SPF・DMARC確認ツール：ドメインのメール設定を調べる

使い方

ドメインに、example.comのようなドメインを入力します。
分かる場合は、署名されたメッセージからDKIMセレクタ（googleやselector1など）を入力します。分からなければ空欄のままにします。
ドメインを確認を押します。SPFの設定のDNS照会の回数（上限10）は、10以下に収まる必要があります。
DMARCの方針を読みます。noneは監視だけを行い、quarantineとrejectは失敗したメールに作用します。

SPFが確認すること

SPF（RFC 7208）は、そのドメインからメールを送ってよいサーバーを、TXTレコードに並べて公開する仕組みです。受信側は、送信元のドメインを取り、そのSPFレコードを読み、左から右へ各項目と送信サーバーを照らし合わせます。最初に当てはまった項目が、その修飾子によって結果を決めます。+は通過（何も書かない場合の既定）、-は失敗、~はソフトな失敗、?は中立です。

include、a、mx、ptr、exists、redirect は、それぞれ1回のDNS照会を使い、含まれたレコードの照会も数えます。受信側は10回で止めて結果をエラーとみなすため、大規模なメール設定は、気付かれないままSPFを壊すことがあります。
ip4と ip6は照会を使いません。アドレスの範囲を公開しているサービスは、その範囲で書けます。
同じ名前にSPFレコードが2つあるとエラーです（RFC 7208、4.5節）。ptr は使うことが勧められていません（5.5節）。

DMARCの役割

DMARC（RFC 7489）は、ドメインの確認に失敗したメールを受信側がどう扱うか、また報告をどこに送るかを指定します。_dmarc の後にドメインを付けた名前のTXTレコードで、セミコロンで区切ったタグから成ります。p は方針、sp はサブドメインの方針、pct は方針が適用される失敗メールの割合、rua は集計レポートの宛先、adkim と aspf は整合で、r は緩和、s は厳格を表します。

このツールは、入力したドメインの前に _dmarc を付けた名前のレコードを読みます。そこにレコードがない受信側は組織ドメインも見ますが、このツールはその組織ドメインを求めません。

DKIM鍵

DKIMは、各メッセージに鍵で署名し、その公開鍵をセレクタの下でDNSに公開します。名前は、セレクタ、._domainkey、ドメインを並べたものです（RFC 6376、3.6.1節）。ページは、RSA鍵の種類と、公開鍵から読み取れる鍵のサイズを示します。鍵が空なら失効しています。Ed25519の鍵（RFC 8463）は、256ビットの固定サイズです。

このツールが行わないこと

メールを送ったり、実際のメッセージを試したりはしないため、メールが通るかどうかは判断できません。
%{d} のようなマクロを展開しないため、マクロを使うレコードでは、照会の回数が受信側と違うことがあります。
DMARCの組織ドメインを求めず、結果が空の照会も確認しません。

例：1つのドメインのSPFとDMARCのレコード

SPFのレコード v=spf1 +mx a:colo.example.com/28 -all は、ドメインのメールサーバーと、/28のネットワーク内にある colo.example.com のアドレスから、メールを送ることを認めます。ほかの送信元はすべて失敗します（-all）。このレコードが使うDNS照会は2回で、mxとaです。

DMARCのレコード v=DMARC1; p=reject; rua=mailto:[email protected] は、確認に失敗したメールを拒否し、集計レポートを [email protected] に送るよう受信側に求めます。

確認	結果
SPFのDNS照会の回数	2
方針（p）	reject
レポート（rua）	[email protected]

よくある質問

SPFのレコードがあれば、なりすましメールを防げますか？

いいえ。SPFが確認するのは、メッセージを送ったサーバーで、読み手が見るFromの名前ではありません。DKIMと、p=none より上のDMARC方針と組み合わせてください。

SPFのレコードが、照会の回数が多すぎて失敗するのはなぜですか？

include、a、mx、ptr、exists、redirect は、それぞれ1回のDNS照会を使い、それらがたどるレコードの照会も数えられます。合計が10を超えると、受信側はSPFをエラーとみなします。使っていない include を削除するか、提供者が公開する ip4や ip6の範囲を使ってください。これらは照会を使いません。

どのDMARC方針を使うべきですか？

p=none と rua のアドレスから始め、数週間レポートを読んで、実際のメールが通ることを確かめます。その後 quarantine に移し、レポートに問題がなくなったら reject にします。

DKIMセレクタとは何ですか？

DKIMレコードの ._domainkey の前にある名前です。送信サービスごとに別のセレクタを使い、署名されたメッセージは、DKIM-Signatureヘッダーの s= タグにそれを書きます。送ったメールのヘッダーを開くと、確認できます。

鍵のサイズは何を意味しますか？

RSA鍵では、ビットで表したモジュラスの長さです。鍵のサイズは、1024や2048のように書かれるのが普通です。コピーの途中でレコードが切れたり壊れたりすると、鍵は読めず、ページはその旨を示します。

このツールは、ドメインを誰かに送りますか？

確認する名前だけが、選んだDNSリゾルバーにDNSの問い合わせとして送られます。当サイトが保存することはなく、ページのほかの部分はお使いのブラウザの中にとどまります。

出典

数値と文章の最終確認日：2026年11月10日火曜日。

使い方