SPF・DKIM・DMARCとは？メールが迷惑メールに入る理由を、郵便のたとえと図で解説

01なぜ今、この3つが必要なのか

迷惑メール対策の仕組み自体は、10年以上前からあります。変わったのは、受け取る側のルールです。2024年から、GmailやOutlookのような大手のメールサービスが、「設定のない会社のメールは、受け取らないことがある」とはっきり決めました。

• 2024年2月Gmailが、メールを送る側に守ってほしいルールを公開。個人のGmail（@gmail.com）に送るなら、会社の大小に関係なくSPFかDKIMのどちらかが必要に。1日およそ5,000通以上送る会社は、3つすべてが必要。アメリカのYahooメールも、同じ時期に同じようなルールを始めた。
• 2025年5月Microsoftの個人向けメール（Outlook.com・Hotmailなど）も、1日5,000通以上を目安にたくさん送る会社へ3つすべてを求め始めた。満たさないメールは受け取らない方針。
• 2025年11月Gmailが、ルールを守っていないメールへの対応を厳しくした。しばらく、または完全に受け取りを断られることがある。

日本でも同じ流れです。Yahoo!メール（2020年3月から）、ドコモ（2022年8月）、au（2023年10月）、ソフトバンク（2024年4月）が、DMARCを使ったなりすましメール対策を順に導入しました。2023年2月には経済産業省・警察庁・総務省が、クレジットカード会社などにDMARCの導入を要請しています。

つまり世の中は、「設定していない会社のメールは、断られたり迷惑メールに入ったりしても仕方ない」という方向に動いています。「たくさん送る会社だけの話」と思われがちですが、個人のGmail宛てなら、小さな会社でもSPFかDKIMは必須です。

023つを手紙にたとえると

メールは、郵便の手紙とよく似ています。ただし、差出人の名前は誰でも自由に書けてしまいます。「○○銀行」と書いた偽物の手紙も、そのままでは見分けられません。そこで、本物だと確かめるための仕組みが3つ用意されています。

SPF

送り元の名簿

「うちの会社の手紙は、この郵便局とこの郵便局からしか出しません」と、あらかじめ届け出ておく名簿です。受け取った側は、手紙がどこから出されたかを名簿と照らし合わせます。名簿にない郵便局から来た手紙は、怪しいと判断できます。

実際には：メールを送り出すサーバー（送信を担当するコンピューター）の一覧を、ドメインの公開設定に書いておきます。

DKIM

封筒の割印

送るときに、封筒へ会社のはんこを押しておきます。受け取った側は、公開されている「はんこの見本」と照らし合わせます。はんこが合っていれば、途中で中身が書き換えられていないことと、どの会社が押したかが分かります。

実際には：送るたびに電子署名（暗号を使ったはんこ）を付けます。照合用の鍵（見本）は、ドメインの公開設定に置きます。はんこが示すのは「どのドメインが押したか」までで、担当者本人や内容の正しさを保証するものではありません。

DMARC

扱いの指示書（と報告のお願い）

「名簿にもはんこにも合わない手紙が届いたら、こう扱ってください」というお願いです。扱い方は特別な扱いは要らない（none）・怪しいメールとして扱って（quarantine。多くは迷惑メールへ）・受け取らないで（reject）の3段階から選びます。あわせて「判定の結果を、ここへ報告してください」と報告の送り先を書いておけば、結果の集計が届くようになります。

実際には：方針と報告の送り先を、ドメインの公開設定に書きます。最終的にどう扱うかは、受け取る側が決めます（お願いであって命令ではありません）。

031通のメールが届くまで

受け取る側（たとえばGmail）は、メールが届くたびに掲示板を見に行き、3つを確かめています。流れを図にすると、こうなります。

ポイントは、確かめるのは受け取る側だということです。送る側にできるのは、掲示板に正しい名簿・はんこの見本・指示書を書いておくこと、そしてはんこを押して送ることだけです。

また、3つに合格しても必ず受信トレイに入るわけではありません。受け取る側は、内容や送る量、受け取った人が「迷惑メール」と報告したかどうかも見ています。3つの設定は、判断してもらうための最低条件です。

04いちばんの落とし穴：差出人は2か所ある

「SPFもDKIMも合格しているのに、DMARCだけ不合格になる」。一見おかしなこの結果は、ここから起きます。実はメールには、差出人が2か所あります。

SPFが調べるのは、封筒の差出人です。メール配信サービス（メルマガなどを一斉に送るためのサービス）や予約システムを使うと、封筒の差出人がサービス側の名前（上の図の haishin-service.jp）になっていることがあります。この場合、SPFは「サービスの名簿」と照らし合わせて合格になります。でも、それは自社の名前で合格したわけではありません。

DKIMのはんこも同じです。何も設定しないと、サービス側の名前のはんこが押されることがあります。はんこ自体は本物なので合格です。でも、押したのは自社ではありません。

DMARCが確かめるのは、「画面に出る差出人と同じ名前で、SPFかDKIMのどちらかに合格したか」です。これを専門用語で「一致（アライメント）」と呼びます。どちらも別の名前での合格なら、DMARCは不合格です。なお、news.example.co.jp のように、自社のドメインの前に言葉が付いただけの名前は、ふつうは「同じ名前」として扱われます。

05試してみる：合格・不合格シミュレーター

よくある場面を選ぶか、チェックを自由に切り替えてください。DMARCの判定と、受け取る側での扱いがどう変わるかが分かります。

※ 実際の扱いは、受け取る側が内容や送る量なども含めて最終的に決めます。このシミュレーターは、指示書どおりに扱われた場合の目安です。

06自社のメールが合格しているか、Gmailで確かめる

難しい道具は要りません。自分のGmail（個人のもので構いません）に、自社のアドレスから1通送るだけで確かめられます（中身は、お客さまの情報を含まないテスト文で十分です）。詳しい判定の確認は、パソコンのブラウザ版Gmailで行います。

1. 会社のアドレスから、自分のGmail宛てにメールを1通送る。
2. パソコンのブラウザでGmailを開き、届いたメールを開く。
3. メールの右上にある「︙」（その他）を押し、「メッセージのソースを表示」を選ぶ。
4. 新しく開いた画面の上の方にある、SPF・DKIM・DMARCの行を見る。

※ 表示の細かい形は、Gmailの更新で変わることがあります。

見るところは3つです

• まず、DMARCがPASSか。 PASSなら、差出人と同じ名前でSPFかDKIMのどちらかに合格しています。FAIL（不合格）や行そのものがなければ、設定漏れや設定ミス、転送などで、どこかが合っていません。
• DMARCがPASSでなければ、DKIMの横の「ドメイン:」を見る。 自社のアドレスの@より後ろと違う名前なら、はんこは他社名義です。前の章の「差出人が2か所ある」問題が起きているサインです。
• DMARCがPASSでも、SPFとDKIMの両方がPASSか。 DMARCはどちらか一方の合格で足ります。ただ、Gmailに1日数千通送るような場合は、両方の合格が求められます。
• 送り元ごとに試すこと。 社員のメールだけでなく、ネットショップの注文確認、予約の自動返信、請求書の送付など、自社の名前で送っている仕組みすべてで1通ずつ確かめます。社員のメールは合格でも、別の仕組みが不合格ということはよくあります。

07設定の前にやること：送り元の棚卸し

設定作業そのものは、手順どおりに進めれば終わります。手間がかかるのは、その前です。「自社の名前でメールを送っているもの」を全部挙げること。一つでも漏れると、そこから送ったメールだけが断られたり、迷惑メールに入ったりすることがあります。

当てはまるものにチェックしてください。

名簿には上限がある

送り元が増えると、もう一つ問題が出ます。SPFの名簿には、郵便局を1つずつ書くのではなく、「Googleの郵便局はGoogleの名簿を見てください」のように、他社の名簿を引用する書き方をよく使います（include: という書き方）。この引用は、引用した先の名簿の中の引用も含めて、合わせて10回までという決まりがあります。超えると、名簿が読めないと判定され、SPFが通らなくなります。サービスを足すたびに名簿へ追記していると、気づかないうちに上限を超えていることがあります。

だからこそ、送り元の一覧を先に作り、送り元ごとに「名簿に載せるか」「自社の名前のはんこ（DKIM）を押してもらうか」を考えます。どちらができるかはサービスによって違い、送り先のルールで両方が必要なこともあります。各サービスが対応している方式を確かめてから決めます。

設定の順番

1. 自社の名前でメールを送っている仕組みを、全部書き出す手間の中心
2. 仕組みごとに、SPFの名簿に載せるか、自社の名前のはんこ（DKIM）を押してもらうかを決めて設定する
3. DMARCを none（特別な扱いは要らない）で置き、報告の送り先も書いて、結果の報告を受け取る
4. 報告を見て、不合格になっている送り元を見つけて直す手間の中心
5. 漏れがなくなったら、quarantine（怪しいメールとして）、reject（受け取らないで）と段階的に強める