Yandex 360のSPF・DKIM・DMARC設定。
Yandex 360 for Business（以前はYandex.Mail for Domain / Yandex Connectとして知られていたメールボックススイート）には、ワンクリックでドメインを認証するウィザードはなく、作業は管理コンソールとDNSホストに分かれます。SPFは、ルートドメインのレコードに追加する正規の共有メカニズムです（include:_spf.yandex.net、またはYandexが案内しているredirect=の簡易形式）。DKIMは、mailセレクターに設定する1つのTXTレコードで、鍵はDomains → Add DKIMで生成します。DMARCは3つ目のレコードで、Yandexは推奨しているものの、作成はしません。Yandex 360は実際のメールボックスサービスです。そのSMTP経由で送信すると、エンベロープ送信者には利用者自身のドメインが使われます。そのため設定後はSPFとDKIMの両方で自社ドメインとのアライメントが一致し、正しく設定されたYandexのドメインはどちらのメカニズムでもDMARCに成功できます。
Yandex 360を認証すべき理由
Yandex 360ドメインの認証は、メールが受信トレイに届くかどうかを左右します。Yandexは送信サービスであると同時に主要なメールプロバイダーでもあるため、二重の意味で重要です。2024年2月以降、GmailとYahooは、すべての大量送信者（1日あたり約5,000通以上）に対し、SPF、DKIM、DMARCにアライメントが一致した状態で成功することを義務付けています。Microsoftも2025年に、Outlook.com/Hotmail/Live宛ての要件を満たさない大量メールの拒否を始めました。つまりYandexで運用する自社ドメインからのメールは、この3つすべてで評価されます。Yandex自体も多くの受信側より厳格で、送信メールにはDKIM署名を求め、受信時にはSPF/DKIM/DMARCを厳しく適用します。そのためyandex.ru、yandex.com、またはYandex 360テナント宛てのメールは、厳しくチェックされます。認証を設定するまで、Yandexから送信されるメールと自社ドメインの結び付きは弱いままです。Fromアドレスが自社のものであることを暗号的に証明できず、DMARCに成功できず、送信レピュテーションも自社の名前に蓄積されません。SPF、DKIM、DMARCを設定すると、両方のメカニズムで自社ドメインとのアライメントが一致し、DMARCに成功できるようになります。さらに、アライメントが一致したDKIMはSPFと違って転送後も有効なため、メーリングリストや.forwardルールを経由しても認証された状態を保てます。
Yandex 360におけるSPFの実情
Yandex 360は正真正銘の「include」型サービスです。ルートドメインにある1つのSPF TXTレコードに、共有メカニズムを1つ追加します。Mailchimpなど、Return-Pathを自ら管理するメール配信サービス（ESP）とは異なり、Yandexのサーバー経由で送信すると利用者自身のドメインがSMTPのエンベロープ送信者になるため、ここではSPFのアライメントが実際に一致します。Yandexが案内している形式は2つあります。1つはまとめられる形式のv=spf1 include:_spf.yandex.net ~allです。includeが自社のレコード内で他の送信者と並ぶので、Yandex以外からも送信する場合はこちらを使います（他の送信サーバーにはip4:メカニズムを追加します）。もう1つは簡易形式のv=spf1 redirect=_spf.yandex.netで、これがレコード全体になります。SPFの評価をYandexに任せる形式で、Yandexがそのドメインの唯一の送信者である場合にしか使えません。Yandexが推奨する修飾子は-allではなく~all（softfail）です。Yandexを使うドメインは、他のツールからも正当に送信していることが多いためです。多くのガイドが誤っている重要な点として、include:_spf.yandex.netはフラットなルックアップ1回では済みません。内部で_spf.yandex.net → redirect=_spf.yandex.ru → include:_spf-ipv6.yandex.ru + include:_spf-ipv4-yc.yandex.ruとリダイレクトするため、多くの記事やキャッシュされたチェックツールが示す1回ではなく、10回のSPF DNSルックアップ（RFC 7208）のうち約4回を消費します。YandexにGoogle Workspace、マーケティングツール、またはリレーを組み合わせる場合は、実際に制約となります。また、ドメインのSPF TXTレコードは必ず1つだけにしてください。2つ目のSPFレコードを公開せず、すべての送信者のメカニズムを1行のv=spf1にまとめます（SPFレコードが2つあるとPermErrorになります）。
2つの設定方法
include:_spf.yandex.net（まとめられる形式、推奨）
- 自社のv=spf1 … ~allレコード内に置くため、Google Workspace、SendGrid、リレー、またはip4:サーバーを併記できます
- 最後の修飾子を自社で管理できます。Yandexが推奨する~all（softfail）は、自社のレコードでのみ設定できます
- Yandex以外からも送信するなら、これが唯一の現実的な選択肢です
- Yandex内部のリダイレクトチェーンにより、SPFの10回のルックアップのうち約4回を消費します。送信者を組み合わせる際は上限に注意してください
redirect=_spf.yandex.net：Yandex専用の簡易形式
- v=spf1 redirect=_spf.yandex.netがレコード全体で、SPFの評価をすべてYandexに委任します
- Yandexがそのドメインの唯一の送信者であれば、最もシンプルな選択肢です
- 他の送信者や独自のip4:メカニズムは追加できません。redirectのレコードにはその余地がありません
- 修飾子はYandexの公開内容に従います。何かを併記するとSPFが機能しなくなります
設定手順
- 1
ドメインを追加して確認
組織の管理者としてadmin.yandex.comにサインインし、Domainsページを開きます。Add domainをクリックしてyourdomain.comを入力し、Yandexのいずれかの方法で所有権を確認します。通常はDNSレコード（yandex-verificationのTXT、またはCNAME）を選びますが、サイト上のHTMLファイルやメタタグでも確認できます。メールやDKIMが機能するには、ドメインが確認済みと表示されている必要があります。
- 2
Yandexでメールを受信できるようMXレコードを追加
Domainsページに受信用のMXレコードが表示されます。ホストは@、値はmx.yandex.net.（末尾のドットを含む）、優先度は10、TTLは21600です。これをDNSホストに追加します。MXは受信に関するもので認証ではありませんが、Yandex 360のメールボックスを立ち上げる手順の一部であり、これがないとメールは流れません。
- 3
SPFレコードを公開（既存なら1つにまとめる）
DNSホストで、ルートドメイン（ホスト@）に、値がv=spf1 include:_spf.yandex.net ~allのTXTレコードを1つ追加します。Yandexからのみ送信する場合は、代わりに簡易形式のv=spf1 redirect=_spf.yandex.netも使えます。v=spf1レコードがすでにある場合（Google、マーケティングツールなど）は、include:_spf.yandex.netをその1つのレコードにまとめ、2つ目のSPF TXTレコードは絶対に公開しないでください。TTLの指定が必要な場合は21600にします。
- 4
DKIM鍵を生成
Domainsページに戻り、ドメインの横にあるAdd DKIMをクリックします。YandexがConfigure DKIM signatureパネルを開いて鍵ペアを生成するので、表示された公開鍵の値全体をコピーします。ドメインのネームサーバーをYandexに委任している場合はDKIMレコードが自動で作成されるため、手動での公開は不要です。
- 5
DKIMのTXTレコードを公開
ホストmail._domainkeyでTXTレコードを作成し（完全なmail._domainkey.yourdomain.tldを求める管理画面もあります）、Yandexから提示された値を貼り付けます。値はv=DKIM1; k=rsa; t=s; p=<long public key>のような形式です。これはCNAMEレコードではなくTXTレコードで、Yandexが使うセレクターはmailの1つだけです。必要な場合、TTLは21600にします。
- 6
DMARCレコードを追加
YandexはDMARCを推奨していますが、作成はしません。ホスト_dmarcに、v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comのTXTレコードを追加します。p=noneは監視のみのため、YandexのメールがSPFとDKIMに成功しアライメントが一致していることを確認する間、配信には影響しません。ポリシーは後で引き上げます。
- 7
Yandexのドメインチェックを実行
Domainsページに戻り、ドメインの横にあるVerify your domainをクリックしてCheckをクリックします。YandexがDNSを読み直します。DNSの反映には最大72時間かかることがあります。レコードが見つからないと表示されても追加し直さず、時間を置いてもう一度Checkをクリックするか、DKIMパネルから正確な値をコピーし直してください。
- 8
テストメールを送信してヘッダーを確認
そのドメインのメールボックスから自分のGmailアカウント宛てにメールを送り、開いて⋮ → Show originalを選びます。SPF: PASSに自社ドメイン、DKIM: PASSにd=yourdomain.comとセレクターmail（yandex.ru/yandex.netドメインではないこと）、DMARC: PASSと表示されていれば成功です。その後、ドメイン診断ですべてのレコードが解決されることを確認します。
追加するレコード
正確な値はYandex 360のセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。
| タイプ | ホスト | 値 |
|---|---|---|
| TXT | @ | v=spf1 include:_spf.yandex.net ~allルートドメインのSPF：SPFレコードは必ず1つだけにします。v=spf1の行がすでにあれば、このincludeをまとめてください。DNSルックアップを約4回消費します（リダイレクトチェーン）。Yandexのみで送信する場合は、代わりにv=spf1 redirect=_spf.yandex.netを使います。 |
| TXT | mail._domainkey | v=DKIM1; k=rsa; t=s; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ…(public key from Configure DKIM signature)例です。実際の鍵はDomains → Add DKIMでドメインごとに生成されます。これはCNAMEレコードではなくTXTレコードで、セレクターはmailの1つだけ、値にはt=s（厳格）フラグが含まれます。 |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com自分で追加するレコードで、Yandexが作成することはありません。DMARCレコードはドメインごとに1つです。p=noneから始め、その後quarantine/rejectへと引き上げます。 |
| MX | @ | mx.yandex.net.優先度10、TTL 21600。受信メールをYandex 360に振り向けます。認証レコードではありませんが、メールボックスの設定の一部です。末尾のドットを残してください。 |
ルートドメインのSPF（v=spf1）のTXTレコードは1つだけにし、すべての送信元をこの1行にまとめてください。SPFレコードが2つあると、それ自体がエラーになります。
DNSルックアップの10回制限
SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。Yandex 360の設定がこの上限のうち何回を消費するかは、次のとおりです。
Yandex 360は10回のルックアップのうち4回を消費します。ip4:とip6:のメカニズムはルックアップを消費しません。
DKIM
Yandex 360のDKIMは管理コンソール内で生成します。固定値をコピーする方式でも、CNAMEによる委任でもありません。DomainsページでドメインのAdd DKIMをクリックすると、YandexがConfigure DKIM signatureを開いて鍵ペアを作成し、公開鍵を表示します。これをホストmail._domainkeyに、v=DKIM1; k=rsa; t=s; p=<public key>のような値の1つのTXTレコードとして公開します。YandexのDKIMには、GoogleやMicrosoftと異なる点がいくつかあります。第1に、貼り付けるのはTXTレコードです。CNAMEによる委任もs1/s2のようなローテーション用のペアもなく、Yandexが使うセレクターはmailの1つだけで、秘密鍵はYandex側で保持します。第2に、公開する値にはDKIMの厳格モードであるt=sフラグが含まれます。署名のIDが正確にドメインと一致する必要があるので、yourdomain.comの鍵ではサブドメインとして署名されたメールを検証できません。メールを送信するサブドメインには、別途DKIMの設定が必要です。第3に、RSA鍵はYandexが生成します。基本パネルでは独自の鍵を貼り付けることも長さを選ぶこともできず（Yandexが発行する鍵は従来1024ビットでした）、Google Workspaceのようなビット長の選択はありません。レコードの公開で終わりではありません。Domainsページに戻ってVerify your domain → Checkをクリックすると、Yandexが鍵の解決を確認し、d=yourdomain.comでの署名を始めます。なお、ネームサーバーをYandexに委任している場合はDKIMレコードが自動で作成されます。手動でTXTを公開するのは、DNSが外部のレジストラにある場合だけです。
DMARC
DMARCは、自分で公開する別のポリシーTXTレコードです。Yandexは推奨していますが、作成はしません。_dmarc.yourdomain.comに、v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comで始まるTXTレコードを追加します。p=noneは監視のみで配信には影響せず、受信側から集計レポートが届くようになります。これにより、ポリシーを適用する前に、YandexのメールがSPFとDKIMに成功し、自社ドメインとアライメントが一致していることを確認できます。Yandex 360を利用すると、SPFは自社のエンベロープドメインで、DKIMは自社ドメインのmailセレクターで、両方のメカニズムのアライメントが一致します。そのため、すぐに問題なく成功するはずで、DKIM側は転送後も有効です。1～2週間、集計レポート（rua）を確認し、正当な送信者（Yandexとサードパーティツール）がすべて認証されていることを確かめてから、p=quarantine、最終的にp=rejectへと段階的に引き上げます。送信元がいくつあっても、_dmarcレコードは組織ドメイン全体で1つだけにしてください。サブドメインは、独自の_dmarcレコードを設定するかsp=タグを使わない限り、親のポリシーを継承します。さらに、Yandex自体もDMARC集計レポートを生成するメールプロバイダーです。ruaアドレスを公開すると、自社ドメインのメールが実環境でどう認証されているかを示すYandexのレポートも届き始めます。
正しく設定できたか確認する
YandexのDomainsページのバッジだけで判断せず、実際のメールで確認してください。そのドメインのメールボックスから自分宛てにテストメールを送り、Gmailで開いて⋮ → Show originalを選びます。SPF: PASSに自社ドメイン、DKIM: PASSにd=yourdomain.comとセレクターmail、DMARC: PASSと表示されていれば成功です（失敗の典型的な兆候はyandex.ru/yandex.netドメインによる署名で、カスタムDKIMがまだ有効になっていないことを示します）。生のレコードはdig TXT mail._domainkey.yourdomain.com、dig TXT yourdomain.com（SPF）、dig TXT _dmarc.yourdomain.comで確認できます。Yandex Postmaster（postmaster.yandex.ru）でドメインを追加して確認すれば、配信と認証の統計も参照できます。最後に、Qualisendのドメイン診断でドメインをチェックし、SPF（約4回のルックアップを消費するリダイレクトチェーンを含めて10回の上限内に収まっていること）、mail._domainkeyのDKIMレコード、DMARCレコードがすべて正しく解決されることを確認します。集計レポートが届き始めたら、DMARCレポート解析にレポートをドロップすると、Yandexがアライメントの一致した成功している送信元として表示されることを確認できます。
よくある注意点
- DNS設定
include:_spf.yandex.netはDNSルックアップ1回ではありません。内部でリダイレクトするため（_spf.yandex.net → _spf.yandex.ru → _spf-ipv6 + _spf-ipv4-yc）、SPFの10回のルックアップのうち約4回を消費します。多くのガイドやキャッシュされたチェックツールは1回としていますが、Yandexを他の送信者と組み合わせる場合は4回で計画してください。
- DNS設定
redirectとinclude：v=spf1 redirect=_spf.yandex.netはレコード全体であり、他に何も入れられません。Google、SendGrid、または自社サーバーからも送信するようになったら、include形式に切り替える必要があります。両方を公開してはいけません。
- DNS設定
YandexのDKIMはCNAMEレコードではなくTXTレコードで、セレクターはmailの1つだけ、ローテーション用のペアはありません。Configure DKIM signatureパネルで鍵を生成するだけでは足りず、TXTを公開してからVerify your domain → Checkをクリックする必要があります。
- 適用範囲
DKIMの値にはt=s（厳格モード）が含まれるため、ルートドメインの鍵ではサブドメインとして署名されたメールを検証できません。メールを送信するサブドメインには、独自のDKIM設定が必要です。
- 適用範囲
基本パネルでは独自のDKIM鍵の持ち込みも鍵長の選択もできず、Yandexが生成します（従来は1024ビット）。より強力な鍵が必要でも、Yandexが発行するものに限られます。
- 適用範囲
レジストラでのホストの二重付加：mail._domainkey.yourdomain.comではなくmail._domainkeyと入力し、ルートドメインのSPF/MXには@を入力します。多くの管理画面はドメインを自動で付加するため、mail._domainkey.yourdomain.com.yourdomain.comになってしまいます。
- 認証失敗の原因
SPFレコードとDMARCレコードはそれぞれ必ず1つだけにしてください。Google Workspace、Microsoft 365、またはマーケティングツールからすでに送信している場合は、include:_spf.yandex.netを1行のv=spf1にまとめます。SPF TXTレコードが2つあるとPermErrorになります。
- 適用範囲
DNSの反映には最大72時間かかることがあり、Yandexのステータスページにも遅れがあります。Checkボタンで再確認してください。まだ反映されていないだけのレコードを追加し直したり重複させたりしないでください。
SPFレコードを作成
以下ではYandex 360があらかじめ選択されています。他に利用している送信プラットフォームを追加し、1つにまとめたレコードを公開してください。
このドメイン自身のサーバー
ドメインが（上記のサービスを経由せず）直接メールを送信する場合は、ドメイン自体を許可します。
その他の送信元・IP
リストにないもの（別のサービスのSPFホストや特定のIPアドレス）を追加します。
接頭辞のinclude:は自動で付加されます。サービスのドキュメントに記載されているホスト名を入力してください。
その他すべての送信元へのポリシー
上記に記載されていないサーバーからのメールを、受信側がどう処理すべきかを指定します（allメカニズム）。
- ルートドメインにTXTレコードとして公開します。ホストは@（ドメインそのもの）、値は上記の文字列全体です。
- SPFレコードは1つのドメインにつき1つだけにします。すべての送信元をこの1行にまとめてください。v=spf1で始まるTXTレコードが2つあると、両方とも無効になります。
- DNSルックアップは10回以内に収めてください。include:、a、mxはそれぞれ1回とカウントされ、includeは内部でさらにルックアップを発生させることがあります。ip4:とip6:はカウントされません。
送信ドメイン認証の設定が済んだら、次は検証済みのクリーンなリストへの配信です。
リストを検証Yandex 360のSPFに関するよくある質問
関連記事
ワークスペース・メールボックスの他のサービス
- Zoho Mail
- Apple iCloud+ Custom Email Domain
- Fastmail
- Google Workspace
- mailbox.org
- Microsoft 365
- Microsoft 365 (GoDaddy / IONOS)
- Migadu
公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。
認証の次は、リストをクリーンに保つ
SPF、DKIM、DMARCに成功すれば受信トレイに届き、クリーンなリストならその状態を維持できます。お手持ちのリストも検証してクリーニングできます。100クレジット無料、クレジットカード登録不要で始められます。