SendGridは、単純なSPFのincludeではなくドメイン認証（CNAME）で最もよく認証されます。SendGridでドメインの送信者認証を設定し、生成されたCNAMEレコード（return-pathとDKIMセレクタ s1/s2 用）を公開します。これで整合したSPFとDKIMが得られ、メールがDMARCを通過します。
SendGridの送信者認証は、ブランド化されたreturn-pathとDKIMをあなた自身のドメインの下に公開します。これこそDMARCの整合に必要です。旧来の include:sendgrid.net 単独ではSendGridのドメインを認証し、あなたのドメインではないため、SPFは合格してもDMARCが失敗することがあります。
SendGridで Settings → Sender Authentication → Authenticate Your Domain。3つ以上のCNAMEレコード（例：em1234、s1._domainkey、s2._domainkey）をDNSに追加し、Verifyをクリックします。
公開後:
$ dig CNAME s1._domainkey.yourdomain.com +short今すぐSPFレコードを確認
無料のSPFチェッカーを開く →SendGridのドメイン認証を使う場合（推奨）、共有includeは追加しません。CNAMEのreturn-pathが整合したSPFを処理します。
あなたがDNSを編集せずに鍵をローテーションできるようにするためです。CNAMEはSendGrid管理のレコードを指します。
