SPF認証が必要な理由と設定方法
「SPFレコードの設定をしてください。」といきなり言われても困る・・・
メール配信の世界では一般常識となっているSPFではありますが、そもそもメールの配信の世界に住んでいる人なんてほとんどいないので、多くの人がSPFと言われると困惑してしまいます。
ここだけの話筆者自身も理屈はよくわからないがそういう固有名詞なんだと自分に言い聞かせて扱っていた時期がありました。
しかし、DNSサーバーに変更を加えるというリスクの大きい作業のわりに何をやっているのかよくわからない。なんでやらないといけないのかいまいちピンとこないみたいな状況は健全とは言えません。
そこで、今回はSPFについて、『どういう理屈で認証されているのか』『なぜ必要なのか』そして『どうしたらスムーズに設定できるか』ということについて解説いきたいと思います。
SPF認証とは？
SPF認証の概要
SPF（Sender Policy Framework）は、DNS（Domain Name System）に登録されたレコードを利用してメール送信サーバーを認証する仕組みです。送信元ドメインと送信元IPアドレスが一致しているかどうかを確認し、一致していれば正当なメールとして受信サーバーに配信されます。
仕組み
具体的な認証の流れとしてはを以下で説明します。
まずメール送信元のDNSサーバーに特定のSPFレコードを入れることで、送信元のメールアドレスのドメインからのメール送信を許可するIPを制限します。（SPFレコードの概要は後述します。）
そして、メール受信サーバーはメール受信を受信する際に、送信元のIPが、送信元メールアドレスのドメインのDNSサーバーに記載されている送信許可IPに含まれるかどうかを確かめます。これによって、許可されていないIPアドレスの場合は受信サーバー側に受信させないなど、不正なメールに対して送信元が制限を加えることができるようになります。
次の画像はわかりやすくするためにすごく簡略化した説明です。
SPFの歴史
SPFは2003年にMeng Weng Wongによって開発されました。メールの送信元ドメインが正当なものかどうかを確認するための認証システムを構築することで、メールの迷惑メール対策やフィッシング詐欺の防止に役立てることができます。
SPFレコード
構造
SPFレコードは、TXT形式のDNSレコードに設定され、以下の要素で構成されます。
- バージョン情報（例: “v=spf1″）
- メカニズム（例: “a”, “mx”, “ip4”, “ip6”, “include”, “all”）
- 修飾子（例: “+”, “-“, “~”, “?”）
メカニズムと修飾子
メカニズムは、送信元IPアドレスとドメインの関係を定義します。修飾子は、メカニズムに対する結果を指定します。例えば、”v=spf1 a mx -all”は、”a”レコードと”mx”レコードに一致するIPアドレスからのメールを許可し、それ以外のIPアドレスからのメールを拒否することを意味します。
SPFの必要性とメリット
メール送信者の認証と迷惑メール対策
メール送信者の正当性確認
SPFを使用することで、送信元ドメインと送信元IPアドレスが一致しているかどうかを確認し、正当なメールかどうかを判断することができます。これにより、正当でないメールを迷惑メールフォルダに振り分けることができます。
フィッシング詐欺防止
SPF認証が有効なメールは、送信元ドメインが正当であることが保証されます。これにより、フィッシング詐欺を防止することができます。フィッシング詐欺は、特定のブランドなどになりすました、偽のメールを送信し、受信者から機密情報を盗むことを目的としていますが、SPF認証によって偽のメールを見破ることが容易になります。
メール配信信頼性の向上
配信率の向上
SPF認証が有効なメールは、送信元ドメインが正当であることが保証されるため、受信サーバーはメールを迷惑メールとして誤ってフィルタリングするリスクが低くなります。これにより、配信率が向上し、宛先にメールが届く確率が高まります。
配信エラーの原因分析
SPF認証に失敗した場合、その原因がSPFレコードの不備や送信元IPアドレスの問題であることが判断できます。これにより、配信エラーの原因を特定しやすくなり、問題の解決が迅速に進められます。
メールの送信元ドメイン保護
ブランド保護
SPF認証を使用することで、他者によるドメインの悪用やなりすましメールの送信を防ぐことができます。これにより、企業や組織のブランドイメージが保護され、信頼性が向上します。
信頼性の向上
SPF認証が有効なメールは、受信者にとって信頼性が高いと認識されます。これにより、メールの開封率やクリック率が向上し、メールマーケティングなどの効果も高まります。
SPFレコードの設定方法
DNSレコードの編集方法
今回はDNSプロバイダーと契約しているケースを想定して、編集方法について簡単に解説させてもらいます。
DNSプロバイダーへのアクセス
SPFレコードを設定するには、まずDNSプロバイダーの管理画面などにログインして、ドメインのDNS設定にアクセスします。DNSプロバイダーは、ドメインを購入した会社（例: GoDaddy、Google Domainsなど）であることが一般的です。
TXTレコードの追加
DNS設定でTXTレコードを追加し、SPFレコードを設定します。TXTレコードの値には、”v=spf1″から始まるSPFレコードを入力します。
SPFレコードの作成と設定例
SPFレコード生成ツール
SPFレコードを生成するには、専用のオンラインツールを利用することができます。例えば、「SPF Wizard」や「MXToolbox SPF Record Generator」などのツールが利用可能です。これらのツールは、必要な情報を入力するだけで、適切なSPFレコードを生成してくれます。
設定例と説明
以下は、SPFレコードの設定例です。
"v=spf1 a mx ip4:192.0.2.0/24 include:_spf.example.com -all"
この設定では、以下の条件が指定されています。
- “a”：ドメインのAレコードに一致するIPアドレスからのメールを許可
- “mx”：ドメインのMXレコードに一致するIPアドレスからのメールを許可
- “ip4″：192.0.2.0/24の範囲内のIPアドレスからのメールを許可
- “include”：_spf.example.comのSPFレコードに記載された条件を適用
- “-all”：上記の条件に一致しないメールをすべて拒否
SPFレコードの検証ツール
検証ツールの紹介
SPFレコードの設定が正しいかどうかを確認するために、検証ツールを利用することができます。例えば、「MXToolbox SPF Record Lookup」(https://mxtoolbox.com/spf.aspx)や「dmarcian SPF Surveyor」(https://dmarcian.com/spf-survey/)などのツールが利用可能です。これらのツールは、ドメイン名を入力するだけで、SPFレコードの設定をチェックし、問題があれば指摘してくれます。
手順
検証ツールを使用する手順は以下の通りです。
- ツールのウェブサイトにアクセスします。
- ドメイン名を入力し、検索を実行します。
- 結果が表示されるので、エラーや警告がないか確認します。
検証結果でエラーや警告が表示された場合、それに従ってSPFレコードの設定を修正し、再度検証を行ってください。
ただし、検証ツールは100%を保証するものではありません。実際に送ってみて確認しましょう。
また、よくある記載まちがいについて、一般財団法人インターネット協会のサイトで詳しく解説しているものがあるので、こちらを参照して下さい。
SPFを設定する上でのポイント
SPFの設定方法には会社ごとにいろいろなバリエーションが想定されます。詳しく知りたい方は専門的なドキュメントをみていただくか弊社を始め、専門的な会社に聞いていただくことを推奨しますが、ここでもいくつかご説明させていただきます。
ソフト・ハードフェイルについて
両者の違い
ソフトフェイル（SoftFail）とハードフェイル（HardFail）は、SPF認証の結果を示す修飾子です。ソフトフェイルは、「~」記号で表され、認証に失敗したメールを疑わしいものとして扱いますが、受信サーバーに届けられることがあります。一方、ハードフェイルは、「-」記号で表され、認証に失敗したメールを完全に拒否します。
適切なフェイル選択のポイント
適切なフェイルを選択する際には、以下のポイントを考慮してください。
- ソフトフェイル
SPFレコードの設定が不完全である場合や、誤った設定によって正当なメールが認証に失敗するリスクを最小限に抑えたい場合に選択します。これにより、認証失敗メールも受信者に届く可能性がありますが、迷惑メールとしてマークされるリスクが高まります。 - ハードフェイル
SPFレコードの設定が完全であり、正当なメールが認証に失敗するリスクが低い場合に選択します。これにより、不正なメールの配信を厳密に制御できますが、誤って正当なメールが拒否されるリスクがあります。
設定例
ソフトフェイルの場合
"v=spf1 a mx ip4:192.0.2.0/24 include:_spf.example.com ~all"
ハードフェイルの場合
"v=spf1 a mx ip4:192.0.2.0/24 include:_spf.example.com -all"
SPFレコードの最適化方法
不要な項目の削除
SPFレコードの最適化には、不要な項目を削除することが重要です。使用していないメール送信サーバーやサービスの情報を含めないようにし、レコードの長さを短くすることで、読み込み速度を向上させることができます。
IPアドレスの範囲の絞り込み
IPアドレスの範囲を適切に絞り込むことで、SPFレコードを最適化できます。具体的には、必要最小限のIPアドレス範囲を指定し、誤って他のIPアドレスからのメール送信を許可しないようにします。これにより、不正なメール送信のリスクを低減できます。
また、複数の事業を運営する企業の場合などはほかの事業でも同じドメインを使っている場合、そこで利用されているメール配信ツールのIPも含めて網羅する必要があります。
その他のメール認証
SPFは非常に有効な手段ですが、実は「メールの転送時に認証が失敗しやすい」という弱点があります。そのため、現代のメールセキュリティではSPF単体ではなく、以下の技術を組み合わせることが推奨されています。
DKIMとは
DKIM（DomainKeys Identified Mail）は、メールに「電子署名」**を付与することで、送信者が正当であることと、メールの内容が途中で改ざんされていないことを証明する技術です。
- 仕組み：送信側がメールに暗号化したデジタル署名を付け、受信側は送信ドメインのDNSに公開されている「鍵」を使ってその署名を検証します。
- メリット：SPFと異なり、メールが転送されても認証が壊れにくいのが特徴です。また、「内容が書き換えられていないこと（完全性）」を保証できるため、フィッシング対策として非常に強力です。
DMARCとは
DMARC（Domain-based Message Authentication, Reporting, and Conformance）は、SPFとDKIMの結果を利用して、「認証に失敗したメールをどう扱うか」をドメイン所有者が指定できる仕組みです。いわば、SPFとDKIMという「身分証」を確認する「門番への指示書」のような役割を果たします。DMARCを導入すると、以下の3つのアクションを受信側に要求できます。
- none（何もしない）: 認証失敗時も通常通り受信させ、レポートのみ受け取る。
- quarantine（隔離）: 認証失敗したメールを迷惑メールフォルダに振り分ける。
- reject（拒否）: 認証失敗したメールを受信拒否（破棄）させる。
また、自社ドメインを騙ったなりすましメールが「どこから、どのくらい送られているか」というレポートを受け取れるため、状況把握にも役立ちます。
BIMIとは
BIMI（Brand Indicators for Message Identification）**は、DMARCによる認証をクリアした正当なメールの横に、企業の「ブランドロゴ」を表示させる仕組みです。
- 仕組み: DMARCのポリシーが「quarantine」または「reject」に設定されていることが前提条件となります。
- メリット: 受信者は一目で「これは公式なメールだ」と判断できるため、開封率の向上やブランドの信頼性強化に直結します。
SPF、DKIM、DMARCの3つを揃えることで、近年の厳しいメール送信者ガイドライン（Gmail等）にも対応できるようになります。
BIMIについての詳細は、BIMのメリットから導入までのステップ、失敗しないためのDMARC移行ロードマップ、BIMI設定チェックリストまでをまとめたBIMI完全ガイドを無料でご用意しましたのでご活用ください。BIMIについてのお問い合わせやご相談も可能ですのでお気軽にお問い合わせください。
メール配信システムを活用する
SPFレコードの設定を含め、メールの到達率を確実に高めたいのであれば、自社でサーバーを構築・管理するよりも、専門のメール配信システムを活用するのが最も確実で効率的です。
メール配信システムを使うメリット
自社サーバーから直接メールを送る場合、IPレピュテーション（IPアドレスの信頼性）の管理や、最新のセキュリティ規格（DKIMやDMARC）への追従をすべて自前で行う必要があります。システムを導入することで、以下のメリットを享受できます。
- 到達率の最大化：配信システム側でIPアドレスの信頼性を常に監視・維持しているため、迷惑メールフォルダに入りにくくなります。
- 設定の簡略化：SPFやDKIMの設定に必要な情報が管理画面で明確に提示され、ガイドに沿って進めるだけで設定が完了します。
- エラー管理の自動化：送信に失敗したアドレス（バウンスメール）を自動で整理してくれるため、リストのクリーニングが容易です。
おすすめのメール配信システム「blastengine」
安全で到達率の高いメール配信を行いたい場合は、ぜひ『blastengine（ブラストエンジン）』を検討してみてください。
blastengineは、API連携やSMTPリレーに特化した、高速かつ高到達率を誇る配信サービスです。SPFレコードの設定はもちろん、DKIMやDMARCといった高度な認証技術にも対応しています。blastengineの特徴は以下の通り。
- 専門家による徹底サポート：
SPFの設定方法がわからない、正しく設定できているか不安という場合でも、電話やメールでの日本語サポートが受けられます。専門スタッフが具体的な記述内容まで丁寧にアドバイスするため、DNS操作に慣れていない方でも安心です。 - 圧倒的なコストパフォーマンス：
月額3,000円からというリーズナブルな価格設定ながら、国内の主要キャリアやGmailなどへの高い到達率を実現しています。 - まずは無料でお試しでトライアル：
メールアドレスのみで登録できる無料トライアルも用意されています。実際の管理画面で、SPF設定のしやすさや配信速度を体感いただけます。
「SPFレコードを設定してください」という突然の依頼も、仕組みを理解し、適切なツールとサポートがあれば決して怖いものではありません。確実な設定で、あなたのメールを安全に、そして確実に届けましょう。
blastengine公式サイト：https://blastengine.jp/
FAQ
- Q：SPF（Sender Policy Framework）とは、どのような仕組みですか？
- A：送信元のドメイン（DNS）に「メール送信を許可するIPアドレスのリスト」を登録し、受信側がそのリストと実際の送信元IPを照合して、正当な送信者か確認する仕組みです。
- Q：SPFを設定する最大の目的は何ですか？
- A：自社ドメインを悪用した「なりすましメール」や「フィッシング詐欺」を防止し、自社メールの信頼性を高めることが最大の目的です。
- Q：SPFレコードはどこに、どのように記述すればいいですか？
- A：ドメインを管理しているDNSサーバーに「v=spf1」から始まるTXTレコードを追加し、許可するサーバーのIPアドレスやホスト名を記述します。
- Q：SPFレコード末尾の「~all」と「-all」の違いを教えてください。
- A：「~all（ソフトフェイル）」は認証失敗時も受信を許可（スパム扱いの可能性あり）し、「-all（ハードフェイル）」は認証失敗メールを厳格に拒否するという違いがあります。
- Q：SPFを設定することでメールの到達率は変わりますか？
- A：はい、正当な送信者として認証されることで、受信サーバーのスパムフィルターにブロックされるリスクが減り、メールが届きやすくなるメリットがあります。
まとめ
SPFメールは、送信者の認証と迷惑メール対策に役立ち、メールの信頼性を向上させる重要な仕組みです。SPFレコードの設定と検証は、専用のツールを利用することで簡単に行うことができます。また、最適化方法やトラブルシューティングのポイントを理解し、適切な設定を行うことで、メール配信の効果を最大限に引き出すことができます。
さらに高度な設定や、DKIM/DMARCといったその他の認証との連携については、別の記事で説明します。
また、SPF認証などに取り組み安全で到達率の高いメール配信を行いたい場合は是非『blastengine』を使ってみてください。（無料トライアルはこちら）『blastengine』でのSPFの設定方法の詳細なご案内から、電話やメールでのサポートも受け付けておりますので、お気軽にお問い合わせください。
