SPFレコードの書き方と設定マニュアル｜複数サービスのinclude対応版（コピペOK）
SPF（Sender Policy Framework）レコードの意味と、自社のドメインを「なりすまし」から守るための具体的な設定手順を解説します。特に間違いが起こりやすい「Google Workspaceとメルマガ配信スタンドなど、複数のサービスを併用する場合のinclude（インクルード）の正しい書き方」をコピペ可能なテンプレートで提示しています。この記事の手順通りにDNS設定を行うことで、Gmailのセキュリティ要件をクリアし、営業メールやメルマガを確実に顧客の受信トレイへ届けるための安全な基盤が完成します。
BtoBの営業メールやメルマガを送信する際、メールが迷惑フォルダに入ってしまう最大の原因は「送信者の身元証明」ができていないことです。
SPF（エスピーエフ）は、メール送信における「運転免許証」のような基本の身分証明システムです。これを設定していないと、受信側のサーバー（GmailやOutlookなど）から「このメールは送信元を偽装した詐欺メールかもしれない」と判定され、相手に届かなくなってしまいます。
プロのエンジニアでなくても、ルールさえ押さえれば自社で確実に設定が可能です。設定の準備から実際の書き方、登録後の確認方法まで、実務ですぐに使えるマニュアルとして整理しました。
目次
SPFレコードとは？なぜ設定が必要なのか
SPFレコードとは、「うちの会社のドメイン（@your-company.com）からメールを送ることを許可しているサーバーのリスト」のことです。
あなたがメールを送った相手の受信サーバー（Gmailなど）は、メールを受け取る前にあなたのドメインのSPFレコードを確認しにいきます。そこに「このサーバーから送られてきたメールは本物です」と書かれていれば受信トレイに届け、書かれていなければ「なりすましの疑いあり」として迷惑フォルダに振り分けたり、受信を拒否したりします。
特定電子メール法を遵守し、ドメインの信用（レピュテーション）を高く保って高い開封率を維持するためには、避けては通れない必須の設定です。
受信側のサーバーは、メールを受け取る前に必ずあなたのドメインのDNSへ「この送信元は許可されているか？」を問い合わせます。ここに正しいSPFレコード（v=spf1…）が登録されていれば、なりすましではないと証明され、安全に受信トレイへ届けられます。
STEP1：現在のメール送信環境を洗い出す（準備）
SPFレコードを書き始める前に、自社のドメインを使ってメールを送っている「すべてのサービス（サーバー）」をリストアップする必要があります。ここで漏れがあると、漏れたサービスから送ったメールが「なりすまし」と判定されてしまいます。
以下のチェックリストを確認し、該当するものをメモしてください。
- 普段の業務で使っているメールサービス（Google Workspace、Microsoft 365など）
- 自社のWebサイトを置いているレンタルサーバー（さくらインターネット、エックスサーバーなど）
- 営業メールの一斉配信に使っている配信スタンド・システム
- マーケティングオートメーション（MA）ツール
- Webサイトの「お問い合わせフォーム」からの自動返信システム
STEP2：SPFレコードを作成する（コピペ用テンプレート）
送信元を洗い出したら、実際にDNSに登録するための「テキスト（SPFレコード）」を作成します。
基本の構文ルール
SPFレコードは、必ず以下の形で記述します。
v=spf1 [許可するサーバー情報] ~allv=spf1：これはSPFレコードです、という宣言（必須です）。~allまたは-all：リストにないサーバーからのメールをどう処理するかという指示です。
~all（Soft Fail：怪しいが一旦通す）は、設定テスト中の安全な選択肢です。万が一設定に漏れがあってもメールが完全に消滅することはありません。-all（Hard Fail：絶対拒否する）は、セキュリティが最も高い状態です。まずは ~all で運用を開始し、すべて正常に届くことを確認してから -all に切り替えるのが実務上のベストプラクティスです。
ケース別の記述例と「include（インクルード）」の使い方
よく検索される「include（インクルード）」とは、「外部のクラウドサービス（Googleや配信システムなど）が指定するSPF情報を、そのまま自社に取り込む」ための便利な呪文のようなものです。各ケースに合わせてコピペしてご活用ください。
パターンA：固定のIPアドレス（自社サーバー等）を指定する場合（ip4）
特定のIPアドレスのみを許可する場合は ip4: を使います。
v=spf1 ip4:192.0.2.0/24 ~allパターンB：Google Workspace（Gmail）のみを使用している場合
Googleのサーバーを許可する include 記述を含めます。
v=spf1 include:_spf.google.com ~allパターンC：【重要】複数のサービスを併用している場合（合体させる）
「普段の業務はGoogle Workspace、メルマガは専用の配信システムを使っている」というように複数のサービスを併用する場合、SPFレコードを2行に分けて書いてはいけません。必ずエラーになります。
1つのドメインにつきSPFレコードは「1行だけ」という厳格なルールがあります。そのため、半角スペースを空けて include: を繋げて書き、1行に合体させます。
❌ 間違った書き方（2行に分かれている）
v=spf1 include:_spf.google.com ~all
v=spf1 include:spf.example-mail.com ~all⭕ 正しい書き方（半角スペースで繋いで1行にする）
v=spf1 include:_spf.google.com include:spf.example-mail.com ~all※自社の配信システムの「include文字列」が分からない場合は、各システムの管理画面やヘルプセンターで「SPF設定」と検索して確認してください。
STEP3：DNSサーバーに登録する
作成したSPFレコードのテキストを、自社のドメインを管理しているサービス（お名前.com、ムームードメイン、AWS Route53、エックスサーバーなど）のDNS設定画面に入力します。
- ドメイン管理画面にログインし、「DNS設定」または「DNSレコード設定」のメニューを開きます。
- 「新しいレコードを追加する」ボタンを押します。
- 以下の内容で登録し、保存します。
| ホスト名（サブドメイン） | 空欄、または @（管理画面の仕様によります） |
|---|---|
| TYPE（レコード種別） | TXT を選択します。 |
| VALUE（値・内容） | STEP2で作成した1行のテキスト （例： v=spf1 include:_spf.google.com ~all） |
STEP4：正しく設定できたか確認する
DNS設定を保存しても、インターネット全体にその情報が反映されるまでには数十分から最大24時間程度かかることがあります。少し時間を置いてから、以下のツールを使って正しく設定できているか確認してください。
ブラウザのオンラインツールで確認する（推奨）
MXToolbox（SPF Check）などの無料オンラインツールを使えば、コマンド操作なしで簡単に確認できます。
- MXToolbox（https://mxtoolbox.com/spf.aspx）にアクセスします。
- 自社のドメイン名（@より後ろの部分）を入力し、「SPF Record Lookup」をクリックします。
- 結果画面に緑色で「SPF Record Found」と表示され、登録した内容が確認できれば成功です。赤色でエラーが出た場合は、記述に半角スペースの抜けがないか、複数行設定してしまっていないか見直してください。
まとめ｜SPFはセキュリティ設定の「入り口」
SPFレコードを正しく設定することで、あなたのメールが「なりすましではない正規のメール」として受信サーバーに認められ、営業メールの到達率が飛躍的に安定します。
ただし、SPFだけでは「メールの途中の改ざん」までは防げません。現在のGmail等の厳しいセキュリティ要件を完全にクリアし、最高水準の到達率を確保するためには、SPFに加えて「DKIM（電子署名）」と「DMARC（ポリシー宣言）」の3点セットを設定することが必須となっています。
SPFの設定が無事に完了したら、次は以下のガイドを参考にDKIM・DMARCの設定に進み、強固な配信インフラを完成させましょう。
👉 あわせて読みたい：到達率を守るための必須設定
SPFレコードに関するよくある質問（FAQ）
Q1.SPFレコードを2つ（2行）書いてもいいですか？
A.いいえ、絶対に書いてはいけません。1つのドメインにつき、SPFレコード（TXTレコードで v=spf1 から始まるもの）は「1行のみ」という国際的なルールがあります。2行設定してしまうと構文エラーとなり、SPF認証自体が無効になってしまいます。複数のサービスを利用する場合は、1行の中に半角スペースを空けて「include:」を複数記述して合体させてください。
Q2.「~all」と「-all」の違いは何ですか？
A.認証に失敗した（リストにないサーバーから送られてきた）場合の処理の厳しさの違いです。「~all（Soft Fail）」は「なりすましの疑いがあるが、一旦迷惑フォルダ等へ通す」という緩やかな処理です。「-all（Hard Fail）」は「完全に拒否して破棄する」という厳しい処理です。設定ミスのリスクを考慮し、導入初期は「~all」から始めるのが安全です。
Q3.SPFの設定には費用がかかりますか？
A.SPFレコードの設定自体には費用はかかりません。現在ご自身が契約しているドメイン管理会社（レジストラ）の管理画面から、無料で行うことができます。
Q4.サブドメインからメールを送る場合、設定はどうなりますか？
A.サブドメイン（例：mail.example.com）を送信元アドレスとして使う場合は、親ドメイン（example.com）の設定とは別に、そのサブドメイン専用のSPFレコードをDNSに登録する必要があります。親ドメインの設定は自動では引き継がれません。
この記事の執筆にあたり参照した公的資料・リファレンス
- IETF (Internet Engineering Task Force) RFC 7208：
Sender Policy Framework (SPF) の国際技術仕様 - Google Workspace 管理者ヘルプ：
SPF を使用してなりすましと迷惑メールを防止する