MENU
セキュリティの視点で見るサーバー・メール・ドメイン
  1. ホーム
  2. ドメイン
  3. 【オンライン診断ツール】なぜ届かない？ドメインのSPF・DKIM・DMARCチェック

【オンライン診断ツール】なぜ届かない？ドメインのSPF・DKIM・DMARCチェック

ドメイン

Gmail に送ったメールが届かない、迷惑メールに入る。その原因は、送信側ドメインの SPF・DKIM・DMARC の設定かもしれません。ドメインを入れるだけで、その設定をその場で診断できます。✕や△が出たら、その項目の「直し方を見る」を開いてください。

オンラインツール

メール認証チェッカー

ドメインの SPF・DKIM・DMARC・MX レコードを取得して判定します。

  • SPF
  • DKIM
  • DMARC
  • MX
DKIMセレクタを指定する（任意）

※ 公開されているDNS情報を読み取るだけで、メールの送信やサーバーへの接続はしません。入力したドメインは、DNSの問い合わせのためCloudflare（またはGoogle）の公開DNSに送られます。当サイトのサーバーには送信・保存しません。

使い方

  1. 調べたいドメイン（またはメールアドレス）を入れて「チェックする」を押す
  2. ✕・△が出た項目は「直し方を見る」を開いて、手順どおりに DNS を直す
  3. 直したら少し時間をおいてページを再読み込みし、もう一度チェックする

結果の見方（◎・△・✕・?）

チェック結果は、SPF・DKIM・DMARC・MX の4つのカードで表示されます。いちばん上には、SPF・DKIM・DMARC をまとめた総合判定が出ます。

表示意味まずやること
◎ 良好推奨どおりに設定されています何もしなくて大丈夫です
△ 要確認動いてはいますが、強化できる点があります下の直し方を見て、余裕があるときに見直します
✕ 要改善設定がない、または効いていない状態ですなりすましや迷惑メール判定につながるので、優先して直します
? 確認できず外から確認できませんでした（DKIM のみ）未設定とは限りません。セレクタを調べて再チェックします
i 情報判定ではなく参考情報です推定したメールサービスなどを表示しています

DKIM は「セレクタ」という名前がわからないと外から確認できない仕組みです。よく使われるセレクタで見つからなかった場合は「確認できず」とし、総合判定には含めていません。セレクタの調べ方は「DKIM セレクタの調べ方」で説明しています。

MX のカードに出る「受信に使っているサービス（推定）」「送信に使っているサービス（SPFから推定）」は、MX レコードと SPF の書き方から推定したものです。自社のドメインを MX に書く国内レンタルサーバーでは、推定できないことがあります。

SPF・DKIM・DMARCの設定方法と直し方

チェック結果の「直し方を見る」より、くわしい説明です。気になる項目だけ開いてください。

Gmail から「550 5.7.26」のエラーが返ってきたとき

Google の「メール送信者のガイドライン」では、Gmail 宛てに送るすべての送信者に SPF または DKIM の設定を求めています。この認証が通らないメールは、迷惑メールに振り分けられるか、5.7.26 のエラーで拒否されることがあります。

確認する順番

  1. 上のチェッカーに、送信元アドレスの @ より後ろ（ドメイン）を入れて診断する
  2. SPF・DKIM に✕があれば、下の「設定方法・直し方」のとおりに直す
  3. 1日におよそ5,000通以上送る場合は、SPF・DKIM の両方と DMARC を設定する（Gmail の大量送信者の要件）

DNS の変更は反映まで時間がかかることがあります。直したあとは少し時間をおいて、もう一度チェックしてから送り直してください。

SPFの設定方法・直し方

SPF は「このドメインのメールを送ってよいサーバーの一覧」です。ドメインの DNS に TXT レコードとして1行で書きます。

✕ SPFレコードが設定されていません

使っているメールサービスのマニュアルにある SPF の値を、DNS の TXT レコード（ホスト名は空欄または @）に追加します。値はサービスごとに決まっているので、自分で組み立てずにマニュアルの値をそのまま使うのが安全です。

Google Workspace の例：v=spf1 include:_spf.google.com ~all

レンタルサーバーのネームサーバーを使っている場合は、最初から SPF が入っていることが多いです。エックスサーバーやシンレンタルサーバーでは、ドメインを追加したときに SPF の初期値が自動で設定されます。

✕ SPFレコードが複数あります

SPF は1つのドメインに1行だけです。2行あると受信側はエラー（PermError）として扱い、SPF がまったく効かなくなります。Google Workspace を追加したときに、元からあったレンタルサーバーの SPF を残したまま、もう1行足してしまうのがよくある原因です。

2行の中身を1行にまとめます。

修正前：v=spf1 +a:sv***.xserver.jp +mx include:spf.sender.xserver.jp ~all
        v=spf1 include:_spf.google.com ~all
修正後：v=spf1 +a:sv***.xserver.jp +mx include:spf.sender.xserver.jp include:_spf.google.com ~all

✕ 「+all」になっています

+all は「どのサーバーから送ってもよい」という意味で、SPF を設定していないのと同じです。~all（登録外は疑わしい）か -all（登録外は不合格）に変えてください。

△ 「?all」になっている／all の指定がない

どちらも、登録外のサーバーから送られたメールの扱いが決まっていない状態です。末尾に ~all を付けるのが一般的です。

✕・△ DNS参照回数が多い（上限10回）

SPF の include・a・mx・ptr・exists・redirect は、受信側が DNS を引く回数として数えられ、合計10回を超えるとエラーになります（RFC 7208）。include 先の中の include も数えます。メール配信サービスや CRM を足していくと、気づかないうちに超えてしまいます。

  • 今は使っていないサービスの include を消す
  • 同じ会社の include が重複していないか確認する
  • 送信元が固定の IP アドレスなら、include の代わりに ip4: で書く（IP が変わったときに追従できなくなるので、相手のサービスが IP を公開している場合に限ります）

なお、この10回とは別に「参照先が存在しない（応答が空の）DNS 参照は2回まで」という制限もあります。古い include 先が消えている場合も、直しておきましょう。

△ ptr が使われています

ptr は RFC 7208 で「使うべきではない」とされている書き方です。受信側によっては無視されます。ip4・ip6・include に置き換えてください。

DKIMの設定方法・直し方

DKIM は、送信したメールに電子署名を付けて、途中で書き換えられていないこと、そのドメインから送られたことを証明する仕組みです。公開鍵は「セレクタ名._domainkey.ドメイン」という場所の TXT レコードに置かれます。

? よく使われるセレクタではDKIMが見つかりませんでした

これは「DKIM が設定されていない」という意味ではありません。セレクタ名はサービスや会社ごとに自由に決められるので、外から全部を試すことはできないためです。次の「DKIM セレクタの調べ方」で、自社のメールに付いているセレクタを確認して、ツールの「DKIM セレクタを指定する」欄に入れてください。

セレクタを指定しても見つからない場合は、DKIM が有効になっていない可能性があります。メールサービスの管理画面で DKIM を有効にし、表示された TXT レコードを DNS に追加します。Google Workspace は管理コンソールで DKIM の鍵を作り、DNS に登録してから「認証を開始」を押すまで署名されません。

Google Workspace での設定手順は、Google Workspace で独自ドメインメールを作る方法で画像つきで解説しています。

△ 鍵長 約1024bit

1024bit の鍵は今も使えますが、RFC 8301 では2048bit 以上が推奨されています。管理画面で2048bit の鍵を新しく作り、新しいセレクタで DNS に登録してから切り替えます。古い鍵は、切り替え後しばらくしてから削除します。

✕ 鍵長 約512bit

512bit の鍵は短すぎて安全ではなく、RFC 8301 では検証側が受け付けないことになっています。すぐに2048bit の鍵に作り直してください。

i 鍵が空（失効）です

「p=」の後ろが空の DKIM レコードは、「このセレクタでは署名しない」という意味です。メールを送らないドメインで、なりすましを防ぐためにわざと置いていることもあります。使っていないセレクタなら問題ありません。

DKIMセレクタの調べ方（メールヘッダーの s=）

自社のドメインから、自分の Gmail などにメールを1通送ります。受け取ったメールのヘッダー（メールの詳しい情報）を開き、「DKIM-Signature」という行を探します。

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
        d=example.co.jp; s=google; ...
  • s= の後ろがセレクタです（この例では google）
  • d= の後ろが署名したドメインです。自社のドメインになっていない場合（メールサービスのドメインになっている場合）は、自社ドメインでの DKIM がまだ有効になっていません

ヘッダーの開き方は次のとおりです。

  • Gmail（パソコン）：メールを開き、右上の「︙」→「メッセージのソースを表示」
  • Outlook（新しい Outlook・Web 版）：メールを開き、「…」→「表示」→「メッセージの詳細を表示」

Gmail の「メッセージのソースを表示」では、上のほうに「DKIM: ‘PASS’（ドメイン: example.co.jp）」のような判定結果も出ます。PASS になっていれば、DKIM は正しく動いています。

DMARCの設定方法・直し方

DMARC は、SPF や DKIM に失敗したメールを受信側にどう扱ってほしいかを宣言する設定です。「_dmarc.ドメイン」の TXT レコードに書きます。

✕ DMARCレコードが設定されていません

まずは、なりすましメールを止めずに、レポートだけを受け取る設定から始めます。

ホスト名：_dmarc
種類：TXT
値：v=DMARC1; p=none; rua=mailto:dmarc-report@example.co.jp

rua に書いたアドレスに、受信側（Gmail など）から集計レポートが届くようになります。レポートは XML ファイルで毎日届くので、専用のアドレスを用意するのがおすすめです。

△ ポリシー：none（監視のみ）

p=none は「失敗しても特に何もしない」設定です。なりすましメールもそのまま届きます。レポートを2〜4週間ほど見て、自社の正規のメール（請求書の配信サービス、問い合わせフォームなど）がすべて SPF か DKIM に合格していることを確かめてから、次の順で強めます。

  1. p=quarantine（失敗したメールを迷惑メールフォルダへ）
  2. p=reject（失敗したメールを受信拒否）

いきなり reject にすると、設定漏れのある自社のメールまで届かなくなります。途中で pct=（適用する割合）を使って少しずつ上げる方法もあります。

△ 集計レポートの送信先（rua）がありません

レポートがないと、なりすましメールが送られていることにも、自社の設定漏れにも気づけません。rua=mailto: を追加します。

レポートの送り先を別のドメインのアドレス（DMARC 分析サービスなど）にする場合は、送り先のドメイン側にも「レポートを受け取ってよい」という TXT レコードが必要です（RFC 7489）。分析サービスを使うときは、そのサービスの案内に従って設定してください。

✕ DMARCレコードが複数あります

DMARC も1つのドメインに1行だけです。複数あると、受信側は DMARC がないものとして扱います。1行にまとめてください。

i 親ドメインのDMARCが適用されます

サブドメイン（mail.example.co.jp など）に DMARC がない場合は、親ドメイン（example.co.jp）の DMARC が使われます。親ドメインに sp=（サブドメイン用のポリシー）があれば、そちらが適用されます。

コマンドで SPF・DKIM・DMARC を確認する方法

Windows のコマンドプロンプトでは nslookup、Mac のターミナルでは dig で確認できます。

Windows：nslookup -type=TXT example.co.jp
         nslookup -type=TXT google._domainkey.example.co.jp
         nslookup -type=TXT _dmarc.example.co.jp
Mac   ：dig TXT example.co.jp +short

コマンドではレコードの中身は見られますが、DNS 参照回数や鍵の長さは自分で数える必要があります。このツールは、その部分をまとめて判定しています。

SPF・DKIM・DMARC を管理画面から設定できるメールサービス

DNS の書き方に自信がない場合は、SPF・DKIM・DMARC を管理画面から設定できるメールサービスを選ぶと楽です。当サイトの比較記事では、各社が SPF・DKIM・DMARC に対応しているかも確認しています。

もっと知りたい人へ

Gmail・Yahoo の送信者ガイドラインで求められていること

2024年2月から、Gmail と Yahoo（米国）は送信者に対してメール認証を求めています。1日に5,000通以上を Gmail 宛てに送る「大量送信者」かどうかで、求められる内容が変わります。

項目すべての送信者大量送信者（Gmail は1日5,000通以上）
SPF・DKIMどちらか1つ両方
DMARC記載なし必須（p=none でもよい）
From のドメインと SPF・DKIM のドメインの一致（アライメント）記載なし必須
迷惑メール報告率0.3% 未満0.3% 未満
ワンクリックでの配信停止記載なしマーケティングメールで必須

※ Google・Yahoo の公式ガイドラインをもとに当サイトでまとめたものです。正確な条件は末尾の出典から公式ページを確認してください。

大量に送っていない会社でも、SPF・DKIM・DMARC の3つをそろえておくと、自社のメールが迷惑メールに入りにくくなり、自社を名乗るなりすましメールも受信側で止めてもらいやすくなります。

このツールの仕組みと注意点
  • このツールは、ドメインの DNS に公開されている情報（TXT・MX レコード）を読み取るだけです。メールの送信や、相手のサーバーへの接続はしません
  • DNS の問い合わせは、読者のブラウザから Cloudflare の公開 DNS（1.1.1.1）へ、つながらない場合は Google Public DNS へ直接送られます。入力したドメインは当サイトのサーバーには送られず、保存もしていません
  • 結果は公開 DNS の情報にもとづく参考情報です。メールが迷惑メールにならないことや、安全であることを保証するものではありません
  • DNS を変更した直後は、反映まで時間がかかることがあります。結果が変わらないときは、しばらく待ってからページを再読み込みしてください
用語集
用語意味
SPFこのドメインのメールを送ってよいサーバーの一覧。DNS の TXT レコードに書く
DKIMメールに付ける電子署名。公開鍵を DNS に置き、受信側が改ざんやなりすましを確かめる
DMARCSPF・DKIM に失敗したメールの扱い（none・quarantine・reject）と、レポートの送り先を宣言する設定
セレクタDKIM の公開鍵の名前。1つのドメインで複数の鍵を使い分けるためにある
MX レコードそのドメイン宛てのメールを受け取るサーバーを示す DNS の設定
アライメントメールの From のドメインと、SPF・DKIM で認証されたドメインが一致していること。DMARC の合格条件
DNS over HTTPSDNS の問い合わせを HTTPS で送る方式。このツールはブラウザからこの方式で公開 DNS に問い合わせている

よくある質問

Gmail に送ったメールが届かない・迷惑メールに入るのはなぜですか？

Gmail は送信者のガイドラインで、すべての送信者に SPF または DKIM の設定を求めています。認証が通らないメールは、迷惑メールに振り分けられるか、エラー（550 5.7.26 など）で拒否されることがあります。まずは上のチェッカーで、送信元アドレスのドメインを診断してください。

自分の Gmail に届くはずのメールが来ない場合は、送り主のアドレスのドメインを入れると、相手側の設定に原因がないか確かめられます。

他社のドメインを調べても大丈夫ですか？

SPF・DKIM・DMARC は、受信側が確認できるように誰でも見られる形で DNS に公開されている情報です。このツールはその公開情報を読み取るだけなので、取引先のドメインの設定を確かめる用途にも使えます。ただし、1回に1つのドメインだけを調べる作りにしています。

DKIMが「確認できず」なのは設定ミスですか？

いいえ。DKIM はセレクタ名がわからないと外から確認できません。メールヘッダーの「s=」の値をセレクタ欄に入れて、もう一度チェックしてください。

~all と -all はどちらがよいですか？

DMARC を設定しているなら、~all で十分なことが多いです。-all にすると、メールの転送などで SPF に失敗したメールが、DMARC の判定より前に拒否されることがあります。なりすまし対策の強さは、SPF の all ではなく DMARC のポリシー（quarantine・reject）で決めるのがおすすめです。

全部「良好」なら迷惑メールに入りませんか？

入らないとは言い切れません。メール認証は「本物のメールであること」を証明する仕組みで、迷惑メール判定には、送信サーバーの評判、送信量の急増、本文の内容、受信者からの迷惑メール報告なども使われます。

サブドメインもチェックできますか？

できます。サブドメインに DMARC がない場合は、親ドメインの DMARC を探して表示します。

出典・更新履歴

出典（公式サイト・RFC）

更新履歴

  • 2026年10月22日：公開
ドメイン
よかったらシェアしてね！
  • URLをコピーしました！
  • URLをコピーしました！

関連記事