はじめに

Amazon SES（Simple Email Service）を使ってメール送信をしようとしたとき、DNSの設定も済ませたはずなのに「検証保留（pending）」から進まないことはありませんか？

ググると「DNSがちゃんと反映されてるか確認しましょう」という説明が多いですが、それだけでは原因が分からず困ることも多いです。

本記事では、

初心者の方でも「なぜダメなのか」が分かるように解説していきます。

検証保留とは？

SESでドメイン認証（特にDKIM認証）を行う場合、
SESが提示するCNAMEレコードをDNSに設定する必要があります。

しかし設定後もSESの管理画面で以下のような状態になることがあります：

[検証保留] DNS 設定はまだ検証されていません

この「検証保留」状態は、SESがまだCNAMEレコードを正しく検知できていないことを意味しています。

原因	確認ポイント	対処
DNSレコード未反映	TTLの待機時間が足りない	数分〜最大72時間かかる。digやnslookupで確認
CNAMEのホスト名ミス	example.com ではなく xxx._domainkey.example.com	SESの管理画面から正確にコピー
ホスト名の省略ミス	xxx._domainkey.example.com の登録が xxx._domainkey.example.com.example.com になってることも	FQDN（.で終わる完全な名前）で登録する
レコード競合	同一の_domainkeyを他サービスが使ってる	DKIMを共有しない、用途を分ける
外部DNS管理で未反映	Route53以外のDNSで登録し忘れ	管理者に伝えて設定を依頼

以下のコマンドで、CNAMEが正しく設定されているかを確認できます：

nslookup -type=CNAME xxx._domainkey.example.com

返ってきたCNAMEの値がSES指定のものと一致しているか確認します。

または dig を使ってもOK：

dig xxx._domainkey.example.com CNAME

以下のような流れで検証が行われます

[SES] ── CNAMEレコード確認 ──▶ [DNS] （Route53など）
     ◀── 正しい値なら承認、誤っていれば保留のまま

種類	目的	設定方法
SPF	なりすまし送信の防止（IP制限）	TXTレコードで送信元IP範囲を指定
DKIM	メールの改ざん検知	CNAMEレコードで公開鍵を設定

以上です！

この記事が、SESの「検証保留」で詰まった誰かの助けになれば幸いです。

ご意見・補足があればぜひコメントで教えてください！