SPF・DKIM・DMARC チェッカー
ドメインのメール認証をまとめて確認できます。SPF レコードとその DNS ルックアップ数、DKIM 鍵、DMARC ポリシーをそれぞれ判定し、何を直せばよいかを分かりやすく示します。無料・登録不要です。
ドメインをチェック
メールの From: アドレスのドメインを入力してください。レコードは公開 DNS からリアルタイムで読み取ります。
ドメインを入力して「チェック」を押してください。
まだ何もチェックしていません。
問い合わせはブラウザーから HTTPS で Google Public DNS に直接送られます。当サイトのサーバーには何も送られず、記録も保存もされません。
メールが信頼されるかどうかは3つの DNS レコードで決まります。SPF はドメインから送信してよいサーバーの一覧、DKIM は各メッセージの署名を検証する鍵の公開、DMARC は両方が失敗したときに受信側がどうするか、レポートをどこへ送るかの指定です。どれか1つでも欠けていると、メールが迷惑メールに入ったりドメインがなりすましに使われたりします。このツールは3つすべてを読み取り、それぞれの結果を説明します。
主なメリット
よくある用途
使い方
- 1.ドメインを入力する。 From: アドレスのドメイン（例:
example.jp）を入力します。メールアドレスや URL でもドメインを取り出して使います。 - 2.分かれば DKIM セレクターを入力する。 空欄なら一般的なセレクターを試します。本当のセレクターは、送信したメールの DKIM-Signature ヘッダーにある
s=の値です。 - 3.「ドメインをチェック」を押す。 SPF、DKIM、DMARC を並行して問い合わせます。それぞれに判定と、分かりやすい所見の一覧が表示されます。
- 4.直して再チェック。 DNS ホスティングでレコードを変更し、もう一度チェックします。反映にはレコードの TTL 分の時間がかかることがあります。
各レコードの役割
3つは連携して働きます。SPF と DKIM がメッセージの正当性を証明し、DMARC がそれを見た目の From: ドメインに結び付けてポリシーを決めます。
ip4: や include: などでサーバーを列挙し、~all か -all で終わります。ちょうど1件でなければなりません。include、a、mx、exists、redirect はそれぞれ DNS ルックアップ1回分で、入れ子の include も数えます。10回を超えると永続的エラーです。p= が空なら鍵は失効しています。_dmarc. にドメインを続けた名前の TXT です。p= タグがポリシーで、none、quarantine、reject のいずれかです。主な機能
- SPF・DKIM・DMARC をまとめて確認し、それぞれを判定
- SPF の include と redirect をたどり、ルックアップ数を上限10と比較
- +all、?all、all の欠落、ptr、SPF の重複を指摘
- 一般的な DKIM セレクター17個、または入力したものを試し、鍵長を推定
- DMARC ポリシー、サブドメインポリシー、pct、レポート宛先を読み取り
- ドメイン、メールアドレス、URL のどれでも入力可能
- 問い合わせはブラウザーから HTTPS で Google Public DNS に直接送信
合格でも受信トレイ到達が保証されるわけではありません
これらのレコードが証明するのは「誰が送ったか」です。受信側は送信者の評判、内容、苦情率、送信量も考慮するため、SPF・DKIM・DMARC が完璧なドメインでも迷惑メールに入ることがあり、修正の効果が配信に表れるまで数日かかることもあります。
DMARC は段階的に導入しましょう。まず p=none と rua アドレスで始め、正規の送信元がすべて合格するまでレポートを読み、その後 quarantine、最後に reject に移行します。DMARC レポートの読み方ガイドで確認すべき点を、DNS ルックアップツールでその他のレコードを確認できます。
よくある質問
SPF、DKIM、DMARC の違いは何ですか？⌄
SPF はドメインからメールを送ってよいサーバーの一覧です。DKIM は各メッセージに暗号署名を付け、DNS で公開した鍵で検証させます。DMARC は見た目の From: ドメインについて SPF か DKIM の合格を求め、不合格時の扱いを指定し、レポートの送付を依頼します。3つすべてが必要です。
DKIM 鍵が見つからないと表示されるのはなぜ？⌄
DKIM 鍵は セレクター._domainkey.あなたのドメイン に置かれ、セレクターはメールに署名するサービスが決めるため、DNS から調べることはできません。このツールは一般的なセレクターを試します。あなたのものが違う場合は、送信したメールの DKIM-Signature ヘッダーで s= を確認し、セレクター欄に入力してください。
SPF の「DNS ルックアップが多すぎる」とは？⌄
SPF は評価中の DNS ルックアップを最大10回までしか認めず、include、a、mx、exists、redirect を、取り込んだレコード内のものも含めて数えます。10回を超えると結果は永続的エラーになり、すべてのメッセージで SPF が失敗します。使っていないサービスを削除するか、include を対応する ip4・ip6 の範囲に置き換えてください。
~all と -all のどちらを使うべき？⌄
DMARC を設定していれば、最終判断は DMARC が行うのでどちらでも構いません。送信元のサービスをまだ洗い出している段階なら ~all（softfail）が安全です。-all（fail）はより厳格です。インターネット全体を許可する +all は決して使わないでください。
DMARC は p=none で十分ですか？⌄
出発点としては正しいですが、そこで止まるべきではありません。p=none は監視のみで、失敗したメールも配信されるため、なりすましは防げません。レポートで正規の送信元がすべて合格するのを確認したら、p=quarantine、続いて p=reject に移行しましょう。Google と Yahoo は大量送信者に少なくとも DMARC レコードを求めています。