- お客様のメールは認証されていません。受信サーバーは、そのメッセージが実際に貴社のドメインから送信されたものであることを確認できません。通常、レコードが欠落しているか、新しいツール（CRM、請求書発行システム、ニュースレター、ウェブサイトのフォーム、ヘルプデスク、さらにはスキャナーなど）が登録されていないか、あるいはSPFレコードが制限を超過し、すべての送信に対して黙って機能しなくなってしまったことが原因です。
- このメッセージはスパムのように見えます。URL短縮サービス、画像が多く文章が少ないもの、大文字の使用、6つのロゴが入った署名、誰も求めていない添付ファイル、あるいは広告のような件名などです。フィルタは、これらそれぞれを評価します。
- お客様のドメインの評判が低下しました。あるメールボックスが乗っ取られ、週末にかけてスパムメールが送信されたり、誰かがOutlookから400人の受信者を対象とした更新情報を、全員をBccに含めて送信してしまったり、あるいは、悪質な隣人がいる共有サーバーを経由してメールが送信されてしまったりすることがあります。
- 受信者側。ルール、メールボックスの容量オーバー、個人のアドレスへの転送、あるいは一度あなたのアドレスを迷惑メールとして認識してしまったフィルターなどが原因です。一般的に考えられているほど頻繁には起こらず、解決できるのは受信者本人だけです。
会社のメールがスパムフォルダに入ってしまう理由と、それを根本的に解決する方法
ビジネス用メールが迷惑メールフォルダに入ってしまう4つの理由、SPF、DKIM、DMARCが実際にどのような役割を果たすのか、GmailやOutlookが現在すべての送信者に求めている要件、そして20分で実行できる確認方法についてご紹介します。
読了時間：8分最終更新日
結論から言うと
10回中9回は、原因が認証にあります。つまり、ご自身のドメインが、どのサービスが貴社名義でメールを送信できるかを外部に明示していないか、あるいは新しいツールを追加した際にそれらのレコードを更新し忘れている可能性があります。GmailやOutlookは現在、すべての送信者に対してSPF、DKIM、DMARCレコードを必須としており、何かが不備があると、黙ってそのメールをスパムフォルダに振り分けてしまいます。レコードを修正し、貴社のドメインからメールを送信するすべてのツールでDKIMを有効にし、DMARCのモニタリングを開始すれば、配信に関する問題のほとんどは1～2日以内に解消されます。
4つの理由（発生の可能性の高い順）
SPF、DKIM、DMARCの実際の機能について
これら3つはすべて、ドメインのDNSにある小さなテキストレコードです。社内の誰もそれらを見ることはありませんが、メールを送信するすべてのメールサーバーがそれらを確認します。
| 記録 | 平易な言葉で説明すると | これがないと何が問題になるのでしょうか |
|---|---|---|
| SPF | お客様のドメイン名を使用してメールを送信することが許可されているサービスのリストです。例としては、Microsoft 365や請求書発行ツールなどが挙げられます。 | リストにないサービスからのメールは送信に失敗します。検索項目が10を超えるリストの場合、すべての検索で失敗します。 |
| DKIM | 各メッセージにデジタル署名が追加され、そのメッセージがお客様のドメインから送信されたものであり、送信中に改ざんされていないことが証明されます。 | メッセージは署名なしで届き、偽造メールと見分けがつきません。 |
| DMARC | 受信者への指示：あなたを装ったメッセージが上記のチェックに合格しなかった場合の対応方法、および報告先の連絡先について。 | 受信者は推測するしかなく、本人が気づかないうちに、誰でもあなたの名前でメールを送信できてしまいます。 |
重要な点が1つあります。それは「整合性」です。受信者が目にする「差出人」アドレスのドメインは、SPFまたはDKIMの検証を通過したドメインと一致している必要があります。あなたのドメインを装って送信しながら、自社のドメインで署名を行うニュースレターツールの場合、そのツール自体はDKIMの検証を通過しても、あなたにとっては依然としてDMARCの検証に失敗することになります。
Gmail、Outlook、Yahoo!が現在求めているもの
2024年以降、大手メールプロバイダー各社は推測に頼るのではなく、ルールを公表するようになりました。そして2025年後半、Googleは拒否件数を増やすなどして、ルールの適用を強化しました。2026年10月時点での各社の公表要件は以下の通りです：
| 要件 | Gmail（すべての送信者） | Outlook.com および Yahoo |
|---|---|---|
| SPFおよびDKIM | 両方の設定 | これらはいずれも、1日あたり約5,000通以上のメッセージを送信する方に向けた設定となっていますが、それ以外の方々にも強く推奨されます。 |
| DMARCレコード | 公開済み、少なくとも p=none | 公開済み、少なくとも p=none、SPF または DKIM に準拠 |
| ドメイン別 | はい、SPFまたはDKIMに対応しています | はい |
| リバースDNSおよびTLS | 必須 | 期待される |
| スパム苦情率 | 0.3％未満、0.1％を目標とします | 低水準に抑えられています。マイクロソフトは評判を注意深く見守っています。 |
| ワンクリックで配信停止 | 大量送信者からのマーケティングメール | 大量送信者からのマーケティングメール |
これらのルールは、個人のGmail、Outlook.com、およびYahooのメールアドレス宛てに送信されるメールを正式な対象としています。実際には、Microsoft 365とGoogle Workspaceはビジネス用メールボックスに対しても同様のチェックを適用しているため、お客様がどのサービスをご利用であっても、対処方法は同じとなります。
20分間のチェック
- ご自身のドメインから送信されるすべてのものをリストアップしてください。Microsoft 365やGoogle Workspace、CRM、請求書発行や給与計算ツール、ニュースレター配信プラットフォーム、ウェブサイトの問い合わせフォーム、ヘルプデスク、カレンダーや予約ツール、そしてメールにスキャンして送信できるあのプリンターなどです。ほとんどのドメインでは、5つから8つほどあります。
- SPFレコードをご確認ください。必ず1つだけである必要があります。リストにあるすべてのサービスを含み、DNSルックアップが10回以下であり、末尾が「-all」または「~all」で終わる必要があります。2つ目のSPFレコード、または11回目のルックアップがある場合は、すべて不合格となります。
- DKIMをすべての場所で有効にしてください。Microsoft 365では、Defenderポータルの「メール認証設定」にあります。Google Workspaceでは、「アプリ」→「Google Workspace」→「Gmail」→「メールの認証」にあります。各サードパーティ製ツールには独自のDKIM設定があり、追加すべきDNSレコードが2つまたは3つ指定されます。
- DMARCを監視レベルで公開します。p=none に設定し、報告先アドレスを指定したレコードを作成しても、現時点では何も変わりませんが、数日以内に、報告には、あなたが忘れていたサービスや、あなたになりすましている者を含め、あなたとして送信を行っているすべてのサービスが表示されます。
- テストを送信して、結果をご確認ください。個人のGmailアカウントにメールを送信し、メッセージを開いて「オリジナルを表示」を選択し、「SPF: PASS」、「DKIM: PASS」、「DMARC: PASS」と表示されているかご確認ください。Outlook.comでも、メッセージヘッダーに同様の情報が表示されます。1つでも「FAIL」と表示されていれば、どのレコードを修正すべきかが正確にわかります。
- DMARCのセキュリティ対策を段階的に強化してください。2～4週間、問題のないレポートが続いた後、p=quarantine（隔離）に移行し、その後p=reject（拒否）に移行してください。reject（拒否）の状態になると、誰もあなたの名義でメールを送信できなくなり、受信者はあなたのメールをより信頼するようになります。
認証のように見えますが、実際にはそうではない問題
- 侵害されたメールボックス。一晩で配信率が低下した場合は、まず何よりも先に、影響を受けたアカウントのサインインログと受信トレイのルールを確認してください。攻撃者は、返信を非表示にするルールを追加し、本物のアカウントからスパムを送信することがあります。
- 通常のメールボックスからの一括送信。OutlookやGmailは、キャンペーンではなく、会話のために設計されています。数百件の連絡先への一斉送信は、適切なツールで行うべきです。news.yourcompany.com のようなサブドメインから送信することで、万が一問題が発生してもメインドメインに影響が及ばないようにします。
- 署名やリンク短縮サービスが多用されています。画像の数を減らし、短縮URLは使用せず、人が書いたような自然な文章にしてください。
- まったく新しいドメインです。履歴のないドメインについては、最初の数週間は疑わしいものとみなされます。まずは少量の送信から始め、自然な会話を行うようにしてください。
- 購入またはスクレイピングされたリスト。苦情率が0.3パーセントを超えると、1週間ごとにプロバイダーからの評価が低下し、記録を修正してもその状態は解消されません。
順序をそのままにしてください
- SPFおよびDKIMにメールを送信する新しいツールは、設定された当日にすべて追加してください。
- DMARCレポートを毎月ご自身で確認するか、誰かに確認してもらうようにしてください
- マーケティングメールや取引関連のメールは、それぞれ独自のサブドメインで管理してください
- Google Postmaster ToolsおよびMicrosoftの送信者ツールで、苦情発生率をご確認ください。
- 受信トレイのルールや転送設定を作成できるユーザーを確認してください。これらは、攻撃者が真っ先に変更しようとする項目だからです。
通常、以下の4つのうちのいずれかが原因となります：SPFに追加されていない新しいツールが、お客様のドメインから送信を開始した、SPFレコードのルックアップ数が10件の制限を超えた、メールボックスが侵害された、あるいは2025年後半にGoogleが行ったように、プロバイダーが規制を強化した、といったケースです。上記の20分間のチェックで、どの原因であるかを特定できます。
はい。現在、GoogleはGmailアドレス宛てにメールを送信するすべての送信者に対してDMARCレコードの設定を義務付けており、Outlook.comも大規模な送信者に対して同様の要件を設けています。p=noneに設定したレコードは、何も変更せず、費用もかかりません。また、これが、誰があなたを装ってメールを送信しているかを確認する唯一の方法です。
p=none では発生しません。問題は、すべての正当なサービスが通過する前に隔離または拒否に移行した場合にのみ発生します。そのため、まずは数週間、レポートを確認しています。
はい。これらのレコードはお客様のドメインのDNSに保存されており、メールを送信するプラットフォームやツールに関係なく適用されます。異なるのは、DKIMを有効にする場所のみです。
Microsoft 365はSPFおよびDKIMの設定に含まれていますが、CRMは含まれていないか、あるいはCRMがお客様のドメインではなく独自のドメインで署名を行っているためです。各ツールには、この問題を解決するためのDKIM設定が用意されています。
ほとんどのドメインでは、レコードの修正は1日で完了します。DMARCの設定を段階的に引き上げて安全に拒否設定を行うには、レポートの確認に数週間かかります。また、傷ついたレピュテーションは、数週間にわたる正常な送信によって回復します。
SF3 Technologiesの支援内容
お客様のドメインから送信されているすべてのサービスを特定し、SPFを修正し、Microsoft 365、Google Workspace、および各ツールでDKIMを有効にし、DMARCを公開してレポートを確認しながら拒否設定を段階的に強化します。これにより、お客様のメールが確実に届き、他者がお客様の名前でメールを送信できなくなります。これらのレコードは、お客様のDNSおよびテナント内に残り、お客様ご自身の管理下にあります。
送信者に関する要件は、2026年10月時点でGoogleおよびMicrosoftが公表している内容に基づきますが、時間の経過とともに変更される場合があります。閾値を基準とする前に、各プロバイダーの最新の送信者ガイドラインをご確認ください。