SPF・DKIM・DMARC とは？ 設定方法を中小企業向けに解説

SPF・DKIM・DMARC は、メールの受け取る側が「このメールは本当にそのドメインから送られたものか」を確かめるための3つの設定です。まとめて「送信ドメイン認証」と呼ばれ、どれもドメインの DNS（ドメインの住所録のような設定）に書き込みます。

3つの違いと設定の順番を知っておくと、取引先から「SPF・DKIM・DMARC は設定していますか」と聞かれたときに答えられ、Gmail に届かないトラブルも自社で切り分けられます。どこまで自社で作業し、どこから専門家に頼むかも判断しやすくなります。

本記事では、SPF・DKIM・DMARC の違いの早見表、設定が必要な理由、自社の設定の確かめ方をまとめています。さらに、レンタルサーバーでの設定手順【5STEP】、DMARC の強め方、うまくいかないときの原因と対処も紹介します。

SPF・DKIM・DMARC とは【3つの違いの早見表】

SPF・DKIM・DMARC とは、自社のメールが本物であることを、受け取る側が DNS を見て確かめられるようにする設定です。メールは差出人のアドレスを誰でも自由に書けるしくみのため、何も設定しないと、自社を名乗る偽のメールを受け取る側が見分けられません。

ここでは、3つの役割の違いを早見表で示し、それぞれのしくみと、DMARC で大切な「アライメント」を紹介します。

設定	役割	DNS に書くもの	たとえると
SPF	「このドメインのメールは、このサーバーから送る」と公開する	送ってよいサーバーの一覧（TXT レコード）	社員証の発行元の一覧
DKIM	送るメールに電子署名を付け、書き換えられていないことを示す	署名を確かめる公開鍵	書類の割印
DMARC	SPF・DKIM に失敗したメールの扱いを伝え、結果のレポートを受け取る	扱いの方針（ポリシー）とレポートの送り先	「割印のない書類は受け取らないで」という取引先への通知

3つは役割が違うため、どれか1つだけでは足りず、SPF と DKIM を整えたうえで DMARC を重ねる形が基本です。

SPF とは

SPF とは、自社のドメインのメールを送ってよいサーバーを、DNS で公開する設定です。受け取る側は、メールを送ってきたサーバーが一覧に入っているかを確かめ、入っていなければ「偽物かもしれない」と判断します。

たとえば、Google Workspace を使う会社の SPF は「v=spf1 include:_spf.google.com ~all」のような1行で、「Google のサーバーから送るメールは本物」という意味になります。メール配信サービスも使うなら、そのサービスの分を同じ1行に書き足します。

ただし、SPF はメールが転送されると失敗しやすい弱点があります。転送したサーバーは、元の一覧に入っていないためです。

DKIM とは

DKIM とは、送るメールに電子署名を付け、受け取る側が DNS の公開鍵で署名を確かめる設定です。署名が合えば、そのドメインから送られ、途中で書き換えられていないことが分かります。

たとえば、レンタルサーバーで DKIM をオンにすると、サーバーが送るメールに自動で署名が付き、DNS には署名を確かめるための公開鍵が登録されます。Google は、DKIM の鍵は1,024ビット以上、できれば2,048ビットをすすめています。

ただし、メーリングリストなどでメールの件名や本文が書き換えられると、DKIM の署名は合わなくなります。

DMARC とは

DMARC とは、SPF・DKIM で確かめられなかったメールをどう扱ってほしいかを受け取る側に伝え、結果のレポートを受け取る設定です。SPF・DKIM だけでは、失敗したメールの扱いを受け取る側まかせにするしかないためです。

たとえば、DMARC のポリシーを「reject」にすると、自社を名乗る偽のメールは受け取りを拒否されます。受け取る側からは、どのサーバーから自社名義のメールが送られたかをまとめたレポートが届くので、なりすましや設定漏れに気づけます。

ただし、DMARC は SPF か DKIM が設定されていることが前提です。DMARC だけを先に設定しても意味がありません。

アライメントとは

アライメントとは、SPF・DKIM で認証されたドメインが、メールの差出人（From）に書かれたドメインと一致しているかを確かめることです。DMARC は、SPF か DKIM が通っているだけでなく、認証されたドメインと差出人のドメインがそろっていること を合格の条件にしています。

たとえば、メール配信サービスから「info@自社のドメイン」を差出人にして送っても、DKIM の署名が配信サービスのドメインのままなら、アライメントはそろいません。そのメールは SPF・DKIM に通っていても、DMARC では失敗になります。

外部のサービスを使うときは、自社のドメインで DKIM の署名を付ける設定（独自ドメインの認証など）があるかを確かめましょう。

SPF・DKIM・DMARC の設定が必要な理由

SPF・DKIM・DMARC の設定は、2024年以降、自社のメールを相手に届けるための前提になっています。大手のメールサービスが、認証のないメールを迷惑メール扱いにしたり、受け取りを拒否したりするようになったためです。

ここでは、設定が必要な理由を、メールサービスの要件となりすまし対策の2つの面から紹介します。

Gmail・Outlook.com の送信者の要件

Gmail・Outlook.com に送る会社は、送る量に応じて SPF・DKIM・DMARC が求められています。各社の要件を、送る量で整理します。

送り先	すべての送信者	1日5,000件を超えて送る送信者	始まった時期
Gmail（個人のアカウント）	SPF か DKIM	SPF と DKIM の両方、DMARC（none でも可）、差出人のドメインの一致	2024年2月1日
Outlook.com（hotmail.com・live.com など）	−	SPF・DKIM・DMARC	2025年5月5日

※2026年10月時点・Google「メール送信者のガイドライン」、Microsoft の発表より

Gmail は少ない量しか送らない会社にも SPF か DKIM を求めているため、設定がないと取引先の Gmail に届かないことがあります。症状と直し方は 会社のメールが Gmail に届かない原因と直し方 で説明しています。

なりすましメールを止める

SPF・DKIM・DMARC には、自社を名乗る偽のメールを止める役目もあります。DMARC のポリシーを強めると、受け取る側が自社名義の偽のメールを迷惑メールに入れるか、受け取りを拒否するようになるからです。

たとえば、取引先に「振込先が変わりました」という偽のメールが自社の名前で届く被害は、ポリシーを強めることで減らせます。メールが本物と判断されやすくなるため、届きやすさの面でも効果があります。

さらに、DMARC を quarantine か reject にすると、BIMI（対応するメールサービスの受信画面に自社のロゴを出す規格）も使えます。ただし Gmail の BIMI は、ロゴの証明書（VMC か CMC）の取得が別に要ります。

自社の SPF・DKIM・DMARC の設定を確かめる

自社の SPF・DKIM・DMARC の設定は、自分の Gmail にメールを1通送るだけで確かめられます。設定を変える前に今の状態を知っておくと、何が足りないかがはっきりし、不要な作業を減らせます。

ここでは、Gmail で認証の結果を見る方法と、自社の状況別に何をすればよいかの対応表を紹介します。

自分の Gmail で認証の結果を見る

認証の結果は、Gmail の「メッセージのソースを表示」で確かめられます。受け取った Gmail が、メールの頭の部分に認証の結果を書き込んでいるからです。

会社のアドレスから社員の個人の Gmail に1通送り、パソコンの Gmail で返信アイコンの横の「その他」から「メッセージのソースを表示」を選びます（2026年10月時点）。「Authentication-Results」の行の見方は、以下のとおりです。

• spf=pass：SPF が通っている
• dkim=pass：DKIM が通っている
• dmarc=pass：DMARC も通っている
• fail・none・softfail：その設定が足りないか、誤っている

送信者の名前の下の矢印をクリックしたときに、「送信元」「署名元」に自社のドメインが出ているかでも確かめられます。

自社の状況別の対応表

SPF・DKIM・DMARC の作業の量は、自社のメールの使い方で変わります。送り元が多いほど、SPF にまとめるサービスや DKIM を設定する場所が増えるためです。

自社の状況と、主にやることを整理します。

自社の状況	主にやること
HPと同じレンタルサーバーのメールだけを使っている	サーバーの管理画面で SPF・DKIM をオンにし、DMARC を none で公開する
レンタルサーバーのメールに加え、メール配信・予約・ネットショップから自社ドメインで送っている	外部サービスの分を SPF に書き足し、各サービスで DKIM を設定する
Google Workspace・Microsoft 365 でメールを使っている	各サービスの管理画面の手順で DKIM を有効にし、DNS に SPF・DMARC を登録する
DNS をどこで管理しているか分からない	設定より先に DNS の管理場所を確かめる

上の表のどの行に当たるかが分かれば、次の「設定する前に確かめること」に進めます。

SPF・DKIM・DMARC を設定する前に確かめること

SPF・DKIM・DMARC を設定する前に、DNS の管理場所・送っている元・今の設定の3つを確かめます。どれかが抜けたまま作業すると、外部サービスのメールだけ届かなくなったり、元に戻せなくなったりするからです。

ここでは、作業の前に確かめる3つの項目をまとめます。

【設定の前に確かめること】

• DNS をどこの会社の管理画面で設定しているか、ログインできるか
• 自社ドメインを差出人にしてメールを送っているサービスの一覧（社員のメール・HPのフォーム・メール配信・予約・ネットショップなど）
• 今の DNS の設定の記録（画面の写しなど）

DNS の管理場所が分からない場合は、ネームサーバーを調べると分かります。

SPF・DKIM・DMARC の設定手順【5STEP】

SPF・DKIM・DMARC の設定は、送り元の洗い出しから始めて、SPF・DKIM・DMARC の順に進めます。DMARC は SPF・DKIM の結果を使うため、順番を逆にすると自社の正しいメールまで失敗扱いになるおそれがあります。

ここでは、設定の流れを5つのSTEPで紹介し、エックスサーバーの管理画面での例も載せます。

STEP	やること	待ち時間の目安
1	送り元を全部書き出す	−
2	SPF を1つのレコードにまとめる	反映に24〜48時間ほど
3	DKIM を有効にする	反映を待つ
4	48時間以上あけて DMARC を none で公開する	−
5	自分の Gmail で認証の結果を確かめる	−

※待ち時間は Google Workspace 管理者ヘルプの案内より（2026年10月時点）

【STEP1】送り元を全部書き出す

最初に、自社ドメインを差出人にしてメールを送っているものを全部書き出します。書き出しから漏れたサービスは SPF・DKIM に入らず、そこから送ったメールだけが届かなくなるからです。

たとえば、社員が使うメールのサーバーのほか、HPの問い合わせフォームの自動返信、メールマガジンの配信サービス、予約システムの確認メールなどが当たります。経理のクラウドサービスが請求書を自社のアドレスで送っていることもあります。

ただし、すでに使っていないサービスは一覧から外します。SPF に残すと、DNS の参照回数を無駄に使うためです。

【STEP2】SPF を1つのレコードにまとめる

SPF は、書き出した送り元を1つのレコードにまとめて登録します。Google は、SPF のレコードは1つのドメインに1つだけで、複数あると迷惑メールに入る原因になると説明しています。

たとえば、Google Workspace とメール配信サービスを使う会社は、「v=spf1 include:_spf.google.com include:配信サービスの指定 ~all」のように1行に並べます。外部のサービスを足すときは、新しいレコードを作らず、同じレコードに「include:」で書き足します。

ただし、末尾は Google の案内どおり「~all」にします。「-all」は厳しすぎて、正しいメールが届かなくなることがあります。

【STEP3】DKIM を有効にする

DKIM は、メールを送っているサービスの管理画面で有効にし、表示された公開鍵を DNS に登録します。署名を付けるのはメールを送るサーバー側で、DNS には確かめるための鍵を置くしくみだからです。

たとえば、DNS もサーバー会社で管理していれば、管理画面で DKIM をオンにするだけで鍵の登録まで自動で済むことがあります。DNS を別の会社で管理している場合は、表示された DKIM のレコードを DNS の管理画面に書き写します。

ただし、外部のサービスから送るメールは、サービスごとに DKIM の設定が要ります。STEP1 の一覧を見ながら、1つずつ設定しましょう。

【STEP4】48時間以上あけて DMARC を none で公開する

DMARC は、SPF・DKIM の設定から48時間以上あけて、ポリシーを none にして公開します。Google が、SPF・DKIM の設定から DMARC の設定まで48時間以上空けるよう案内しているからです。

DNS に「_dmarc.自社のドメイン」という名前の TXT レコードを作り、最初は「v=DMARC1; p=none; rua=mailto:レポートを受け取るアドレス」のように書きます。「rua=」のあとは、集計のレポートを受け取るアドレスです。

ただし、レポートの送り先は DNS に書かれ、外から誰でも見られます。Google も、個人のアドレスは避けて、専用のメールボックスやグループを使うようすすめています。

【STEP5】自分の Gmail で認証の結果を確かめる

設定のあとは、もう一度自分の Gmail に送って、認証の結果を確かめます。DNS の書き間違いや反映の遅れがあると、設定したつもりでも認証に通らないからです。

確かめ方は、前の見出し「自分の Gmail で認証の結果を見る」と同じです。spf=pass・dkim=pass・dmarc=pass の3つがそろえば、基本の設定は完了です。外部のサービスから送るメールも、1通ずつ自分の Gmail に送って確かめます。

ただし、反映には時間がかかるため、すぐに結果が変わらなくても1日ほど待ってから確かめましょう。

エックスサーバーでの設定の例

エックスサーバーでは、SPF・DKIM・DMARC をサーバーパネルから設定できます。設定の場所は、以下のとおりです（2026年10月時点のマニュアルより）。

• SPF：「SPF設定」で対象のドメインを ON にする
• DKIM：「DKIM設定」で対象のドメインの右端の「OFF」をクリックして「ON」にする。他社のネームサーバーを使っている場合は、「DKIM設定一覧」の「表示」でレコードを確かめ、他社の DNS に登録する
• DMARC：「DMARC設定」で対象のドメインの編集ボタンを押し、ポリシーを選ぶ。選べるのは「何もしない」「迷惑メールとして配送する」「メールを配送しない」

エックスサーバーのマニュアルは、まず「何もしない」を選び、レポート設定を「ON」にして通知先を指定することをすすめています。ほかのサーバー会社でも同じような設定があるので、メニューの場所は各社のマニュアルで確かめましょう。

DMARC のポリシーを段階的に強める方法

DMARC のポリシーは、none から quarantine、reject の順に段階的に強めます。レポートで自社の正しいメールが全部認証に通っていると確かめてから強めないと、外部サービスのメールなどを自分で止めてしまうからです。

ここでは、3つのポリシーの意味と、強めるときの目安を紹介します。

ポリシー	受け取る側への指示	進める目安
p=none	通常どおり届け、レポートだけ送る	最初の様子見。レポートで自社の送り元を確かめる
p=quarantine	認証に失敗したら迷惑メールとして扱う	自社の正しいメールが全部 pass になったと確かめたあと
p=reject	認証に失敗したら受け取らない	quarantine で問題が出ないと確かめたあと

※2026年10月時点・Google Workspace 管理者ヘルプ「DMARC を設定する」をもとに作成

レポートは、受け取る側から XML という機械向けの形式で届くため、そのままでは読みにくいものです。読み取りに慣れていなければ、レポートを集計するツールや、保守を任せている会社の力を借りましょう。

SPF・DKIM・DMARC がうまくいかないときの原因と対処

SPF・DKIM・DMARC がうまくいかない原因は、レコードの重複・参照回数の超過・転送・アライメントの4つが多くを占めます。症状から原因を絞ると、DNS の設定を何度も書き換えずに済みます。

ここでは、よくある症状と原因、対処を表にまとめます。

症状	考えられる原因	対処
迷惑メールに入る・SPF が permerror になる	SPF のレコードが2つある	1つのレコードにまとめる
SPF が permerror になる	include などで DNS をたどる回数が10回を超えている（include 先の分も数える）	使っていないサービスを消す。回数は Google の「Check MX」で確かめる
転送されたメールだけ SPF が fail	転送したサーバーが SPF の一覧に入っていない	DKIM を設定し、DKIM で DMARC に通るようにする
外部サービスのメールだけ DMARC が fail	DKIM の署名がサービスのドメインのまま（アライメントの不一致）	サービス側で自社ドメインの DKIM を設定する
DKIM が fail になる	DNS の公開鍵の書き写し間違い、途中での本文の書き換え	管理画面に表示された値をそのまま貼り直す
設定したのに結果が変わらない	DNS の反映待ち	24〜48時間ほど待って確かめる

※2026年10月時点・Google Workspace 管理者ヘルプ「SPF に関する問題のトラブルシューティング」ほかをもとに作成

上の表で直らない場合は、設定の記録を残したまま、次の見出しの条件に当たらないか確かめてください。

SPF・DKIM・DMARC の設定を専門家に任せるべきとき

SPF・DKIM・DMARC の設定は、レンタルサーバーの管理画面だけで済む場合は自社でも進められます。一方で、DNS を書き間違えると、メールが全部届かなくなったり、HPが表示されなくなったりすることがあります。

ここでは、専門家に任せたほうがよい条件を挙げます。当てはまる場合は、作業を急がずに相談しましょう。

【専門家に任せたほうがよい条件】

• DNS をどこで管理しているか分からない、ログイン情報がない
• 自社ドメインで送る外部のサービスが多く、全部を把握できていない
• DMARC のレポートを読める人がいない
• メールを送らないドメインのなりすましも止めたい（送らないことを SPF・DMARC で示す設定が要る）

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

なりすましメールそのものの防ぎ方は 自社ドメインのなりすましメールを防ぐ方法 で、自社のアドレスから迷惑メールが出ているときは 自社のアドレスから迷惑メールが送られているときの対処 で説明しています。

あわせて読みたい
ドメイン・SSL・メールの期限と設定を、まとめて点検する

まとめ

• SPF は送るサーバーの一覧、DKIM は電子署名、DMARC は認証に失敗したメールの扱いとレポートの設定です
• Gmail は少量しか送らない会社にも SPF か DKIM を求めていて、設定がないと迷惑メール扱いや拒否になります
• 設定は、送り元の洗い出し → SPF を1つにまとめる → DKIM → 48時間以上あけて DMARC を none で公開 → Gmail で確認、の順です
• DMARC はレポートで自社のメールが全部通ると確かめてから、quarantine、reject へ強めます

DNS の管理場所が分からない場合は、設定を触る前に専門家へ相談してください。