SPF・DMARCレコード生成・構文チェック
メール送信元の認証に使う SPF と DMARC の TXT レコードを、フォームの入力から組み立てます。すでに設定しているレコードを貼り付ければ、先頭の v=spf1、all の位置、DNSルックアップ10回の上限、pct の範囲、rua の mailto: 形式などもチェックします。DNSへの問い合わせは行わず、入力内容はブラウザ内だけで処理され、サーバーには送信されません。メール系の周辺ツールには mailtoリンク生成 もあります。
🔒 ブラウザ内で完結・入力データはサーバーに送信されません
入力すると、TXTレコードを登録するホスト名を表示します（未入力なら example.com の例を表示）。
SPFレコードを作成
redirect は all を使わないときだけ有効です。「末尾の指定」を「指定しない」にすると出力に含まれます。
生成結果
DNSへの登録内容
| タイプ | TXT |
|---|---|
| ホスト名（名前） |
既存レコードの構文チェック
使い方
- 「SPF」か「DMARC」を選び、「ドメイン」に自分のドメインを入力します。
- フォームの項目を設定すると、「TXTレコードの値」がその場で組み立てられます。
- 「レコード値をコピー」で値をコピーし、表示された「ホスト名（名前）」にTXTレコードとして登録します。
- 設定済みのレコードは「既存レコードの構文チェック」に貼り付けて確認します。
注意事項
- DNSへの問い合わせは行わないため、現在公開されているレコードの取得や、include 先の中身の展開はできません。ルックアップ回数は貼り付けたレコード内だけを数えた概算で、include 先でさらに使われる分は含みません。実際の上限判定には、各 include 先も含めて確認してください。
- SPF は1つのドメインにつき1レコードだけにします。複数の v=spf1 レコードがあると permerror になるため、既存のレコードがある場合は統合してください。
- DMARC を導入するときは、まず p=none と rua でレポートを集め、正規の送信元が SPF か DKIM で認証できていることを確認してから quarantine、reject へ強めるのが安全です。DKIM の署名設定は別途メール送信サービス側で行います。
- 別ドメインのメールアドレスを rua に指定する場合、受信側のドメインで報告の受け入れを許可する DNS レコードが必要になることがあります。
- DNS管理画面によっては、ホスト名にドメイン部分を含めず _dmarc とだけ入力する仕様のものがあります。画面の説明に従ってください。反映には TTL に応じた時間がかかります。
用語解説
SPF（Sender Policy Framework）
どのサーバーがそのドメインの名前でメールを送ってよいかを、DNSのTXTレコードで宣言する仕組みです。受信側は送信元IPと照合します。
DMARC
SPFとDKIMの結果がヘッダーFromのドメインと一致（アライメント）しているかを判定し、失敗したメールの扱い（none / quarantine / reject）と報告先を指示する仕組みです。
DKIM
メールに電子署名を付け、送信ドメインの公開鍵（DNS）で検証する仕組みです。DMARC はSPFかDKIMのどちらかが通ってアライメントしていれば合格とします。
アライメント（adkim / aspf）
認証に使ったドメインと、メールのFromドメインがどこまで一致していればよいかを決める設定です。relaxed は親ドメインが同じなら可、strict は完全一致が必要です。
permerror
SPF レコードの構文ミスやルックアップ上限超過などで、受信側が判定を続けられなくなる恒久的なエラーです。多くの受信側で SPF が失敗扱いになります。
よくある質問
SPFのDNSルックアップ10回上限とは何ですか？
SPFの評価では、include・a・mx・ptr・exists・redirect を処理するたびにDNS問い合わせが発生し、合計10回を超えると受信側が permerror としてSPFを無効扱いにします。ip4・ip6・all は数えません。include 先のレコードの中でさらに使われる分も合算されるため、このツールの表示（貼り付けたレコード内だけの概算）より実際の回数は多くなることがあります。
SPFレコードを2つ登録してもよいですか？
いけません。1つのドメインに v=spf1 で始まるTXTレコードが複数あると permerror になります。送信サービスが増えたときは、レコードを増やさず、1つのレコードに include や ip4 を追記して統合してください。
-all と ~all のどちらを選べばよいですか？
-all は許可していない送信元を失敗（fail）、~all は soft fail として扱います。送信元を網羅できていないうちは ~all で運用して様子を見て、すべての正規の送信元を登録できたら -all にするのが一般的です。DMARC を併用している場合、どちらでも SPF の失敗として DMARC に伝わります。+all は誰でも送信できる設定になるので使わないでください。
DMARCはいきなり p=reject にしてよいですか？
推奨しません。SPF や DKIM を設定していない正規の送信元（請求書システムやメール配信サービスなど）のメールまで拒否される恐れがあります。まず p=none と rua で集計レポートを集め、正規の送信元がすべて認証に通ることを確認してから、pct を使って quarantine、reject へ段階的に強めてください。
レコードが255文字を超えるとどうなりますか？
DNSのTXTレコードは1つの文字列が255文字までで、長い値は複数の文字列に分けて登録します。多くのDNS管理画面は自動で分割しますが、対応していない場合は、このツールの「255文字ごとに分割した表記」を使ってください。また、DNS応答全体が約450バイトを超えるとTCPでの取得が必要になり、失敗する受信側もあるため、SPFでは include や IP を整理するのが安全です。
このページをシェア