SPFやDKIMがPASSしているのに「アライメントエラー」になる理由と対処法

  • 更新

クライゼルでメールを送信した際、SPF判定は「PASS」になっているにもかかわらず、DMARC検証で「アライメントエラー」が表示されることがあります。

1. なぜ「アライメントエラー」が起きるのか？

DMARCにおける「アライメント」とは、「送信元メールアドレス（From）」と「実際に配信を行ったサーバーのドメイン（Return-Path）」が一致しているか、または「送信元メールアドレス（From）」と「DKIM署名に使用するドメイン（d=タグ）」が一致しているか、をチェックする仕組みです。

  • クライゼルの仕組み クライゼルでは、メール配信エラーを自動解析するために、エラー通知の受信用アドレス（Return-Path）にトライコーン所有のドメインを使用しています。

  • SPFがPASSする理由 Return-PathのドメインにはあらかじめトライコーンのSPF設定が行われているため、単体のSPFチェックとしては「PASS」します。お客様側の特別な設定は不要です。

  • DKIMがPASSする理由 クライゼルから配信するメールは、お客様側でDKIM作成者署名を設定しない限り「トライコーンが作成した第三者署名」が付与されて配信されます。単体のDKIMチェックとしては「PASS」します。

  • アライメントエラーになる理由 お客様が設定した「差出人メールアドレス（From）」のドメインと、クライゼルが使用する「Return-Path」のドメインが異なるため、「一致していない＝SPFアライメントエラー」と判定されます。また、DKIMについても第三者署名であるためFromのドメインと異なり、アライメントエラーとなります。

DMARC：FAILの図
※Gmailのヘッダ検証画面例（メール右上のメニューから、原文を表示を押下）。SPFはPASSしているにもかかわらず、DMARCがFAIL（アライメントエラー）となっています。また、DKIMもお客様にて設定しない限り「第三者署名」となるため、DKIMでもPASSが表示されてもアライメントがとれずFAILとなります。

 

2. どうすればいいの？（対策と優先順位）

「DKIM作成者署名」を設定することで、DMARCをPASSさせることができます。

DMARC認証は、「SPF」または「DKIM」のどちらか一方でアライメントが成功していれば「PASS」と判定されます。

対策①：【必須】DKIM作成者署名を設定する

お客様のドメインで「DKIM作成者署名」を設定してメールを送信してください。 これにより、SPFでアライメントエラーが出ても、DKIM側でアライメントが成功し、DMARC認証全体としてPASSするようになります。

※クライゼルでは、DMARCをPASSさせるために「DKIM作成者署名」の設定を必須とさせていただいております。

対策②：【推奨】FromドメインへのSPFレコード追加

差出人（From）アドレスのドメインにも、クライゼルのSPFレコードを設定しておくことを推奨します。 送信元ドメインの信頼性が高まり、迷惑メール扱いされるリスクをさらに低減できます。

※ただし、DNSの参照回数上限「10回制限」などで設定が難しい場合は、サブドメインのメールアドレスドメインを作成するか、まずは対策①の「DKIM作成者署名」を優先してご対応ください。

まとめ

  • 原因： 差出人アドレス（From）とシステム側の管理用アドレス（Return-Path）のドメインが異なるため。

  • 対処： 「DKIM作成者署名」を必ず設定してください。 これによりDMARCは問題なくPASSします。

  • 補足： 差出人ドメインへのSPF設定は、可能な範囲で実施することをおすすめします。


※DKIM作成者署名を正しく設定すると、DMARCがPASSとなります。

 

関連