SquarespaceのSPF・DKIM・DMARC設定。
SquarespaceはWebサイトとコマースのプラットフォームであり、メールボックスサービスではありません。送信ドメイン認証の進め方もこの点で決まります。Squarespaceが利用者のドメイン名義で送るメールは2種類あります。Email Campaigns（ニュースレターやマーケティング）と、ストアおよびシステムの通知（注文確認、領収書、配送状況の通知、問い合わせフォームやフォームの回答）です。どちらも、DNSに公開するCNAMEで委任された同じDKIM鍵で署名されます。追加すべきSquarespaceのSPFのincludeはありません。実際のメールボックス（person@yourdomain）はGoogle Workspace、Microsoft 365、またはIMAPホストにあり、別途認証されます。このガイドでは、SquarespaceのDKIMの委任を公開する手順と、全体を結び付けるDMARCレコードについて説明します。
Squarespaceを認証すべき理由
GmailとYahooの大量送信者向けガイドラインでは現在、まとまった量のマーケティングメールを送るすべての送信者にSPF、DKIM、DMARCレコードが義務付けられています。Email Campaignsはまさにこれに該当します。認証がないと、キャンペーンだけでなく注文の領収書まで迷惑メールに振り分けられたり拒否されたりし、ドメインがなりすましに悪用されるおそれもあります。Squarespaceは委任されたDKIMで代理署名し、Return-Pathには自身のドメインを使うため、この1つのDKIM用CNAMEレコードがDMARCのアライメントを一致させる唯一の手段です。これが有効かどうかで、自社ドメインとしてDMARCに成功するメールになるか、アライメントが一致せずフィルタリングされるメールになるかが決まります。
SquarespaceにおけるSPFの実情
SquarespaceのSPFのincludeは存在せず、追加しても役に立ちません。Squarespaceはドメイン確認からSPFの手順を削除しており（従来のinclude:_spf.squarespace.comは廃止済み）、Email Campaignsとストア通知のどちらでもReturn-Pathに自身のドメイン（squarespace-mail.com）を使います。そのためSPFは常にSquarespaceのドメインに対して評価され、Fromアドレスとアライメントが一致することはありません。つまり、SquarespaceのメールがDMARCに成功する手段はDKIMだけです。ポリシーを適用する前に、委任されたDKIMのCNAMEレコードが有効になっている必要があるのはこのためです。ルートドメインのv=spf1レコードは、実際にメールボックスを運用しているサービス（Google Workspaceなど）だけを対象にし、Squarespaceの項目は追加しないでください。
設定手順
- 1
自社ドメインで送信するものをすべて洗い出す
Squarespaceが利用者のドメイン名義で送るメールは、Email Campaigns（ニュースレター/マーケティング）と、ストアおよびシステムの通知（注文確認、領収書、配送状況の通知、フォームの回答）の2種類です。メールボックスはホストしていません。どちらも委任された同じDKIM鍵で署名されるため、公開するCNAMEレコードは全体で1つです。person@yourdomainの受信トレイは別物で、Google Workspace、Microsoft 365、またはIMAPサービスにあり、それぞれ独自のレコードを持ちます。DNSを変更する前に、すべての送信者を一覧にしてください。
- 2
正しいDNSエディターを開く
ドメインをSquarespaceで登録または管理している場合（2023～24年にGoogle Domainsから移行したドメインを含む）は、Settings → Domains → ドメインを選択 → DNS Settings → Custom Records / Add RecordでDNSを編集します。ドメインを別の場所で登録し、Squarespaceに向けているだけの場合は、すべてのレコードをそのレジストラで追加します。Host/Nameフィールドは相対指定です。入力するのはsquarespace._domainkeyで、完全なドメインは入力しません。
- 3
SquarespaceのDKIM用CNAMEレコードを公開
CNAMEレコードを1つ追加します。名前はsquarespace._domainkey、タイプはCNAME、値はsquarespace-domainkey.squarespace-mail.comです。この1つのレコードで、SquarespaceはEmail Campaignsとストア/システムの通知のどちらも含め、利用者のドメイン名義で送るすべてのメールにd=yourdomain.comでDKIM署名できます。ホストにドメインを付加せず、https://や末尾のスペースも入れないでください。DNSをCloudflare経由で運用している場合は、プロキシやCNAMEフラット化の対象にならないようレコードを「DNS only」（グレーのクラウド）に設定します。プロキシを有効にするとDKIMの委任が機能しなくなります。
- 4
Sender DetailsでEmail Campaignsの送信を有効化
Email Campaignsを利用する場合は、Email Campaigns → Settings → Sender Detailsを開き、自社ドメインのFrom名とFromアドレスを設定して、Verify Domain（アカウントによってはAuthenticateという表示）をクリックします。SquarespaceがそのFromアドレスに確認コードをメールで送るので、貼り付けてメールボックスの管理権限を証明します。その後パネルには、前の手順と同じsquarespace._domainkeyのCNAMEレコードと、公開が提案される_dmarcのTXTレコードが表示されます。キャンペーンごとに別のDKIMレコードを追加する必要はありません。
- 5
p=noneでDMARCレコードを公開
_dmarcに、v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comを値とするTXTレコードを追加します。Squarespaceの確認フローで監視のみの_dmarcの値があらかじめ入力されることがありますが、_dmarcのTXTは1つのドメインにつき1つしか許可されず、集計レポートが届くのはruaが実際に読むメールボックスを指している場合だけです。そのため、自分で管理するruaを持つレコードを公開してください（既存のレコードがある場合は1つにまとめます）。p=noneは監視のみで配信には影響しませんが、ポリシーを引き上げる前に、Squarespaceのメールがアライメントの一致したDKIMに成功しているかどうかをレポートで確認できます。
- 6
SquarespaceのSPFのincludeは追加せず、メールボックスサービス分のSPFのみ設定
追加すべきSquarespaceのSPFのincludeはありません。従来のinclude:_spf.squarespace.comは廃止済みで、Return-Pathもsquarespace-mail.com上にあるため、いずれにせよSPFのアライメントは一致しません。ルートドメインに1つだけ置くv=spf1のTXTレコードには、メールボックスを運用しているサービスと他の実際の送信者だけを記載してください（たとえばGoogle Workspaceならinclude:_spf.google.com）。SquarespaceのSPF項目を独自に作らないでください。Squarespaceのメールを認証するのはDKIMです。
- 7
確認してからDMARCポリシーを引き上げる
Sender Detailsに戻ってAuthenticateをクリックし、緑のチェックを確認します。digまたは外部のチェックツールでCNAMEレコードを確認し、Gmailアドレスにテストキャンペーンを送ってShow originalを開きます。DKIMはd=yourdomain.comでPASS、DMARCもPASSと表示されるはずです。反映は通常15～60分ですが、最大48～72時間かかることがあります。1～2週間レポートに問題がなければ、DMARCをp=quarantine、次にp=rejectへ引き上げます。
追加するレコード
正確な値はSquarespaceのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。
| タイプ | ホスト | 値 |
|---|---|---|
| CNAME | squarespace._domainkey | squarespace-domainkey.squarespace-mail.comSquarespaceのすべての送信に使う唯一のDKIMレコードです。Email Campaignsとストア/システムの通知（領収書、注文/配送の通知、フォームの回答）の両方を対象とします。squarespaceセレクターを委任し、Squarespaceがホストしてローテーションする鍵を使ってd=yourdomain.comで署名します。アカウント固有ではない具体的な値で、すべてのSquarespaceユーザーでホストと値が共通なので、そのまま追加できます。 |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comこのレコードは自分で管理します。SquarespaceのEmail Campaignsの確認フローで監視のみの_dmarcの値があらかじめ入力されることがありますが、_dmarcのTXTレコードは1つのドメインにつき1つしか許可されず、レポートが届くのはruaが実際に読むメールボックスを指している場合だけです。p=noneで始め、レポートに問題がなくなったらquarantine/rejectへ引き上げます。 |
| TXT | @ | v=spf1 include:_spf.google.com ~all例です。このSPFレコードはSquarespaceではなく、メールボックスサービスのためのものです。Squarespaceの送信にSPFの項目は不要です（includeが存在せず、Return-Pathがsquarespace-mail.comのためSPFのアライメントは一致しません）。_spf.google.comはメールボックスを運用しているサービスに置き換えるか、他の送信者がなければSPF自体を省略してください。 |
ルートドメインのSPF（v=spf1）のTXTレコードは1つだけにし、すべての送信元をこの1行にまとめてください。SPFレコードが2つあると、それ自体がエラーになります。
DNSルックアップの10回制限
SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。Squarespaceの設定がこの上限のうち何回を消費するかは、次のとおりです。
Squarespaceの推奨設定はルックアップを消費しません。10回すべてを、includeが必要な他の送信元に使えます。
DKIM
Squarespaceの認証はすべてCNAMEで委任されたDKIMで行われ、貼り付けるDKIM鍵のTXTレコードはありません。追加するCNAMEレコードは1つで、ホストはsquarespace._domainkey、参照先はsquarespace-domainkey.squarespace-mail.comです。この1つのレコードでsquarespaceセレクターが委任され、SquarespaceはEmail Campaignsとストア/システムのメール（注文確認、領収書、配送状況の通知、フォームの回答）のどちらも、自身がホストしてローテーションする鍵を使い、d=yourdomain.comで署名します。Email Campaignsに別のDKIMレコードはありません。Sender Detailsの確認フローは、メールで届く送信者確認コードと、提案される_dmarcのTXTとあわせて、この同じCNAMEが解決されることを確かめるだけです。純粋なCNAMEによる委任なので、利用者がDNSを再度変更しなくても、Squarespaceが鍵をローテーションできます。ただし、CNAMEがプロキシ有効（Cloudflareのオレンジのクラウド）、CNAMEフラット化、または入力ミスの状態だと、署名は何の通知もなく失敗し、メールはDMARCのアライメントを一致させる唯一の手段を失います。
DMARC
DMARCは、_dmarcに公開するレコードです。SquarespaceのEmail Campaignsの確認フローでも提案値が生成されますが、これは監視のみ（p=none）で、レポートが役立つのはruaが実際に読むメールボックスを指している場合だけです。そのため、レコードは自分で管理してください。最初はv=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comとし、Squarespace（およびメールボックスサービス）のメールがアライメントの一致した状態でDMARCに成功していることをレポートで確認してから、p=quarantine、p=rejectへと引き上げます。ここで特に重要なのがアライメントです。SquarespaceのReturn-Pathはsquarespace-mail.com上にあるため、SPFのアライメントが利用者のドメインと一致することはなく、SquarespaceのメールがDMARCに成功する手段はDKIMだけです。ポリシーを適用する前にCNAMEレコードを有効にしておく必要があるのはこのためです。注意点が1つあります。_dmarcのTXTレコードは1つのドメインにつき1つしか許可されません。すでにDMARCを公開している場合は、2つ目を追加せず、自分のレコードを残してSquarespaceの提案値をそこに反映してください。
正しく設定できたか確認する
Squarespaceで、Email Campaigns → Settings → Sender Detailsに戻り、Authenticateをクリックします。緑のチェックが表示されれば、CNAMEが解決され、送信者が確認されています。ストアのメールについては、squarespace._domainkeyの同じCNAMEが反映されると、Squarespaceが自動的に確認します。Squarespaceとは別に、dig CNAME squarespace._domainkey.yourdomain.comでも確認してください（squarespace-domainkey.squarespace-mail.comが返るはずです）。その後、Gmailアドレスにテストキャンペーンを送り、Show originalでd=yourdomain.comのDKIM = PASSとDMARC = PASSを確認します。反映は通常15～60分ですが、最大48～72時間かかることがあります。Qualisendの送信ドメイン認証チェックとドメイン診断は、欠落しているレコードやアライメントが一致しないレコードを指摘します。
よくある注意点
- DNS設定
SquarespaceのSPFのincludeはありません。廃止されたinclude:_spf.squarespace.com、またはその他のSquarespaceのSPF項目を追加しても役に立ちません。SquarespaceのReturn-Pathはsquarespace-mail.com上にあるため、SPFのアライメントが利用者のドメインと一致することはありません。アライメントを一致させる唯一の手段はCNAMEによるDKIMで、不要なSquarespaceのincludeは10回のSPFルックアップのうち1回を無駄にするだけです。
- DNS設定
1つのCNAMEレコードでSquarespaceのすべてのメールをカバーします。同じsquarespace._domainkeyのCNAMEがEmail Campaignsとストア/システムの通知の両方に署名するため、送信経路ごとに別のDKIMレコードを追加する必要はありません。キャンペーンを送る場合はSender DetailsでFromアドレスの設定と送信者の確認を行いますが、使うのは同じCNAMEです。
- DNS設定
SPFのアライメントが一致しないため、SquarespaceのメールのDMARCは完全にDKIMに依存します。委任用のCNAMEレコードが有効でない場合（またはプロキシやフラット化の対象の場合）、FromドメインのSPFレコードが完璧でもDMARCに失敗します。
- DNS設定
_dmarcレコードは1つのドメインにつき1つだけです。Squarespaceの確認フローでは監視のみのDMARCレコードがあらかじめ入力されます。すでに公開している場合は自分のレコードを残し（2つ目を追加せず1つにまとめ）、レポートを確実に受け取れるよう、ruaが実際に読むメールボックスを指していることを確認してください。
- DNS設定
Host/Nameフィールドは相対指定です。完全修飾ドメイン名ではなくsquarespace._domainkeyと入力してください。Squarespaceとほとんどのレジストラはドメインを自動的に付加します。レジストラによっては、CNAMEのターゲットの末尾にドットが必要です（squarespace-domainkey.squarespace-mail.com.）。
- DNS設定
DKIMのCNAMEレコードをプロキシしないでください。Cloudflareを利用している場合は、レコードを「DNS only」（グレーのクラウド）に設定します。オレンジのクラウドのレコードやCNAMEフラット化されたレコードでは委任が機能せず、DKIM署名が何の通知もなく失敗します。
- 適用範囲
Squarespaceはメールボックスをホストしていません。person@yourdomainのアドレスを使うにはGoogle Workspace、Microsoft 365、またはIMAPホストが必要で、それぞれ独自のSPFのincludeとDKIMセレクター（google._domainkeyなど）を持ちます。これらのSquarespaceのレコードとはまったく別物です。
- 適用範囲
Google Domainsから移行したドメインは、現在Squarespace内でDNSを編集します。2023～24年の移行後は、以前のGoogle Domainsのコンソールではなく、Squarespace（Settings → Domains）にサインインしてこれらのレコードを追加してください。
SPFレコードを作成
Squarespaceでは、ルートドメインにSPFのinclude:を追加する必要はありません。作成ツールを使って他の送信元用のクリーンなレコードを1つ組み立て、1行に収めてください。
送信元
メールの送信に使っているサービスを検索して、それぞれチェックを入れてください。
上の検索欄で利用中のメールサービスを検索するか、してください。
このドメイン自身のサーバー
ドメインが（上記のサービスを経由せず）直接メールを送信する場合は、ドメイン自体を許可します。
その他の送信元・IP
リストにないもの（別のサービスのSPFホストや特定のIPアドレス）を追加します。
接頭辞のinclude:は自動で付加されます。サービスのドキュメントに記載されているホスト名を入力してください。
その他すべての送信元へのポリシー
上記に記載されていないサーバーからのメールを、受信側がどう処理すべきかを指定します（allメカニズム）。
送信元がまだないため、すべてのメッセージに~allポリシーが適用されます。ステップ1で利用中のサービスを追加してください。
- ルートドメインにTXTレコードとして公開します。ホストは@（ドメインそのもの）、値は上記の文字列全体です。
- SPFレコードは1つのドメインにつき1つだけにします。すべての送信元をこの1行にまとめてください。v=spf1で始まるTXTレコードが2つあると、両方とも無効になります。
- DNSルックアップは10回以内に収めてください。include:、a、mxはそれぞれ1回とカウントされ、includeは内部でさらにルックアップを発生させることがあります。ip4:とip6:はカウントされません。
送信ドメイン認証の設定が済んだら、次は検証済みのクリーンなリストへの配信です。
リストを検証SquarespaceのSPFに関するよくある質問
関連記事
ホスティング・Webサイトの他のサービス
すべてのSPFガイド公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。
認証の次は、リストをクリーンに保つ
SPF、DKIM、DMARCに成功すれば受信トレイに届き、クリーンなリストならその状態を維持できます。お手持ちのリストも検証してクリーニングできます。100クレジット無料、クレジットカード登録不要で始められます。