Zoho Mailの​SPF・DKIM・DMARC設定。

Zoho Mailを認証すべき理由

Zoho Mailドメインの認証は、メールが受信トレイに届くかどうかを左右します。2024年2月以降、GmailとYahooは、すべての大量送信者（1日あたり約5,000通以上）に対し、SPF、DKIM、DMARCにアライメントが一致した状態で成功することを義務付けています。Microsoftも2025年に、Outlook.com/Hotmail/Live宛ての大量メールに同じ要件の適用を始めました。この点でZoho Mailは多くの送信者より有利です。メールボックスサービスなので送信メールのエンベロープ送信者は利用者自身のアドレスになり、SPFはチェック自体の成功にとどまらず、自社ドメインとアライメントが実際に一致します。ただし注意点があります。DKIM鍵を生成してセレクターをEnabledに切り替えるまで、メールはSPFだけに頼ることになり、SPFはメッセージが転送された時点（メーリングリスト、.forwardルール、フィルタリングゲートウェイ）で機能しなくなります。DKIMを設定すると、転送後も有効な、アライメントの一致した2つ目のメカニズムが得られます。すべてのメッセージにsigned-by: yourdomain.comの署名が付き、DMARCに安定して成功できるようになり、築いた送信レピュテーションも自社ドメインに蓄積されます。

Zoho MailにおけるSPFの実情

Zoho Mailは正真正銘の「include」型サービスです。ルートドメインにある1つのSPF TXTレコードに、共有メカニズムのinclude:zohomail.comを1つ追加します。Zohoのコンソールが推奨するレコード全体はv=spf1 include:zohomail.com -allです。Mailchimp、KlaviyoのようにReturn-Pathを自ら管理するメール配信サービス（ESP）とは異なり、Zoho Mailのメールボックスから送信すると、利用者自身のアドレスがエンベロープ送信者になります。そのためSPFは組織ドメインとアライメントが実際に一致し、チェック自体の成功にとどまらず、それだけでDMARCの成功に寄与します。ルックアップの消費も少なく済みます。include:zohomail.comはネストされたフラットなinclude（ip4:の範囲と独自の-allのみを含むinclude:spf.zohomail.com）1つに解決されるため、RFC 7208の10回のSPF DNSルックアップのうち2回しか消費しません。Zoho固有の注意点は2つあります。1つ目はデータセンターのリージョンです。ZohoはUS、EU、インド、オーストラリアなどのリージョンでアカウントをホストしており、includeはリージョンによって異なる場合があります。EUでホストされるアカウントはinclude:zoho.eu、インドはinclude:zoho.inを使います。誤ったリージョンのincludeでは実際の送信IPが含まれず、SPFに失敗します。必ず自社のAdmin Consoleに表示される値をそのままコピーしてください。2つ目は、同じドメインで他のZoho製品（Campaigns、ZeptoMail、CRM、Desk）からも送信する場合です。Zohoはこれらをまとめたcatch-all型のinclude:one.zoho.comを公開しています（spf.zoho.com + zeptomail.net + zcsend.netに展開され、約4回のルックアップ）。複数のZohoのincludeを重ねず、この1つを使ってください。Zohoだけが送信するドメインでは、Zohoは末尾を-all（hard fail）にすることを推奨しています。また、ドメインのSPF TXTレコードは必ず1つだけにしてください。Google Workspace、Microsoft 365、SendGridなどからも送信する場合は、2つ目のレコードを公開せず、すべてのメカニズムを1行のv=spf1にまとめます（SPFレコードが2つあるとPermErrorになります）。

2つの設定方法

設定手順

追加するレコード

正確な値はZoho Mailのセットアップウィザードで生成されます。以下は、DNSホストに追加するレコードの形式を示したものです。

DNSルックアップの10回制限

SPFのDNSルックアップは10回までに厳格に制限されており、超えるとpermerrorを返して、どの受信側でも検証されなくなります。Zoho Mailの設定がこの上限のうち何回を消費するかは、次のとおりです。

正しく設定できたか確認する

Admin Consoleのバッジだけで判断せず、実際のメールで確認してください。Zohoのメールボックスから別のアカウント宛てに送信し、Gmailで開いて⋮ → Show originalを選びます。SPF: PASS、DKIM: PASSにd=yourdomain.comと自社のセレクター、DMARC: PASSと表示され、すべて自社ドメインとアライメントが一致していれば成功です（失敗の典型的な兆候はzoho.comでの署名で、セレクターがまだEnabledになっていないことを示します）。Admin Consoleでは、Email ConfigurationのSPFとDKIMの項目がVerified/Enabledになっているはずです。Zoho内蔵のToolkitでも、MX/SPF/DKIMをひと目で確認できます。生のレコードはdig TXT zoho._domainkey.yourdomain.comとdig TXT _dmarc.yourdomain.comで確認できます。最後に、Qualisendのドメイン診断でドメインをチェックし、すべてのレコードが解決され、SPFが10回の上限内に収まっていることを確認します。集計レポートが届き始めたら、DMARCレポート解析にレポートをドロップしてください。Zohoがアライメントが一致し、認証に成功している送信元として表示されるはずです。

よくある注意点

• 認証失敗の原因

  DKIMセレクターは確認するだけでは足りず、Enableをクリックする必要があります。セレクターの確認後に「Enable DKIM immediately or later」が表示されます。有効化するまでZohoはメールに署名せず、DKIMのアライメントは一致しません。これはGoogleの「Start authentication」に相当する手順で、公開した鍵がチェックで失敗する最も多い原因です。

• 適用範囲

  データセンターのリージョンの不一致はSPFの失敗につながります。ZohoはUS、EU、インド、オーストラリアなどのリージョンでアカウントをホストしており、includeはリージョンによって異なる場合があります。EUはinclude:zoho.eu、インドはinclude:zoho.inで、MXのTLDも変わります。一般的なガイドではなく、自社のAdmin ConsoleからSPFとMXの値をそのままコピーしてください。誤ったリージョンのincludeでは送信IPが含まれず、SPFに失敗します。

• 適用範囲

  Zohoが推奨するのは、Zohoのみが送信する場合の-all（hard fail）で、~allではありません。これは厳格で、1つのSPFレコードに記載のない送信元はすべて拒否されます。正当な送信元（他のESP、Webサイト、CRM）がすべてレコードに含まれて初めて安全です。確信がなければ~allから始め、後で-allに強化してください。

• 認証失敗の原因

  ドメインのSPF TXTレコードは必ず1つだけにしてください。Google Workspace、Microsoft 365、SendGridなどからすでに送信している場合は、include:zohomail.comをその1行のv=spf1にまとめます。SPFレコードが2つあるとPermErrorになります。

• 認証失敗の原因

  ドメインの確認は認証ではありません。Zohoにドメインを追加するには、まず別の所有権レコード（zb…のCNAME、またはzoho-verificationのTXT/HTMLファイル）が必要です。これは所有権を証明するだけでSPF/DKIM/DMARCには何の効果もなく、これらはその後で設定します。

• DNS設定

  DKIMのホストは選んだセレクターと一致している必要があります。セレクターをzohoと名付ければTXTのホストはzoho._domainkey、zmailならzmail._domainkeyです。誤ったホストに鍵を公開すると、Verifyは成功しません。

• DNS設定

  ホスト欄の二重付加：ドメインを自動で付加するレジストラでは、zoho._domainkeyがzoho._domainkey.yourdomain.com.yourdomain.comになります。管理画面がドメインを付加する場合は、ラベル（zoho._domainkey）だけを入力してください。

• DNS設定

  複数のZohoアプリから送信していますか？include:zohomail.com + include:zoho.com + include:zcsend.netを別々のメカニズムとして重ねず、include:one.zoho.com（または必要最小限）にまとめ、SPFの10回の上限内に収めてください。

SPFレコードを作成

以下ではZoho Mailがあらかじめ選択されています。他に利用している送信プラットフォームを追加し、1つにまとめたレコードを公開してください。

Zoho MailのSPFに関するよくある質問

関連記事

ワークスペース・メールボックスの他のサービス

• Apple iCloud+ Custom Email Domain
• Fastmail
• Google Workspace
• mailbox.org
• Microsoft 365
• Microsoft 365 (GoDaddy / IONOS)
• Migadu
• Namecheap Private Email

公開したら、ドメイン診断ですべてのレコードが正しく解決されることを確認し、DMARCレポート解析で自社ドメインを名乗って送信している送信元を把握します。作成ツールではすべての送信元を確認できます。ただし、認証は到達率対策の半分にすぎません。送信IPやドメインがブラックリストに掲載されていると、SPFの設定がどれほど適切でも迷惑メールに振り分けられます。そのため、ブラックリスト監視で掲載状況を確認しておくことをおすすめします。