## この記事でわかること

- Cloudflare Email Routing の仕組み
- 受信専用構成の SPF / DMARC 設定
- 送信は外部 SaaS（Gmail / Resend 等）と組み合わせる方法
- よくある罠と対処

## Cloudflare Email Routing とは

![Cloudflare Email Routing の構成](/blog/cloudflare-email-routing-auth/architecture.svg)

[Cloudflare Email Routing](https://www.cloudflare.com/email-forwarding/) は **無料のメール転送サービス**。`info@example.co.jp` 宛のメールを自分の Gmail / Outlook に転送できます。

特徴:
- **完全無料**（Cloudflare の DNS を使っていれば）
- カスタムドメインで受信、Gmail で運用というハイブリッド構成が可能
- **送信機能はない**（受信専用）

中小企業のユースケース:
- 創業初期で Gmail / Outlook の個人アカウントを使いつつ、`info@example.co.jp` のような会社メールを受け取りたい
- メールサーバを持たず、低コストでドメインメールを受けたい

## 受信専用構成の SPF 設定

Email Routing は **受信専用** なので、`example.co.jp` から送信メールが出ません。SPF レコードは:

```
example.co.jp  TXT  "v=spf1 -all"
```

これは「**このドメインから送信メールは一切出ない**」という宣言。スプーフィング対策として最強。

ただし、**個別の通知メール**（例: お問い合わせフォームからの自動返信）を別途送信する場合は、その送信元を include に追加:
```
example.co.jp  TXT  "v=spf1 include:_spf.resend.com -all"
```

## DMARC の設定

```
_dmarc.example.co.jp  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@example.co.jp"
```

受信専用ドメインは **`p=reject` から始められる**のがメリット。送信メールが存在しないので、なりすまし送信は全て拒否して問題ありません。

## DKIM は不要

Email Routing は受信のみなので、DKIM 鍵を DNS に置く必要はありません。送信用 SaaS（Resend / SendGrid 等）を併用する場合のみ、その SaaS の DKIM 鍵を別途設定。

## Gmail との連携

![Email Routing + Gmail 連携](/blog/cloudflare-email-routing-auth/gmail-integration.svg)

### 受信のみの構成
1. Cloudflare Email Routing で `info@example.co.jp` → 個人 Gmail に転送
2. Gmail で「Send as」を設定（オプション、別途 SMTP リレー必要）

### Gmail から `info@example.co.jp` で送信したい場合
Email Routing には送信機能がないので、Gmail の「Send as」で SMTP リレーを設定する必要があります:
1. **Resend**（無料 3,000 通/月）の SMTP を使う
2. Gmail Settings → Accounts → Send mail as → Add another email address
3. SMTP host: `smtp.resend.com` / port: 465 / SSL / username: `resend` / password: API key
4. 認証用メールが Cloudflare Email Routing 経由で個人 Gmail に届くので確認をクリック

これで Gmail から `info@example.co.jp` として送信可能。送信側は Resend の SPF/DKIM が機能。

## よくある罠

### 罠 1: Email Routing 設定で MX レコードが上書きされる

Cloudflare Email Routing を有効化すると、自動的に以下の MX レコードが追加されます:
```
example.co.jp  MX  10 isaac.mx.cloudflare.net
example.co.jp  MX  20 linda.mx.cloudflare.net
example.co.jp  MX  30 amir.mx.cloudflare.net
```

既存に Microsoft 365 / Google Workspace の MX があると **上書きされて Email Routing に切り替わります**。Email Routing 有効化前に必ず既存 MX を保存し、**併用は不可能**であることを認識してから移行。

### 罠 2: SPF を `v=spf1 -all` だけにすると外部サービスが死ぬ

`v=spf1 -all` は厳格すぎて、お問い合わせフォーム / アプリからの通知メール / アンケート送信等が全て拒否されます。**送信元の SaaS が 1 つでもあれば必ず include で追加**。

### 罠 3: DMARC `p=reject` 直行で通知メールが拒否される

受信専用と思っても、Webhook 通知 / コーポレートサイトのお問い合わせ自動返信などで意外と送信メールがあります。**まず `p=none` で 4 週間観察**、想定外の送信元がないか確認してから `p=reject` へ。

詳しくは [DMARC 設定方法](/blog/dmarc-setup-guide) を参照。

## まずは現状を把握しましょう

[無料ドメイン診断](/diagnose) で SPF / DKIM / DMARC の状態を 30 秒で確認できます。Cloudflare Email Routing 切り替え前後の比較にもご利用ください。

設定支援が必要な場合は [メール認証 初期診断＋設定](/contact)（8 万円〜）でご相談ください。

関連記事: [Klaviyo のメール認証](/blog/klaviyo-email-auth) / [Brevo のメール認証](/blog/brevo-email-auth) / [DMARC 設定方法](/blog/dmarc-setup-guide)

SSL 証明書、Web セキュリティヘッダ、サブドメイン棚卸しの単発チェックも合わせて [無料ツール一覧](/tools) にまとめています。