Moshiru
記事一覧無料スキャン

セキュリティの手引き

SPF・DKIM・DMARCとは｜取引先にメールが届かない・迷惑メールに入るときの基本

公開：2026年10月14日／最終更新：2026年10月14日／Moshiru 岡﨑 悠太

結論：SPF・DKIM・DMARCは、「このメールは本当にこの会社のドメインから送られたか」を受け取る側が確かめるための設定です。どれもドメインのDNSに1行ずつ書き足すもので、費用はほぼかかりません。Gmailは2024年2月から、すべての送信者にSPFかDKIMのどちらかを求めています。見積書や請求書が「届かない」「迷惑メールに入る」ときは、まずこの3つが入っているかを確かめてください。

SPF・DKIM・DMARCの役割。SPFは送ってよいサーバーの名簿、DKIMは電子署名、DMARCは失敗したときの扱いの指示

3つの設定は何をしているのか

郵便にたとえると、SPFは「この会社の手紙を出してよい郵便局の名簿」、DKIMは「封筒に押す会社の印」、DMARCは「名簿にも印にも合わない手紙が来たら、どう扱ってほしいか」の指示書です。

設定何を確かめるかどこに書くか
SPF送ってきたサーバーが、そのドメインの送信元として登録されているかドメインのDNSにTXTレコードを1つ
DKIMメールに付いた電子署名が正しく、途中で書き換えられていないか送信サービスで鍵を作り、公開鍵をDNSに登録
DMARC差出人のドメインとSPF・DKIMの結果が合っているか。合わないときの扱い「_dmarc」という名前でTXTレコードを1つ

SPFは1つのドメインに1行だけです。Google Workspaceのほかに、レンタルサーバーやメール配信サービスからも送っているなら、それらを1行にまとめて書きます。

GmailとYahoo Mailが求めていること

Googleの「メール送信者のガイドライン」と、米Yahoo（yahoo.comなどのYahoo Mail）の送信者向けの案内で、公式に確かめられた要件だけをまとめます。

対象求められること
すべての送信者SPFかDKIMのどちらか。迷惑メール率0.3%未満（Gmailは0.1%未満を推奨）。送信元のDNSの正引き・逆引き
Gmailに1日5,000通以上送る送信者SPFとDKIMの両方、DMARC（p=noneでよい）、差出人のドメインとSPFかDKIMのドメインを合わせる、宣伝メールはワンクリックで配信停止できること
Yahoo Mailの大量送信者SPFとDKIMの両方、p=none以上のDMARC、差出人のドメインの一致、宣伝メールのワンクリック配信停止

ふだんの取引メールだけなら、多くの中小企業は「すべての送信者」に当たります。ただ、SPFだけでは転送されたメールで失敗することがあるため、DKIMとDMARCまで入れておくと届きやすくなります。

自社の状態を5分で確かめる

  1. 社外のGmailに1通送る：個人のGmailなど、社外のアドレスに自社のアドレスから送ります。
  2. 送信者名の下の矢印を開く：パソコンのGmailで受け取ったメールを開き、送信者名の下の下矢印をクリックします。
  3. 「送信元」と「署名元」を見る：両方に自社のドメインなどが出ていれば認証されています。送信者名の横に「?」が出ていれば、認証されていません。
  4. ソースでDMARCを見る：メールの「その他」から「メッセージのソースを表示」を選びます。「Authentication-Results」の行で、spf・dkim・dmarcがそれぞれpassになっているかを見ます（画面の名前は変わることがあります）。
  5. 送っている仕組みを書き出す：普段のメール、請求書の発行サービス、問い合わせフォームの自動返信、メルマガなど。どれか1つでも漏れると、そこから送ったメールだけが届かなくなります。

DMARCを入れる手順は、DMARCの設定手順にまとめています。

よくある質問

大量に送っていなければ、DMARCはいりませんか？
Gmailの必須の要件ではありません。ただ、DMARCがないと、自社のドメインをかたった偽メールを受け取る側が見分けにくくなります。p=noneで入れるだけならメールは止まらないので、入れておくことをおすすめします。
設定を間違えると、メールが届かなくなりますか？
SPFに送信元を書き漏らすと、そこから送ったメールが迷惑メールに入りやすくなります。変更する前に今の設定を控えておき、変えたあとは社外のアドレスに送って確かめてください。
Yahoo!メールも同じですか？
この記事の表は、米Yahooが公開しているYahoo Mailの案内です。日本のYahoo!メールは、同じ義務の要件は出していませんが、2024年12月に「SPFかDKIM、もしくはDMARCの認証を導入・判定クリアしていないメールは、迷惑メールと判定したり、受信を拒否したりする場合がある」と案内しています。少なくともSPFとDKIMを入れておけば安心です。

SPF・DKIM・DMARCを、3万円で入れて確かめます

Moshiruのメール到達パックは、今の設定を確かめ、足りない設定を入れ、GmailとYahoo!メールに届くことを確かめるところまで行います。打合せはなく、メールだけで終わります。

メール到達パックを見る1ドメイン3万円（税別）DMARCの設定手順自分で入れる場合

参考にした資料

  1. Google「メール送信者のガイドライン」
  2. Yahoo「Sender Best Practices」
  3. Yahoo!メール「急増している迷惑メールへの対策について」（2024年12月11日）
  4. Google Workspace 管理者ヘルプ「SPF を設定する」
  5. Gmail ヘルプ「Gmail のメールが認証されているかどうかを確認する」
  6. 総務省「迷惑メール対策」