SPFクエリ制限

SPFクエリ制限とは何ですか？

SPFクエリ制限とは、SPF（Sender Policy Framework）の評価で実行できるDNSルックアップの最大回数を指します。この制限は10回のDNSルックアップに定められており、メッセージ配信を遅くしたり、サービス拒否（DoS）の悪用を招いたりしかねない過剰なDNSクエリを防ぎます。この上限を超えると、送信元IPが正当であっても、SPF認証は「permerror」（恒久的エラー）で失敗します。

SPFレコード内でDNSルックアップを引き起こす各メカニズムや修飾子、たとえば include、a、mx、exists、ptr などは、この制限にカウントされます。誤って分類されたメッセージを防ぎ、信頼できる認証を保つには、SPFのルックアップを効率的に管理することが欠かせません。

SPFクエリ制限の仕組み

受信メールサーバーがSPFレコードを検証するとき、各メカニズムを順に処理し、必要に応じてDNSクエリを実行します。たとえば次のようになります。

included された各ドメインがさらにincludeやメカニズムを参照している場合、ルックアップの合計回数が10回を超え、すべてのIPが正当であってもSPFが失敗することがあります。

ルックアップを消費するメカニズムには次のものがあります。

• include
• a
• mx
• ptr
• exists
• redirect

ip4 や ip6 のような静的メカニズムは、この制限にカウントされません。

ルックアップ上限を避けるためのベストプラクティス

SPFクエリ制限内に収めるには、次のようにします。

• SPFフラット化を使い、includeを解決済みのIPに置き換える
• 使われていない第三者のincludeを統合または削除する
• 複数のプロバイダーからの入れ子の「include」連鎖を避ける
• 効率のためにSPFレコードを定期的に監査する
• DMARCレポートで「permerror」の結果を監視する

SPFクエリ制限とDMARCeye

DMARCeyeは、10クエリの制限に近づいている、または超えているSPFレコードを自動的に検出します。視覚的なSPF分析により、検証失敗を招きかねない冗長なinclude、DNSの再帰、非効率な設定を組織が特定できるよう支援します。

SPFレコードを簡素化し認証結果を監視することで、DMARCeyeは、ルックアップの上限を超えることなく、高いメール到達性と正確なDMARCの適用を確保します。

誰があなたのドメインを使ってメールを送信しているかを完全に把握でき、悪用を検出した場合の対処法についての推奨も得られます。

ご自身のSPFレコードを確認しましょう：

DMARCeyeの無料トライアルに登録して、メールドメインを保護しましょう。

DMARCおよび関連用語について詳しくは、DMARCeye用語集をご覧ください。