメインではなくSMTP2GOの共有領域に集約されます。CNAMEを追加すれば、これらをすべて一度に解決できます。SPFは自社のReturn-Path用サブドメインを介してアライメントが一致し、DKIMは自社ドメインで署名され、DMARCに成功し、送信レピュテーションは自社に蓄積されます。

SMTP2GOにおけるSPFの実情

SMTP2GOはCNAMEで認証するサービスなので、推奨構成ではルートドメインのSPFレコードに追加すべきinclude:spf.smtp2go.comはありません。巧みなのはSPFの扱い方です。Sender Domainを追加すると、SMTP2GOはReturn-Path用のCNAMEを提示します。emXXXXXX.yourdomain.comのようなホスト（XXXXXXはアカウントの数値ID）で、return.smtp2go.netを指します。このサブドメインが、SMTP2GOのVERP（Variable Envelope Return Path）技術によってエンベロープ送信者、つまりReturn-Pathになります。メールプロバイダーがSPFをチェックすると、return.smtp2go.netのSPFレコード（SMTP2GOの送信IPを列挙）を参照して成功します。さらに、エンベロープのドメインは組織ドメインのサブドメインなので、緩和されたアライメントのもとでDMARCに対してもSPFのアライメントが一致します。ルートドメインのSPFレコードに一切手を加えなくてよいのはこのためです。Return-Path用のCNAMEがその役割を担い、公開SPFレコードのDNSルックアップも消費しません。従来の共有includeであるinclude:spf.smtp2go.comは今も解決されますが、SMTP2GOが案内している方法はCNAME/VERPサブドメインです。includeを使う方法は明らかに劣ります。Return-PathがSMTP2GO自身のドメインのままになるため、SPFでメールは許可されても自社ドメインとはアライメントが一致せず、DMARCの成功はDKIM署名に完全に頼ることになります。結論として、Sender DomainのCNAMEを使い、ルートドメインのSPFレコードはそのままにしてください。SPFのアライメントが得られ、DNSルックアップの10回制限の枠も消費せずに済みます。

2つの設定方法

設定手順

追加するレコード

正確な値はSMTP2GOのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。

DNSルックアップの10回制限

SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。SMTP2GOの設定がこの上限のうち何回を消費するかは、次のとおりです。

正しく設定できたか確認する

ダッシュボードの緑の「Verified」バッジだけで判断せず、実際のメールで確認してください。確認済みドメインのアドレスから自分宛てにテストメールを送り、Gmailで開いて⋮ → Show originalを選びます。SPF: PASS、DKIM: PASSがいずれも自社ドメインを示し（SPFは組織ドメインとアライメントが一致するemXXXXXXのReturn-Path、DKIMはsで始まるセレクターを参照）、さらにDMARC: PASSと表示されていれば成功です。レポート形式で確認したい場合は、check-auth@verifier.port25.comにテストメールを送ると、詳しい内訳がメールで返ってきます。Qualisendのドメイン診断でドメインをチェックし、3つのCNAMEがすべて解決され、DMARCレコードが有効であることも確認できます。集計レポートが届き始めたら、DMARCレポート解析にレポートをドロップします。SMTP2GOが、アライメントの一致した成功している送信元として表示されるはずです。

よくある注意点

• DNS設定

  Cloudflareのプロキシが原因で失敗します。SMTP2GOのCNAMEはすべて「DNS only」（グレーのクラウド）に設定してください。オレンジのクラウドでプロキシが有効なCNAMEレコードは*.smtp2go.netに解決されず、検証に失敗します。ドメインが「unverified」のまま進まない原因として、これが最も多いものです。

• DNS設定

  Single Sender Emailsはドメイン認証ではありません。確認リンクで1つのアドレスを確認すれば、そのアドレスから送信できますが、SPF/DKIMのアライメントは得られません。本来の認証と到達率を得るには、Sender Domain（CNAMEのフロー）を追加する必要があります。

• DNS設定

  ホストの二重付加に注意してください。多くのレジストラはドメインを自動で付加するため、em1234567.yourdomain.comと入力するとem1234567.yourdomain.com.yourdomain.comになります。管理画面がドメインを付加する場合は、ラベル（em1234567、s1234567._domainkey、link）だけを入力します。

• DNS設定

  CNAMEで設定した場合は、ルートドメインのSPFレコードにinclude:spf.smtp2go.comを追加しないでください。不要なうえ、SPFの10回のルックアップのうち1回を無駄に消費し、（Return-PathがSMTP2GOのドメインのままなので）SPFのアライメントも得られません。SPFはemXXXXXXのReturn-Path用CNAMEがすでに処理しています。

• DNS設定

  Return-Path用のCNAMEレコードは常に残しておいてください。これはVERPのReturn-Pathです。後で削除するとSPFのアライメントとバウンス処理が壊れ、気づかないうちにSPFでDMARCに失敗するようになることがあります。

• 適用範囲

  アカウント固有のラベルは正確にコピーしてください。emとsのホストラベルはアカウントごとに生成されます（例：em1234567、s1234567._domainkey）。推測したり、別アカウントのラベルを使い回したり、数字を入れ替えたりすると検証に失敗します。

• DNS設定

  AやTXTではなくCNAMEとして追加してください。DNSホストにCNAMEを「フラット化」させないでください。特にDKIMレコードはTXTと間違えられがちですが、dkim.smtp2go.netを指すCNAMEのままにする必要があります。

• 認証失敗の原因

  ドメインのSPFのTXTレコードと_dmarcのTXTレコードは、それぞれ1つだけにしてください。Google、Microsoft 365、Mailchimpなどからも送信している場合は、2つ目のSPFレコードを公開せず、それらのメカニズムを1行のv=spf1にまとめます。SPFレコードが2つあると、それ自体がPermErrorになります。

SPFレコードを作成

SMTP2GOでは、ルートドメインにSPFのinclude:を追加する必要はありません。作成ツールを使って他の送信元用のクリーンなレコードを1つ組み立て、1行に収めてください。

SMTP2GOのSPFに関するよくある質問

関連記事

トランザクションメール・APIの他のサービス

• SocketLabs
• SparkPost
• Amazon SES
• Brevo
• Elastic Email
• Loops
• MailerSend
• Mailgun

公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。