SPFレコードとは
SPF レコード（Sender Policy Framework レコード）は、あるドメインを代表してメールを送信することを認可された IP アドレスやホストを、受信メールサーバーに伝える DNS TXT レコードの一種です。
SPF レコードは、DKIM や DMARC とともに、メール認証を構成する3つの中核手法の一つであり、なりすまし、フィッシング、その他のメールのなりすまし詐称を防ぐのに役立ちます。
すべての SPF レコードは、バージョンタグ v=spf1 で始まり、その後に承認済み送信者のリストと最後のポリシー指令が続きます。
SPFレコードの仕組み
メールを受信すると、受信者のメールサーバーは SPF チェックを実行します。ドメインの SPF レコードを DNS で参照し、送信元 IP アドレスがそのレコードに含まれているかを検証します。
一般的な SPF レコードは次のようになります。
v=spf1 include:_spf.google.com ip4:192.0.2.0/24 -all
各部分の意味は次のとおりです。
v=spf1 - これが SPF レコードであることを宣言します。include:_spf.google.com - Google のメールサーバーによる送信を認可します。ip4:192.0.2.0/24 - 特定の IP アドレス範囲を認可します。-all - リストにない送信者はすべて拒否するよう受信サーバーに指示します。
最後の修飾子（-all、~all、?all、または +all）に基づいて、受信システムはリストにない送信者の扱い（拒否、softfail、neutral、または許可）を決定します。
SPFを効果的に管理する
SPF レコードは概念こそシンプルですが、設定を誤りやすいものです。DNS 参照は1回の SPF 評価につき10回までに制限されているため、過度に複雑なレコードは認証を壊したり、メールを予期せず失敗させたりすることがあります。
正確性を維持するために、次のことを行ってください。
- include をまとめる、または簡素化する。
- 送信サービスごとにサブドメイン専用の SPF レコードを使用する。
- 一貫性を確保するため、DKIM や DMARC と併せて SPF アライメントをテストする。
特に新しいサードパーティツールをメール環境に追加するときは、定期的な見直しが不可欠です。
SPFレコードとDMARCeye
DMARCeye は、すべての送信元にわたって SPF 認証を監視・検証するのを支援します。
DMARCeye は DMARC 集約レポートを解析することで、どの IP アドレスやドメインが SPF チェックに合格または失敗しているか、そしてそれらの送信者が DMARC の下であなたの送信元ドメインとアライメントしているかを明らかにします。
この可視性により、古い SPF エントリを整理し、認可されていない送信者を検出し、正規のメールを妨げることなく、より厳格な DMARC ポリシーを自信を持って適用できます。