SPFクエリ制限とは何ですか？
SPFクエリ制限とは、SPF（Sender Policy Framework）の評価で実行できるDNSルックアップの最大回数を指します。この制限は10回のDNSルックアップに定められており、メッセージ配信を遅くしたり、サービス拒否（DoS）の悪用を招いたりしかねない過剰なDNSクエリを防ぎます。この上限を超えると、送信元IPが正当であっても、SPF認証は「permerror」（恒久的エラー）で失敗します。
SPFレコード内でDNSルックアップを引き起こす各メカニズムや修飾子、たとえば include、a、mx、exists、ptr などは、この制限にカウントされます。誤って分類されたメッセージを防ぎ、信頼できる認証を保つには、SPFのルックアップを効率的に管理することが欠かせません。
SPFクエリ制限の仕組み
受信メールサーバーがSPFレコードを検証するとき、各メカニズムを順に処理し、必要に応じてDNSクエリを実行します。たとえば次のようになります。
v=spf1 include:_spf.google.com include:mailservice.com include:sendgrid.net -all
included された各ドメインがさらにincludeやメカニズムを参照している場合、ルックアップの合計回数が10回を超え、すべてのIPが正当であってもSPFが失敗することがあります。
ルックアップを消費するメカニズムには次のものがあります。
includeamxptrexistsredirect
ip4 や ip6 のような静的メカニズムは、この制限にカウントされません。
ルックアップ上限を避けるためのベストプラクティス
SPFクエリ制限内に収めるには、次のようにします。
- SPFフラット化を使い、includeを解決済みのIPに置き換える
- 使われていない第三者のincludeを統合または削除する
- 複数のプロバイダーからの入れ子の「include」連鎖を避ける
- 効率のためにSPFレコードを定期的に監査する
- DMARCレポートで「permerror」の結果を監視する
SPFクエリ制限とDMARCeye
DMARCeyeは、10クエリの制限に近づいている、または超えているSPFレコードを自動的に検出します。視覚的なSPF分析により、検証失敗を招きかねない冗長なinclude、DNSの再帰、非効率な設定を組織が特定できるよう支援します。
SPFレコードを簡素化し認証結果を監視することで、DMARCeyeは、ルックアップの上限を超えることなく、高いメール到達性と正確なDMARCの適用を確保します。
誰があなたのドメインを使ってメールを送信しているかを完全に把握でき、悪用を検出した場合の対処法についての推奨も得られます。
ご自身のSPFレコードを確認しましょう：
DMARCeyeの無料トライアルに登録して、メールドメインを保護しましょう。
DMARCおよび関連用語について詳しくは、DMARCeye用語集をご覧ください。