メール設定の診断

機能

• MX・SPF・DMARC、そして指定したセレクタの DKIM を一度に取得
• SPF が必要とする DNS 照会の回数（include / a / mx / ptr / exists / redirect）を数え、上限 10 回に近づくと警告
• SPF の終端の実際の効果を説明：`-all` は拒否、`~all` は迷惑メール扱い、`?all` は判断せず、`+all` はポリシーなしと同じ
• DMARC の 3 つのポリシーを実際の動作に翻訳：`none` は監視のみで遮断せず、`quarantine` は迷惑メールへ、`reject` はそのまま拒否
• サブドメインポリシー、適用割合、集約・失敗レポートの宛先、DKIM/SPF アラインメントを項目ごとに分解
• `p=` の欠落を指摘 —— その場合 DMARC レコード全体が無効です
• DKIM の公開鍵が空のとき、それは意図的な失効（RFC 6376）であり「未設定」ではないと説明
• SPF や DMARC が無い場合は、その結果（誰でもなりすませる）をはっきり書きます
• DNS 回線を切り替え可能。主回線が無応答なら自動で予備回線へ

使い方

1. 送信元のドメイン名を入力（通常は裸のドメイン）
2. DKIM も調べるならセレクタを入力。分からなければ空欄で構いません
3. 「実行」を押す
4. 説明に従い、DNS 事業者か登録業者側で不足している項目を追加する

よくある質問

SPF の行が「このレコード内」となっているのはなぜですか？

SPF の 10 回という上限は連鎖全体で共有されるためです。`include:` した先のドメインはさらに独自の照会を加算し、入れ子になっても同じ 10 回に含まれます。正確に数えるには連鎖全体を再帰的に解決する必要があり、それは別の規模のツールです。したがってここではこのレコード内の機構だけを数え、その旨を明記しています —— 表示される数字は下限で、実際の合計はそれ以上にしかなりません。

SPF を設定しているのに「返りませんでした」と言われます。なぜですか？

ゾーン頂点の TXT レコードセットが大きくなることがあり、リゾルバはその一部しか返さないためです。推測ではなく実測です：同じ cloudflare.com に対して、Alibaba Cloud は複数回の照会で 0 件・17 件・15 件を返し、Tencent は 3 件・4 件・4 件を返し、しかも 2 つの回線で内容が一致しませんでした。そこでこのツールはゾーン頂点の TXT を2 つの回線で照会して統合し、両者が一致しない場合はその旨を明示します。SPF が返らなかった場合も「このドメインに SPF が無い」と断定せず、「今回の照会では返らなかった」とだけ述べます。設定しているはずの場合は、別の DNS 回線で再試行してください。

SPF が 10 回を超えるとどうなりますか？

`permerror` を返します。重要なのはその挙動で、SPF は通過も失敗もしなくなり、まったく評価されません —— その結果、どのサーバーでもあなたのドメインを騙って送信でき、しかも SPF レコードは正常に見えたままです。だからこそ「include をもう一つ足す」は危険な操作なのです。

DMARC を設定したのに、なりすましメールが届きます。

まずポリシーの行をご覧ください。`p=none` であれば、DMARC はレポートを送るだけで何も遮断しません —— 実際に止めるには `p=quarantine`（迷惑メールへ）か `p=reject`（拒否）が必要です。まず `p=none` で様子を見て誤判定がないことを確認し、それから段階的に強めるのが一般的です。あわせて、集約レポートの宛先（`rua`）が実際に読んでいるメールボックスかを確認してください。

DKIM のセレクタとは何で、どれを入れればよいですか？

セレクタは DKIM を設定したときに自分で決めた名前で、`<セレクタ>._domainkey.<ドメイン>` の下に公開鍵を公開するために使います。1 つのドメインに複数（ローテーション用）を同時に置けるため、どれかを指定する必要があります。よくあるのは `google`（Google Workspace）、`selector1` / `selector2`（Microsoft 365）、`s1` / `s2`（SendGrid）です。メール事業者の DNS 設定や管理画面で確認できます。

公開鍵が「失効済み」と表示されるのはどういう意味ですか？

そのレコードの `p=` が空であるという意味です。RFC 6376 §3.6.1 により、空の `p=` は意図的で合法な値であり、「この鍵は廃止したので信用しないでほしい」を表します —— メール事業者が DKIM 鍵をローテーションする際に行う処理です（Google は日付で名前を付け、古いものに空のレコードを残します）。したがって設定ミスではなく、通常は対応不要です。ただしそれが現在署名に使っているセレクタである場合は別です。