複数のメールサービス併用時のSPF・DKIM・DMARC — 統合ルールと設計の定石

Google Workspaceで業務メール、配信サービスでメルマガ、CRMから通知——今どきの会社は、1つのドメインから複数のサービスでメールを送っています。このときの設定には明確なルールがあります。覚えるのは「SPFは1本に統合、DKIMはサービスごとに追加、DMARCは1本だけ」。 これだけです。

SPF：1本のレコードにinclude:を並べる

SPFレコードは1ドメインに1本だけ。サービスを追加するたびに、同じ1本の中にinclude:を追記します。

（例）Google Workspace ＋ 配信サービスの統合レコード
v=spf1 include:_spf.google.com include:配信サービス指定の値 ~all

やってはいけないのは、サービスごとにSPFレコードを2本、3本と作ること。2本以上あると恒久的エラー（permerror）となり、全部が無効扱いになる危険があります。

また、include:を足していくと、いずれ「DNSルックアップ10回制限」の壁に当たります。3サービス以上を併用しているなら、10回制限の解説と対策を一度確認してください。

DKIM：サービスごとに「別の印鑑」を追加する

DKIMはSPFと違い、統合の必要がありません。サービスごとに別のセレクタ（印鑑の名前）でレコードを追加すれば、いくつでも共存できます。

重要なのは、各サービスで自社ドメインの署名（カスタムDKIM）を有効にすることです。配信サービス側の初期設定（配信会社ドメインの署名）のままでは、DMARCの合格につながりません（→アライメント解説）。

DMARC：何サービス使っていても1本だけ

DMARCはドメインに対する方針宣言なので、サービスがいくつあっても_dmarc.example.comに1本です。すべてのサービスでSPF・DKIMのアライメントが揃っているかは、DMARCレポートで経路ごとに確認できます。

設計の定石：用途別にサブドメインを分ける

すべてを1つのドメインで送ることもできますが、規模が大きくなってきたら用途別のサブドメイン分離が定石です。

example.com        … 社員の業務メール
news.example.com   … メルマガ・キャンペーン
notice.example.com … システム通知・取引メール

分ける利点は2つあります。第一に評判（レピュテーション）の分離。メルマガへの苦情が業務メールの到達率まで下げる、という巻き添えを防げます。第二に認証管理の単純化。サブドメインごとにSPFが独立するため、10回制限にも余裕ができます。

注意点として、差出人に使うサブドメインには、SPF・DKIMに加えてAまたはMXレコードも置いておくと、携帯キャリア宛ての互換性が上がります（→キャリア宛て対策）。

サービス追加時のチェックリスト

1. SPF：既存レコードにinclude:を追記（新規レコードを作らない）
2. ルックアップ数を診断で確認（10回以内か）
3. DKIM：そのサービスのカスタムDKIMを有効化
4. テスト送信してAuthentication-Resultsで3つのpassを確認（→ヘッダーの見方）
5. 台帳に記録（どのレコードがどの契約か →送信システム台帳）

よくある質問

Q. 配信サービスから「このTXTを登録してください」と言われました。既存のSPFはどうすれば？

A. 渡された値がv=spf1で始まる完全なレコードなら、そのまま登録せず、include:部分だけを既存レコードに取り込んでください。丸ごと2本目として登録するのが最頻出の事故です。

Q. 同じinclude:を重複して書いてしまいました。問題ありますか？

A. 動作上は無害ですが、ルックアップを無駄に消費します。1つに整理してください。

Q. サブドメインを分けたら、DMARCもサブドメインごとに必要ですか？

A. 親ドメインのDMARCがサブドメインにも自動適用されるため、必須ではありません。サブドメインだけ別ポリシーにしたい場合に個別のレコードを置きます。

関連：SPFとは｜DKIMとは｜設定値ジェネレーター