01
調べたいサブドメインをそのまま入力
URLやメールアドレスではなくドメイン名を使います。親ドメインに自動変換しません。SPFと_dmarcは親子で異なる場合があります。「例」は入力を埋めるだけで通信しません。
メールDNS
メール認証チェック公開レコードを照会
ドメインを入力し、分かる場合だけDKIMセレクターを追加してください。照会は手動です。
メール認証チェック
空欄ならDKIMは照会しません。署名済みメールのヘッダーにあるs=か配信サービスの設定を確認してください。
ドメインを入力するか例を読み込み、確認を開始してください。
確認を押したときだけ、ブラウザーからドメインと任意のセレクター名をHTTPSでCloudflare Public DNSへ送ります。メールは送信しません。
ドメインを入力するか例を読み込み、確認を開始してください。
メールサービスを切り替えた直後は、管理画面の設定と外から見えるDNSが一致しないことがあります。メール認証チェックは入力したサブドメインを勝手に親ドメインへ変更せず、その名前の現在の応答を調べます。
メール認証チェックでは「レコードなし」と「リゾルバーの失敗」を分けます。MXレコード確認とSPF・DMARC・DKIMの結果を原文のまま照合でき、緑の表示だけで実際のメール認証や到達を保証しません。メール配信設定チェッカーのような送達評価ではなく、SPF DKIM DMARC確認を公開DNSの範囲に絞ります。
メール認証チェックを使う理由
取得できた値と、取得しなかった範囲を同じ画面で確かめられます。
DKIMの空欄を「未設定」と誤読しない
メール認証チェックはMX、SPF、入力名の_dmarcを照会します。セレクターが空欄ならDKIMは「未確認」。いくつかの名前を推測して、見つからなかった鍵を全体の欠落と判定しません。
SPFの参照先にも終点を設ける
includeとredirectの先を最大5階層、追加12名まで追います。欠落やタイムアウトも分岐ごとに見えます。上限に達したら打ち切りを明示し、SPF認証に合格したとは表示しません。
DNSを変更する前に照会名をそろえる
02
署名のセレクターだけ追加
DKIM公開鍵の名前はセレクター._domainkey.ドメインです。署名ヘッダーのs=が不明なら空欄のままにしてください。照会はボタンかCtrl/Cmd+Enterで始まります。
03
TTLと失敗状態を見分ける
「レコードなし」はSERVFAILやHTTPS接続失敗とは別です。変更直後の再確認には照会時間とTTLが役立ちます。入力を変更すると古い結果はコピーできなくなります。
公開DNSから読み取れる三つの手がかり
配送先と認証TXTを分けて表示
MXは優先度順に並べ、明示的に受信を拒否するNull MXも示します。SPF、DMARCと指定したDKIMは照会した名前と原文を残し、設定画面との照合に使えます。
SPF参照を有界でたどる
直接のDNS照会要素と、到達可能なinclude・redirectの先を表示します。同じ名前を再照会せず循環を避けます。12名の上限は通信量の予算であり、RFCの10回制限に適合した証拠ではありません。
項目ごとの状態と所要時間
取得、欠落、失敗、未確認を個別に表示し、応答にあればTTLも添えます。リゾルバーの障害を空レコードとして扱わず、入力変更後は結果コピーを止めます。
公開レコードだけでは断定できないこと
- 実行すると照会名が外部へ送られる
- 入力中や例の読み込みでは問い合わせません。確認を押すとブラウザーがCloudflare Public DNSへドメインとセレクター由来の名前を送ります。リゾルバーの可用性とプライバシー方針が適用されます。
- セレクター未入力はDKIM未確認
- すべてのDKIMセレクターを列挙するDNS名はありません。メール認証チェックは空欄を「未確認」と表示します。指定した名前に鍵がなくても、別のセレクターまで否定できません。
- レコードは実際の配信結果ではない
- 送信元IP、署名済み本文、Fromの整合、送信評判を調べません。SPF・DKIM・DMARCの記録があっても受信箱への到達や個別メールの認証成功は保証できません。
- DMARCとMXの照会範囲は限定的
- 入力名の_dmarcだけを確認し、RFC 9989のDNSツリー探索は行いません。MXがない場合もSMTPにはアドレス記録への代替経路があります。Null MXだけが受信しない意思表示です。
- SPFの展開は完全な評価ではない
- 予算を超えるincludeやredirectは照会せず、送信者情報が必要なマクロも飛ばします。直接要素の数や途中までの木からpassや10回制限の判定はできません。
メール認証チェックのよくある質問
DKIMのセレクタがわかりません。
配信サービスのDKIM設定か、実際に署名されたメールのDKIM-Signatureヘッダーにあるs=を確認してください。推測した名前では別の鍵を見落とすことがあります。
設定したのに「未設定」と表示されます。
登録したセレクターと入力した名前が異なる場合や、変更がリゾルバーへまだ伝わっていない場合があります。照会名、TTL、エラー状態を見比べてください。
DMARCのポリシーはどれを設定すべきですか？
p=noneは正しい監視用の値です。実際の送信元とレポートを確認しないままrejectへ進める判断は、このページでは行いません。
SPFレコードの「Too many DNS lookups」とは？
RFCの10回制限は送信元IPと評価された分岐に依存します。ここでは参照先を上限付きで表示するだけで、完全なSPF評価として合否を出しません。
検索履歴はサーバーに保存されますか？
このページは履歴を保存しません。ただし手動実行したDNS名はCloudflare Public DNSに送られ、同サービスのプライバシー方針が適用されます。
サブドメインの認証も確認できますか？
はい。入力したサブドメインをそのまま照会します。親ドメインのDMARCポリシー継承を含む完全な認証判定ではなく、その名前の現在の記録確認です。
まだ疑問がありますか？