SPF -all（ハードフェイル）

SPF -allとは何ですか？

SPF（Sender Policy Framework）レコードの-allメカニズムは、認可されていないメール送信者に対して可能な限り厳格なポリシーを定義します。これは、SPFレコードに明示的に列挙されたIPアドレスやドメインから来ていないメールをすべて拒否するよう、受信メールサーバーに指示します。

要するに、-allは「リストになければ失敗させる」という意味です。

SPFレコードの例:

このレコードは、GoogleのSPFエントリによって認可されたサーバーだけが、そのドメインのメール送信を許可されていることを示します。同じドメインを使ってメールを送信しようとする他のサーバーは、すべて拒否されるべきです。

SPF -allの仕組み

SPFレコードは、どのメールサーバーが自社ドメインを代理してメッセージを送信できるかを指定するDNS TXTエントリです。これは、メカニズム（ip4、include、aなど）と、メッセージが一致した場合、あるいは一致しなかった場合に何をするかを示す修飾子で構成されます。

-all修飾子は、最後のルールとして機能します。

• 受信メールサーバーは、各メカニズムを順番に評価します。
• 一致が見つからない場合、-allの指示は、そのメッセージのSPF認証を失敗させるようサーバーに伝えます。

その他のよく使われる修飾子には次のものがあります。

• ~all → Softfail（受け入れるが、疑わしいものとしてフラグを付ける）
• ?all → Neutral（ポリシーなし）
• +all → Allow all（すべて許可。推奨されません）

-allを使うことで、ドメイン所有者はハードフェイルを強制し、定義された送信元だけが正当であると示します。

SPF -allが重要な理由

-allを使うと、なりすましやフィッシング攻撃に対するドメイン保護が大幅に強化されます。これがないと、認可されていないサーバーが自社ドメインから来たように見えるメッセージを送信でき、受信者をだましたり、送信者としての評判を損なったりする可能性があります。

ハードフェイルは、メール受信側やDMARCポリシーが決定的な対応を取るのに役立ちます。たとえば次のとおりです。

• SPFが失敗し、DMARCアライメントが適用されている場合、そのメッセージは隔離または拒否されます。
• セキュリティシステムは、SPFを通過したメッセージをより信頼できるため、誤検知を減らせます。

ただし、すべての正当な送信元を確認する前に早まって-allを導入すると、正当なメールが配信に失敗することがあります。テスト中はまず~all（softfail）から始め、SPF設定が完全に検証されたら-allに移行するのがベストプラクティスです。

SPF -allとDMARCeye

DMARCeyeは、自社ドメインのメールをどのサーバーが送信しているかを監視することで、組織が安全に-allポリシーへ移行できるよう支援します。詳細なDMARCレポートを通じて、DMARCeyeは各送信元がSPFチェックを通過しているか失敗しているかを示すため、適用を厳格にする前に正当なシステムを簡単に特定できます。

準備が整えば、DMARCeyeの分析により、SPFの-all構成が正当なトラフィックをブロックすることなくDMARCポリシーを支えられるようになります。

ご自身のSPFレコードを確認しましょう：

DMARCeyeの無料トライアルに登録して、メールドメインを保護しましょう。

DMARCおよび関連用語について詳しくは、DMARCeye用語集をご覧ください。