よくある原因
認証コードメールが迷惑メール扱いになる最大の要因は「差出人ドメインのSPFレコードが設定されていない、またはギガサイト便の送信IPが含まれていない」ことだ。受信サーバーはSPFチェックに失敗したメールを自動でスパムフォルダに振り分けるよう設定されていることが多い。
HTMLメール形式でOTPを送った場合、本文中のリンクテキストと実際のURLが異なるとフィッシング判定されやすくなる。認証コードを含むメールはプレーンテキストで送るか、リンクを使わずコード6桁のみを本文に記載する形式が誤検知を減らすうえで有効だ。
- 相手がログインなしで開ける状態か確認する
- PCとスマホで最低1回ずつ表示を確認する
- 内部情報・個人情報・不要な外部送信が残っていないか見る
- レビュー期限と修正時の差し替え方を決めておく
自分側で確認すること
まず送信元として表示されているメールアドレスのドメインのDNS設定を確認する。DNSチェックツール（MXToolboxなど）でSPFレコードを調べ、ギガサイト便が使用する送信IPアドレスが`ip4:`リストに含まれているかを確認する。含まれていなければDNSレコードを更新する必要がある。
ギガサイト便の管理画面でメール送信テストを行い、自分のGmailアドレスに送って受信状況を確認するのも有効だ。Gmailの場合は受信したメールを開いて「…」(詳細)→「メッセージのソースを表示」でSPF/DKIMの認証結果を確認できる。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
相手側で確認すること
受信者に「迷惑メールフォルダを確認してください」と案内するのは最初の対処として正しいが、同時に「差出人アドレスを連絡帳に登録するか、迷惑メールでない旨を報告してください」とも伝える。一度「迷惑メールでない」と報告したメールアドレスからは、次回から受信トレイに届くようになる確率が上がる。
受信者が企業ネットワークを使っている場合、メールサーバー管理者がドメインブラックリストを設定していることがある。「IT管理部門に該当ドメインのホワイトリスト登録を依頼してください」とアドバイスすると、組織ぐるみの問題を根本から解決できる。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
再発防止の運用
新しいドメインでギガサイト便を設定するたびに、DNS設定チェックをリリース前の必須工程に組み込む。SPF・DKIM・DMARCの3つをあらかじめ確認するチェックシートを作成し、設定担当者が変わっても同じ品質を維持できる体制を整えておくと良い。
認証コードの有効期限が短すぎると、迷惑フォルダを確認する間に期限切れになってしまうという問題が重なる。有効期限を15分以上に設定することで、受信者がフォルダを探す時間的猶予を確保できる。短すぎる有効期限は利便性を下げるだけで、セキュリティ上のメリットはほとんどない。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
よくある質問
Gmailのスパムフィルターをすり抜けるためにできることはありますか？
SPF・DKIMの設定に加えて、DMARC（ポリシーをquarantineまたはrejectに設定）を導入するとGmailの信頼スコアが上がります。また送信IPのウォームアップ（少量から徐々に送信数を増やす）も効果的です。
認証コードのメールが届かないとき、代替の認証手段を用意する必要がありますか？
ギガサイト便ではメール認証に加えてパスワード認証を組み合わせることができます。メールが届かない場合の予備手段として、パスワードも別途伝えておくと受信者を待たせずに済みます。
送信元メールアドレスをno-reply@自社ドメインにすると迷惑メール判定されやすくなりますか？
no-replyアドレス自体が原因になることは少ないですが、自社ドメインにSPFが設定されていない場合は迷惑メール判定リスクが高まります。ドメインのSPFレコードを正しく設定すれば問題は解消されます。