よくある原因
迷惑メール振り分けの主な引き金は「SPF未設定」「DKIM署名なし」「本文にフィッシング的なリンク」「件名に数字羅列（OTPコード）が含まれる」の4点だ。チェックリストを設計するときはこの4点を起点にして、各項目が何を防ぐための確認かを担当者が理解できるよう説明を添えると運用が定着しやすい。
OTPメールが迷惑フォルダに入る頻度は受信者の使うメールサービスによっても異なる。GmailはSPF/DKIM重視、Outlookは本文のリンクパターンを重視する傾向がある。両方の基準を満たすような送信設定をデフォルトにしておくと、どのメールサービスを使う受信者にも安定して届く。
- 相手がログインなしで開ける状態か確認する
- PCとスマホで最低1回ずつ表示を確認する
- 内部情報・個人情報・不要な外部送信が残っていないか見る
- レビュー期限と修正時の差し替え方を決めておく
自分側で確認すること
送信設定チェックの第1項は「SPFレコードにギガサイト便の送信IPが含まれているか」をMXToolboxで確認することだ。コマンドラインが使える環境なら`dig TXT yourdomain.com`でも確認できる。IPが含まれていなければDNSレコードを更新し、反映まで最大48時間かかることを念頭に置いておく。
第2項は「自分宛にテスト認証コードを送って実際の受信状況を確認する」だ。自分のGmailとOutlookの両方で受け取れるか確認しておくと、受信者から報告が来る前に問題を検知できる。特にOTPコードを使うフローのリリース前には必ず実施する。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
相手側で確認すること
受信者への案内には「認証コードのメールが届かない場合は迷惑メール・スパムフォルダを先にご確認ください」という一文を共有URLと一緒に送っておく。事前に案内しておくことで「届かない！」という問い合わせ自体を減らせる効果がある。
企業ドメインの受信者は社内メールフィルタが強い場合がある。その場合は「no-reply@gigasite.jp（実際の送信ドメイン名）をホワイトリストに追加するようIT部門に依頼してください」という具体的な操作を案内に加える。ホワイトリスト登録依頼の文面テンプレートを添付すると受信者が社内申請しやすくなる。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
再発防止の運用
チェックリストをCI/CDパイプラインやリリースフローに組み込む場合、DNS設定の確認は自動化できる。シェルスクリプトで`dig TXT`を実行してGitHub ActionsやCircleCIのチェックとして実行すれば、設定変更時に自動で異常を検知できる。
月に一度、テスト認証コードを自分のGmailとOutlookに送って受信トレイに届いているか確認する定期点検を設ける。DNS設定が知らないうちに変更されていたり、送信IPが変わっていることがあるため、定期的な死活確認が重要になる。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
よくある質問
DMARCを設定するとOTPメールの到達率は上がりますか？
はい、DMARCを設定してSPFとDKIMが整合していれば、Gmail・Outlookともに信頼スコアが向上します。最初は`p=none`（モニタリングのみ）で始め、レポートを確認してから`p=quarantine`に移行するのが安全です。
認証コードが届くまでの時間はどれくらいかかりますか？
通常はメール送信ボタンを押してから1〜3分以内に届きます。5分以上かかる場合は迷惑メールフォルダを確認するか、ページをリロードして認証コードを再送信してください。
複数の受信者に同じURLを共有する場合、一人が迷惑メールと報告すると他の人にも影響しますか？
個人の迷惑メール報告は自分のアカウントにのみ影響します。ただし同じIPから大量に報告が蓄積されるとドメインの送信者スコアが下がるため、フィードバックループを設定してスパム報告を自動検知する仕組みを持つことが重要です。