SPFメカニズム

SPFメカニズムとは

SPFメカニズムとは、SPFレコード内で定義される個々のルールで、どのメールサーバーがそのドメインのメールを送信する権限を持つかを指定します。各メカニズムは送信元IPアドレスに対して異なる種類の照合を行い、メールがSPF検証に合格するか失敗するかを受信側が判断するのを助けます。SPFメカニズムを適切に使うことで、正当なメッセージは認証され、認可されていないメッセージは拒否されます。

SPF（Sender Policy Framework）は、これらのメカニズムをv=spf1で始まるDNS TXTレコードで公開することで機能します。受信側のメールサーバーはそのレコードを確認し、送信元IPが許可されたエントリのいずれかに一致するかどうかを調べます。

代表的なSPFメカニズム

SPFレコード内の各メカニズムは、特定の種類の送信者を認可または拒否するルールを定義します。最も一般的なメカニズムは次のとおりです。

• a ： ドメインのAまたはAAAAレコードのIPアドレスを認可します
• mx ： ドメインのメールサーバー（MXレコード）のIPアドレスを認可します
• ip4 ： 特定のIPv4アドレスまたは範囲を認可します（例：ip4:192.0.2.0/24）
• ip6 ： 特定のIPv6アドレスまたは範囲を認可します
• include ： 別のドメインのSPFレコードを参照します（例：サードパーティの送信者）
• exists ： DNSルックアップを実行し、認可を動的に判断します
• all ： すべてのIPに一致します。通常は末尾に置かれ、デフォルトのルールを定義します

SPFレコードの例：

このレコードでは、ドメインは指定したIP範囲とGoogleのメールサーバーからのメールを認可し、それ以外のすべてを拒否します（-all）。

修飾子と評価

各メカニズムには、受信側が一致をどう解釈すべきかを指定する修飾子を含めることができます。

• + Pass ： IPは認可されています（デフォルト）
• - Fail ： IPは認可されていません
• ~ Softfail ： IPは認可されていませんが、メールは受理され、マークが付けられることがあります
• ? Neutral ： 明確な結果はありません

メカニズムは左から右へと評価されます。一致が見つかった時点でSPFの評価は停止し、対応する結果が適用されます。

SPFメカニズムがメール到達性とセキュリティに果たす役割

正確なSPFメカニズムは、到達性とセキュリティの両方を維持するうえで欠かせません。誤ったメカニズムや冗長なメカニズムは、検証エラーやDNSルックアップの過負荷を招き、メッセージの失敗やSPFルックアップ上限の超過につながります。

ベストプラクティスには次のものがあります。

• SPFレコードをDNSルックアップ10回未満に保つ
• 不要な「include」の連鎖を避ける
• サードパーティの送信者を定期的に監査する
• テストが済んだら-allを使って厳格なポリシーを適用する

SPFメカニズムとDMARCeye

DMARCeyeは、すべての送信ドメインにわたってSPFメカニズムを分析し、正確性とコンプライアンスを確認します。認証失敗の原因となりうる冗長なinclude、設定を誤ったIP範囲、上限を超えるDNSルックアップを、このプラットフォームが浮き彫りにします。

SPFメカニズムを実際の送信挙動と対応付けることで、DMARCeyeは組織が効率的で安全、かつ完全にコンプライアンスを満たしたSPF設定を維持し、最適な到達性を実現できるよう支援します。

ご自身のSPFレコードを確認しましょう：

DMARCeyeの無料トライアルに登録して、メールドメインを保護しましょう。

DMARCおよび関連用語について詳しくは、DMARCeye用語集をご覧ください。