WordPress でサイト制作後に「問い合わせフォームからの自動返信が届かなくなった」という相談を受けた。受信はできる。手動でメールを送ると届く。フォームからだけが届かない、という状態。
開いてみると、送信元アドレスの変更と認証設定がかみ合っていない、よくあるパターンだった。
2つの送信元
整理するとこうなっていた。
このサイトには、メールを送る経路が2本ある。
1つは「Google Workspace でのメール送信」。独自ドメインのアドレスから、Gmailとして手動で送るもの。こちらはGoogleのサーバーが送信元になる。
もう1つは「WordPress のフォームからの自動返信」。問い合わせが来た瞬間に、サイトを置いているレンタルサーバーが自動で送信する。こちらはホスティングサーバーが送信元になる。
この2本が、別々のサーバーから送られているのに、同じドメインのアドレスを名乗っている。そこが問題の起点だった。
SPFレコードの欠落
SPF（Sender Policy Framework）は、「このドメインを名乗っていいIPアドレスはどれか」をDNSに登録しておく仕組みだ。受信側のサーバーがSPFを見て、送ってきたサーバーがリストに載っていなければ、怪しいと判断して弾くか迷惑メール扱いにする。
このサイトのSPFレコードには、Google WorkspaceのIPアドレス範囲（Googleに送信を許可する記述）が書かれていなかった。あるいは末尾が1文字欠けていて、そもそも正しく機能していないケースもあった。
どちらにしても結果は同じで、Google Workspace から送ったメールはSPF的には「不審な送信元」として扱われていた。
DKIMが2つある状態
問題はもう一つあった。
サイト制作中に「フォームメールが届かない」という問題が出て、ホスティングサーバー側でDKIM設定を追加した。ところが後から、客側がGoogle Workspace側でも独自にDKIMを設定していた。
DKIMは、セレクターと呼ばれる識別子が違えば同じドメインに複数登録できる。でも、設定が重複しているとどちらが有効か混乱する。実際にはGmailからの送信が「DKIMがGoogleのキーで署名されているのに、サーバー側の設定が邪魔している」という状態になっていた。
単純にサーバー側のDKIMを削除すると、Gmailからは送れるようになる。でもその状態だと、フォームの自動返信が今度は認証なしで飛ぶことになる。どちらかを直すともう一方が壊れる、という状況だった。
整理の手順
依頼主に確認したのは、「送信元が複数ある構成だとわかっているか」という点だった。
メールを送るルートが2本あります。GoogleWorkspaceで手動送信するルートと、フォームからサーバーが自動送信するルートです。それぞれのサーバーが送信元として認証されていないと、どちらかが届かなくなります。
このように伝えてから、SPFに両方の送信元を列挙する対応を取った。ホスティングサーバーと、Google Workspaceのサーバー、両方をSPFレコードに明示的に許可する書き方に直す。DKIMについては、Googleのセレクター（識別子）とサーバー側のセレクターが別の名前になっていれば共存できる。競合していた場合はセレクター名を分けて登録し直す。
「変えたから壊れた」ではなく「元から片方しか設定してなかった」
こういうケースを切り分けるときに気をつけているのは、「直前に何か変えたか」を最初に聞くことだ。
フォームの送信元アドレスを変えた直後に壊れた、というパターンが多い。でも実際には、変えたことで壊れたというより、「以前の設定がたまたまその送信元と一致していただけで、変えたことで不一致が露出した」という場合がほとんどだ。
つまり、送信元を変える前から設定は中途半端だった。変更が引き金になって表面に出てきた、というのが正確なところ。
対処するのはSPFとDKIMだが、「どのアドレスからメールが飛ぶか」をまず整理しないと、レコードを直してもまた同じことが起きる。
Google Workspace を使っているWordPressサイトで起きやすい
このパターンが特に起きやすいのは、こういう構成だ。
- レンタルサーバーにWordPressを置いている
- 独自ドメインのメールはGoogle Workspaceで運用している
- フォームプラグイン（Contact Form 7など）の自動返信の送信元を、Workspace側のアドレスに合わせた
この3つが重なると、フォームがレンタルサーバーから「Google Workspaceのアドレスを名乗って」メールを送る状態になる。SPFにGoogleのIPが入っていないと、受信側は「このサーバーはそのアドレスを名乗る権限がない」と判断して弾く。
Workspaceを導入したタイミングで同時にSPFを更新した人は少ないし、サーバー側のDKIMを設定した人がGoogle WorkspaceのDKIMを把握していないことも多い。管理が分かれているほど、こういうすれ違いが起きる。
設定自体は難しくない。ただ、「どこから何のメールが飛んでいるか」を一覧にしてから手を動かさないと、直したつもりで別の送信元が止まる、ということになりやすい。