DreamHostでSPF、DKIM、DMARCを設定する方法

ドメインはDreamHostで運用しており、メールは送信できているものの、クライアントからの返信がスパムフォルダに振り分けられたり、WordPressのお問い合わせフォームからの送信データが消えてしまったり、Google Workspaceのメールが認証エラーでバウンスしたりしています。

根本的な原因は、ほとんどの場合、メール認証、具体的には、サードパーティのメールサービスを追加した後にSPFレコードが欠落していたり、不完全だったり、設定が間違っていたりすることによるものです。

DreamHostは、他の多くのホスティングプロバイダーよりもSPFの扱いが優れています。すべてのドメインに対して、正常に機能するSPFレコードを自動生成します

しかし、Google Workspace や Mailchimp、その他の送信サービスを追加するためにレコードをカスタマイズすると、DreamHost はデフォルトのレコードを自動的に削除してしまいます。置き換えの際に DreamHost 独自の仕組みを含めない場合、DreamHost でホストされているメールの認証が突然機能しなくなります。 

このガイドでは、DreamHostがデフォルトでSPF、DKIM、DMARCをどのように処理しているか、単一送信者および複数送信者の設定における各プロトコルの設定方法、DreamHost特有の動作によってメール配信が静かに中断されるケース、そしてこれらを継続的に確認・監視する方法について解説します。

DreamHostのデフォルトのSPFレコードとは何ですか？

SPF（Sender Policy Framework）は、どのメールサーバーがあなたのドメインからメールを送信することを許可されているかを指定するDNSのTXTレコードです。受信サーバーはこのレコードを確認し、受信したメールが正当なものか、あるいはなりすましの可能性があるかを判断します。

DreamHostでは、DreamHostのメールサービスを利用しているすべてのドメインに対して、以下のSPFレコードが自動的に追加されます：

v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net -all

SPFレコードの各部分の役割は以下の通りです：

DreamHost経由でのみメールを送信し、サードパーティのメールサービスを利用しない場合は、このデフォルトの設定で問題ありません。何も変更する必要はありません。

無料の PowerDMARC SPFチェッカー を使用して、DreamHostのデフォルトレコードが有効になっているか確認してください。ドメインを入力するだけで、数秒のうちにレコード、構文の検証結果、DNSルックアップ回数、およびすべてのメカニズムが表示されます。

変更を加える前に知っておくべきDreamHostの動作について：

DreamHostでカスタムSPFレコードを追加すると、デフォルトのレコードが自動的に削除されます。これは、DreamHostにおけるメール認証失敗の最も一般的な原因の一つです。もし「include:_spf.google.com -all」のみを含むカスタムレコードを追加した場合、DreamHost自身のメールサーバーの認証が解除されたことになり、その時点以降、DreamHost経由で送信されるすべてのメールでSPF検証に失敗するようになります。

カスタムSPFレコードを削除すると、DreamHostは自動的にデフォルトの設定を復元します。これは、万が一不具合が発生した場合の予備策として役立ちます。

DreamHostでSPFレコードを追加または編集する方法

DreamHost、Google Workspace、Mailchimp、SendGrid、HubSpot、またはその他のサードパーティの送信サービス以外を通じてメールを送信する場合にのみ、SPFレコードを変更する必要があります。

ステップ1：すべての送信元を特定する

ご自身のドメイン名でメールを送信するすべてのシステムを列挙してください。DreamHostユーザーによく見られる例：

• DreamHostのメール → include:netblocks.dreamhost.com include:relay.mailchannels.net
• Google Workspace → 対象:_spf.google.com
• Mailchimp → include:servers.mcsv.net
• SendGrid → include:sendgrid.net
• HubSpot → 含める:_spf.hubspot.com
• Zoho Mail → 送信元:zoho.com
• その他のプロバイダー → 各ベンダーのSPFドキュメントで「include:」の値を確認してください

どのサービスがあなたのドメイン名でメールを送信しているのか分からない？ 

PowerDMARCの DMARC集計レポート は、導入から72時間以内に、正当な送信元と不正な送信元を含むすべての送信元を明らかにします。これは、特にマーケティングや営業部門が誰にも知らせずに採用したシャドーITの送信元を持つドメインにおいて、最も信頼性の高い検出方法です。

ステップ2：1つの統合SPFレコードを作成する

すべての送信元を1つのSPFレコードに統合します。ドメインごとにSPF TXTレコードは1つしか設定できません。複数のレコードを設定すると PermError が発生し、すべての送信者の認証が失敗します。

ルックアップ回数を監視してください。 「include:」メカニズムは1回実行されるごとに1回以上のDNSルックアップ（ネストされたincludeを含む）をトリガーしますが、SPFはRFC 7208により合計10回までと制限されています。DreamHostのデフォルトのメカニズムだけで既に3～4回のルックアップを消費しています。これにGoogle（2～3回）、Mailchimp（1～2回）、SendGrid（1～2回）を加えると、合計で8～11回となり、制限を超える可能性があります。

以下の PowerDMARC SPF Generator を使用して、結合レコードを正しく作成してください。このツールは構文の検証を行い、ネストされたインクルードを含むルックアップ数をカウントし、10ルックアップの制限に達する前に警告を表示します。すでに10を超えている場合は、 PowerSPF が、includes: チェーンを ip4: エントリに自動的に平坦化し、ベンダーが IP アドレスを変更した際も、手動での DNS 編集を必要とせずにレコードを最新の状態に保ちます。

ステップ3：DreamHostパネルにレコードを追加する

これらの手順は、ネームサーバーがDreamHostを指していることを前提としています。もしCloudflareや他のプロバイダーを指している場合は、そちらにTXTレコードを追加してください。ネームサーバーが他の場所を指している場合、DreamHostのコントロールパネル上のDNS設定は無視されるためです。

• 「ウェブサイトの管理」に移動します。
• ドメインの下にある縦に並んだ3つの点のボタンをクリックし、[DNS設定] を選択してください。
• 「レコードの追加」をクリックし、TXTレコードにカーソルを合わせ、「追加」をクリックします。
• ホスト：ルートドメインの場合は空欄のままにしてください（必要に応じてサブドメインを入力してください）。
• TXT値：結合したSPF文字列を貼り付けてください。
• 「レコードを追加」をクリックして保存してください。

この操作を行うと、DreamHostのデフォルトのSPFレコードが削除されます。引き続きDreamHost経由でメールを送信する場合は、統合したレコードにDreamHostのメカニズム（netblocks.dreamhost.com および relay.mailchannels.net）を必ず含める必要があります。保存する前に、内容を確認してください。

ステップ4：記録を確認する

• DreamHostのDNS反映には15分から6時間ほどかかります（DreamHostのナレッジベースによると、最大6時間かかる場合があります）。
• を再実行してください PowerDMARC SPFチェッカー を再実行し、レコードが正しく解決され、ルックアップ回数が10回未満であることを確認してください。
• 個人のGmailアカウントにテストメールを送信してください。メールを開き、「原文を表示」をクリックし、Authentication-Resultsヘッダーに「spf=pass」と記載されているか確認してください。

Google Workspace の特殊なケース

DreamHostの統合機能を通じてGoogle Workspaceを設定すると、DreamHostのコントロールパネルではSPFフィールドを編集できなくなります。ただし、自動設定されたフィールドの代わりに、DreamHostのカスタムDNSレコード設定（レコードの追加 → TXT）を利用することができます。ネームサーバーがCloudflareにある場合は、CloudflareのDNSダッシュボードで直接TXTレコードを追加することで、DreamHostの制限を完全に回避できます。

DreamHostでのDKIMの確認と設定方法

DKIM（DomainKeys Identified Mail） 送信メールに暗号署名を付加し、受信サーバーが送信中にメッセージが改ざんされていないことを確認できるようにします。

DreamHostによるDKIMの自動生成

DreamHostでホストされているメールをご利用の場合、DKIMはすでに設定されています：

• DreamHostでは、DreamHostのメールサービスを利用するすべてのドメインおよびサブドメインに対して、DKIM DNSレコードが自動的に作成されます。
• これらのレコードは、DNS設定画面で確認できます。レコード名に「_domainkey」が含まれているもの（タイプ：TXT）が該当します。
• DreamHostは2048ビットのDKIMキーに対応しています。
• DreamHostのメールサーバーを経由してSMTPで送信されるすべてのメールには、自動的に署名が付与されます。

以下の PowerDMARC DKIMチェッカー を使用して、キーが公開されており有効であることを確認してください。ドメインとセレクタ（DreamHostでホストされているメールの場合は通常 yourdomain.com._domainkey）を入力して確認してください。

DKIMが適用されていない場合（重大な脆弱性）

Sendmail または PHP Mail 経由で送信されるメールには、DKIM 署名が付与されません。これには、PHP の mail() 関数を使用する WordPress の問い合わせフォームも含まれます。これは、ほとんどの WordPress フォームプラグインのデフォルト設定です。これらのメールは DreamHost の SMTP サーバーを完全に迂回するため、メッセージに DKIM 秘密鍵が適用されることはありません。

DreamHostでWordPressサイトを運営している方々が、お問い合わせフォームからのメールがスパムフォルダに振り分けられてしまう最も一般的な原因はこれです。フォーム自体は正常に機能し、メールも送信されていますが、DKIMが設定されていない（そして多くの場合、適切な SPFの整合性）がない場合、受信サーバーはそれを不審なメールとしてフラグを立てます。

修正方法: WP Mail SMTPプラグイン（または類似のプラグイン）をインストールしてください。サイトから送信されるすべてのメールを、DreamHostのSMTPサーバー（mail.yourdomain.com、SSL使用の場合はポート465、TLS使用の場合はポート587）経由で送信するように設定します。これにより、メールはメールサーバーを経由して送信され、DKIM署名が自動的に適用されます。

DreamHostのネームサーバーを使用していない場合

Cloudflare、Route 53、またはその他のDNSプロバイダーを利用しているものの、メールの管理はDreamHostに委託している場合は、DreamHostのコントロールパネルからDKIMのDNSレコードをコピーし、ご利用のDNSプロバイダーで手動で追加する必要があります。

DKIMキーをコピーする際は、キー文字列の中にスペースが入らないよう注意してください。DreamHostのコントロールパネルではスペースが含まれたレコードも受け付けますが、公開されたキーに空白が含まれていると、メールのDKIM検証に失敗します。 

サードパーティのメールサービスを利用している場合

Google Workspace、Zoho、またはその他のサービス（DreamHost以外）でメールを管理している場合、そのプロバイダーがDKIM署名を管理します。そのプロバイダーのDKIM公開鍵とセレクターを取得し、DreamHostのDNS設定（または外部のDNSプロバイダー）に該当するTXTレコードを追加してください。セレクターの正確な形式や鍵の値については、プロバイダーのドキュメントに従ってください。

DreamHostでDMARCレコードを設定する方法

DMARC（Domain-based Message Authentication, Reporting and Conformance）は、SPFとDKIMを統合したものです。DMARCは、これら少なくとも1つが有効であり、かつ「From:」フィールドに表示されているドメインと一致しているかどうかを確認し、認証に失敗した場合に受信サーバーがどう対応すべきかを指示します。DMARCがなければ、SPFとDKIMは存在しても、それらを強制する仕組みはありません。

以下の PowerDMARC DMARCジェネレーター を使用してレコードを作成してください。ポリシーレベルを選択し、レポート用メールアドレスを追加して、生成されたTXT値をコピーしてください。 

DreamHost パネルでの手順

DMARCを追加する前に、SPFとDKIMがすでに設定され、正常に機能していることを確認してください。DreamHostの公式ブログでは、SPFとDKIMの設定完了後、48時間待ってからDMARCレコードを公開することを推奨しています。

• 「ウェブサイトの管理」→「DNS設定」の順に移動し、「レコードの追加」をクリックして、「TXT」を選択します。
• ホスト: _dmarc
• TXT値：

v=DMARC1; p=none; rua=mailto:[email protected];ruf=mailto:[email protected]; pct=100

• 「レコードを追加」をクリックして保存してください。

DreamHostでは、DMARCレポート（集計レポートと詳細レポート）の受信量が膨大になる可能性があるため、これら用に2つの別々のメールアドレスを作成することを推奨しています。あるいは、rua=をPowerDMARCの受信アドレスに設定することで、メールの煩わしさを完全に回避し、レポートを視覚的なダッシュボードに直接表示させることも可能です。

段階的導入計画

DMARCは、初日からp=rejectで展開すべきではありません。段階的なアプローチを採用することで、正当なメールを誤ってブロックしてしまうことを防げます：

フェーズ	ポリシー	何が起こるのか
第1～4週	p=none	監視のみ。DMARCの集計レポートを収集します。すべての正当な送信者を特定し、認証エラーがあれば修正します。
第5週～第8週	p=quarantine	認証されていないメールはスパムフォルダに振り分けられます。正当な送信者からのメールがすべて正常に受信されることを確認してください。誤検知がないかレポートを確認してください。
第9週以降	p=reject	完全に適用されます。許可されていないメールは即座に拒否されます。これにより、お客様のドメインはなりすましから保護されます。

ポリシーを更新するには、DreamHost パネルで _dmarc TXT レコードを編集し（レコードの横にある鉛筆アイコンをクリック）、p=none を p=quarantine に変更し、最終的には p=reject に変更してください。

DMARCのXMLレポートは、専用のツールなしでは解読できません。PowerDMARCはこれらのレポートを自動的に取り込み、送信元ごとの合格・不合格率、SPFおよびDKIMの整合状況、不正送信者の検出、および傾向ラインを視覚的に分析して表示します。 

DreamHostのメール認証に関するよくある問題（および解決策）

以下の各シナリオは、すべて「症状 → 原因 → 解決策」という同じ診断の流れに従っています。

Google WorkspaceのSPFを追加した後、DreamHostのメールがスパムフォルダに振り分けられる

• 症状： DreamHostでホストされているメールボックスから送信したメールが、スパムフォルダに入ったり、配信エラーになったりします。Google Workspaceのメールは問題なく動作します。
• 原因： Googleのインクルード（include:_spf.google.com -all）のみを含むカスタムSPFレコードが追加されたため、DreamHostのデフォルトレコードが自動的に削除されました。DreamHostのメールサーバーは、もはや認証されなくなりました。
• 修正： DreamHostとGoogleの両方の仕組みを含む1つのレコードに統合する：
• v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net include:_spf.google.com -all

WordPressの問い合わせフォームからのメールがSPF/DKIMの検証に失敗する

• 症状： お問い合わせフォームからの送信メールが届かない、または受信者のスパムフォルダに振り分けられてしまう。同じドメインからの直接メールは正常に届く。
• 原因： WordPressがSMTPではなくPHPのmail()関数を使用しています。PHPのmail()はDreamHostのメールサーバーを経由しないため、SPFの整合性が取れず、DKIMも適用されません。
• 解決方法： 「WP Mail SMTP」プラグインをインストールします。DreamHostのSMTPサーバー（mail.yourdomain.com、ポート465（SSL）または587（TLS）、DreamHostのメール認証情報を使用）経由で送信するように設定します。これにより、サイトから送信されるすべてのメールが認証されるようになります。

SPF PermError: DNS 照会回数が多すぎます

• 症状： SPFチェッカーがPermErrorを返す。一部のメールまたはすべてのメールで認証に失敗する。
• 原因： DreamHost、Google、Mailchimp、SendGrid、およびその他のサービスによるSPFレコードの合計が、DNSルックアップの制限数である10回を超えています。DreamHostのデフォルトの仕組みだけでも3～4回のルックアップが必要となるため、サードパーティのサービスを3～4つ追加すると、制限を超えてしまいます。
• 修正方法： ネストされたインクルードをカウントするSPFチェッカーを使用して、ルックアップ回数を監査してください。使用しなくなったサービスの古いインクルードを削除してください。ベンダーのIPアドレスが安定している場合は、`include:`を`direct ip4:`エントリに置き換えてください。送信量の多い送信者はサブドメイン経由でルーティングしてください（各サブドメインに独自の10ルックアップの予算が割り当てられます）。または、 PowerSPF を使用して、自動でフラット化を行ってください。

Gmailから送信したメールが「認証されません」というエラーで配信不能になる

• 症状： Gmailから「メッセージが認証されていません」というエラーでメールが返送されます。DreamHostのコントロールパネルでは、SPFおよびDKIMレコードは正しく設定されているようです。
• 原因： ネームサーバーがCloudflare（または他のプロバイダー）を指しているにもかかわらず、SPFおよびDKIMレコードがDreamHostのコントロールパネルにのみ追加されているためです。ネームサーバーがDreamHostを指していない場合、DreamHostのDNSはインターネット上の他の場所からは認識されません。
• 修正方法： すべてのメール認証用DNSレコード（SPF TXT、DKIM TXT、DMARC TXT）は、DreamHostのパネルではなく、CloudflareのDNSダッシュボードに追加してください。DreamHostからレコードをコピーし、ネームサーバーが実際に指している場所に公開してください。

SPFとDKIMはそれぞれ正常に検証されるにもかかわらず、DMARCの検証に失敗する

• 症状： メッセージヘッダーに spf=pass および dkim=pass と表示されていますが、dmarc=fail となっています。
• 原因: 整合性の不一致。DMARCでは、SPFチェック（エンベロープ送信者／Return-Path）またはDKIM署名（d=タグ）に含まれるドメインが、From:ヘッダーに表示されるドメインと一致している必要があります。エンベロープ送信者が[email protected]であるにもかかわらず、From:ヘッダーが[email protected]となっている場合、dreamhost.comについてはSPFチェックに合格しますが、yourdomain.comとは整合性が取れません。
• 修正方法： エンベロープ送信者ドメインとDKIM署名ドメインの両方が、From: アドレスのドメインと一致していることを確認してください。DreamHostでホストされているメールの場合、通常は自動的に機能します。サードパーティの送信者の場合は、エンベロープ送信者としてご自身のドメインを使用するように設定してください（ほとんどのESPでは、カスタムリターンパスの設定が可能です）。

どの送信元で、どのような理由でエラーが発生しているのか、推測する必要はもうありません。PowerDMARCの集計レポートダッシュボードでは、メールを処理するすべての受信サーバーにおける、IPごと、送信元ごとの認証結果を確認できます。1つの画面から、具体的なエラーを特定し、修正を行い、修正が反映されたことを確認できます。 15日間の無料トライアルを開始する

DreamHostのメール認証が正常に機能しているかを確認する方法

設定完了後 SPF、DKIM、およびDMARC設定後、以下のチェックリストに従って、すべてが正常に稼働し、検証に合格していることを確認してください：

• 個人のGmailアカウントにテストメールを送信します。メールを開き、「オリジナルを表示」をクリックし、ヘッダーに「SPF: PASS」、「DKIM: PASS」、「DMARC: PASS」と表示されていることを確認します。
• 以下を実行してください PowerDMARC SPFチェッカー を実行し、レコードが解決されるか、構文が有効か、およびルックアップ回数が10回未満であることを確認してください。
• 以下を実行してください PowerDMARC DKIMチェッカー を、ご自身のセレクター（DreamHostの場合は yourdomain.com._domainkey、またはサードパーティプロバイダーが使用するセレクター）で実行し、キーが公開されており、署名の長さが2048ビットであることを確認してください。
• 以下を実行してください PowerDMARC DMARCチェッカー を実行し、_dmarc TXTレコードが有効であること、ポリシーが正しく設定されていること、およびrua/rufアドレスが有効であることを確認してください。
• 72時間経過後、DMARCの集計レポートを確認してください。これには、単一のテストメッセージだけでなく、すべての受信者（Gmail、Yahoo、Microsoftなど）における実際の合格率・不合格率が表示されます。ここで、テストでは検出されなかった送信元で不合格となっているものがないかを確認できます。

PowerDMARCの 無料ドメインアナライザー スキャンを実行してください。SPF、DKIM、DMARC、BIMI、MTA-STS、およびメールセキュリティの全体的な状態を1回のスキャンでチェックします。DreamHostドメインの評価をA+からFまでのグレードで即座に確認できます。

DreamHost メール認証のベストプラクティス

SPF、DKIM、DMARCの設定は、あくまで第一歩に過ぎません。DreamHostにおけるメールの配信率を長期的に維持するには、認証記録を常に最新の状態に保ち、設定の変更を監視し、メール送信の慣行をメールボックスプロバイダーの要件の変化に合わせていくことが重要です。

• カスタムSPFを追加する際は、必ずDreamHostのメカニズム（netblocks.dreamhost.com および relay.mailchannels.net）を含めてください。自動削除機能は、多くのユーザーにとって予期せぬ動作となるためです。
• サイトから送信されるすべてのメールにはSMTPを使用してください。WordPressのお問い合わせフォーム、WooCommerceの注文通知、会員登録の確認メールなどは、DKIM署名を確実に行うため、SMTP経由で送信する必要があります。
• SPFはサブドメインを個別に扱います。blog.yourdomain.com や shop.yourdomain.com からメールを送信する場合、それぞれに独自のSPFレコードが必要です。サブドメインのレコードは親ドメインから継承されません。
• DMARCは段階的に導入してください。まずp=noneを設定し、PowerDMARCを通じてレポートを監視してから、適用を開始します。監視を行わずにいきなりp=rejectに設定すると、正当なメールがブロックされるリスクがあります。
• SPFレコードは四半期ごとに、また新しいメール送信サービスを追加した直後に確認してください。ベンダーがIPアドレス範囲を変更したり、マーケティングチームが新しいツールを導入したりすることで、レコードの内容がずれてしまうことがあります。
• ネームサーバーがCloudflareやその他の外部プロバイダーにある場合、すべてのメール用DNSレコード（SPF、DKIM、DMARC）は、DreamHostのコントロールパネルではなく、そちらに追加する必要があります。ネームサーバーが他の場所を指している場合、DreamHostのDNS設定は無視されます。

DreamHostのメール認証に関するトラブルシューティングを、手探りで行うのはもうやめましょう。PowerDMARCなら、SPF、DKIM、DMARCをリアルタイムで監視し、配信率が低下する前に検出されないエラーを早期に発見し、新しい送信サービスを追加する際にもレコードのコンプライアンスを維持することができます。 

15日間の無料トライアルを開始する

よくあるご質問

DreamHostのデフォルトのSPFレコードは何ですか？

v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net -all. DreamHostは、DreamHostのメールサービスを利用するすべてのドメインに対して、これを自動的に追加します。DreamHostが唯一のメール送信元である場合、手動での設定は不要です。

DreamHostのSPFをGoogle Workspaceと連携させるにはどうすればよいですか？

両方の仕組みを含む1つの統合レコードを作成します：

v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net include:_spf.google.com -all

GoogleのSPFのみを追加すると、DreamHostのデフォルトのレコードが削除され、DreamHostのメール機能が正常に動作しなくなります。必ず両方を含めてください。

DreamHostではDKIMが自動的に設定されますか？

はい、DreamHostのメールサーバー（SMTP）を利用しているドメインの場合、DKIMレコードは自動的に作成され、DreamHostのメールサーバー経由で送信されるメールには署名が付きます。ただし、PHPメール（SMTPを使用しないWordPressのお問い合わせフォームなど）経由で送信されるメールには、DKIM署名が付かない点にご注意ください。この問題を解決するには、「WP Mail SMTP」をインストールしてください。

なぜDreamHostのメールがスパムフォルダに入ってしまうのですか？

最も一般的な原因としては、SPFレコードの欠落や誤り（特にサードパーティの送信者を追加した際にDreamHostのデフォルト設定が削除されるケース）、SMTPではなくPHPメール経由で送信されているためDKIMが適用されていない、DMARCレコードが公開されていない、あるいはネームサーバーがCloudflareを指している一方でDNSレコードがDreamHostのコントロールパネルにのみ存在している、などが挙げられます。PowerDMARCの「Domain Analyzer」で無料スキャンを実行し、具体的に何が問題なのかを特定してください。

DreamHostでSPFレコードを2つ設定することはできますか？

いいえ。RFC 7208 では、ドメインごとに 1 つの SPF TXT レコードのみを指定することが義務付けられています。v=spf1 で始まるレコードが 2 つ存在する場合、SPF は PermError を返し、すべての認証が失敗します。承認された送信者をすべて 1 つのレコードに統合してください。