[ 簡単な回答 ]
SPFレコードはv=spf1, include:, ip4:、 ip6:,などのメカニズムを使用して承認された送信者をリストし、all 修飾子で終わるドメイン上の単一のTXTレコードです。例: v=spf1 include:_spf.google.com ip4:203.0.113.10 -all 。
重要な事実
- ›メカニズム: ip4、ip6、a、mx、include、存在します。修飾子: リダイレクト。
- ›修飾子: + pass、~ softfail 、-fail、?中性。
- ›DNSルックアップは 10 件以内、文字列あたり 255 文字以内に収めてください。
- ›ptr と+all避けてください。
EmailAuth研究チームによるレビュー
SPFレコードは、ドメインへの電子メールの送信を許可されているすべてのサーバーとサービスをリストする単一のDNS TXTレコードです。これはバージョン タグv=spf1,承認されたソースを定義する一連のメカニズムが含まれ、リストされていないものに対するデフォルトの回答を設定する all メカニズムで終わります。受信メール サーバーはこのレコードを読み取り、接続サーバーがドメインとして送信できるかどうかを判断します。
SPFレコードの例
v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.5 -all
メカニズムを解説
各メカニズムでは、送信者を承認する 1 つの方法について説明します。受信側はそれらを左から右に評価し、最初の一致で停止します。一部のメカニズムはDNSルックアップをトリガーし、 RFC 7208で設定された 10 ルックアップ制限にカウントします。
- include: _spf.google.comなどのベンダーに一般的な別のドメインのSPFレコードを取得し、ルックアップとしてカウントします。
- ip4: DNSルックアップコストなしで、特定のIPv4アドレスまたは範囲を承認します。
- ip6: DNSルックアップコストなしで、特定のIPv6アドレスまたは範囲を認可します。
- a: ドメインの A レコード内の IP を認証し、検索としてカウントします。
- mx: ドメインのMXレコード内のメール サーバーを認証し、検索としてカウントします。
- all: リストにないソースに何が起こるかを決定する最後の catch -all 。
ハードフェイルとsoftfail : -allおよび~all
すべての前にある修飾子によって、記録の厳格さが変わります。 -all (hardfail) を使用すると、リストされていないサーバーは許可されていないため、メッセージを拒否するか失敗として扱う必要があることを受信者に伝えます。 ~all ( softfail ) を使用すると、リストにないサーバーはおそらく許可されていないが、受け入れてマークする必要があると指定できます。これはテスト中に役立ちます。ハードフェイルは、すべての正当な送信者が含まれていると確信した場合のより強力なスタンスです。 +all避けてください。全員に権限を与えてしまい、目的が果たせなくなります。
テスト中にソフトフェイルが発生する
メールをブロックせずに結果を観察するには~allから始めて、すべての送信者が確認されたら-allに移動します。
1 つのレコードで、検索に注目してください
ドメインはSPFレコードを 1 つだけ公開する必要があります。 2 つのSPF TXTレコードによりpermerrorが発生します。ベンダーを追加すると、それぞれのインクルードがさらに検索に拡張され、人気のあるサービスが急速に蓄積されます。 10 件の検索をまたぐと、正規のメールのレコードは何も通知せずに失敗します。 EmailAuth SmartSPF 、インクルード チェーンを 1 つの最適化されたレコードにフラット化し、 Microsoft 365 、 Google Workspace 、 Salesforce 、 SendGridのベンダー IP 範囲を自動的に同期させます。無料のドメイン スキャンでは、現在のメカニズムと検索数が表示されます。 SPF DKIMおよびDMARCと組み合わせて、メールが転送される場合でも位置合わせが維持されるようにします。
よくある質問
SPFレコードの-allと~allの違いは何ですか?
-all 、レコードにリストされていないサーバーを拒否または失敗するように受信者に指示するハードフェイルです。 ~allは、リストにない送信者を受け入れますが、それらを疑わしいとしてマークするsoftfailです。テスト中は~all使用し、正当な送信者がすべて含まれる場合は-all使用します。
複数のSPFレコードを持つことができますか?
いいえ。ドメインはSPF TXTレコードを 1 つだけ公開する必要があります。 2 つ以上のSPFレコードによりpermerrorが発生し、認証が中断されます。すべてのソースをv=spf1.
ip4 および ip6 メカニズムは 10 のルックアップ制限にカウントされますか?
いいえ、ip4 と ip6 はアドレスを直接認証し、 DNS解決を必要としないため、ルックアップを消費しません。 include、a、mx、ptr、exists などのメカニズムは、制限の 10 にカウントされます。
インクルードメカニズムは何をするのでしょうか?
インクルード メカニズムは別のドメインのSPFレコードをインポートします。これにより、 Google WorkspaceやSendGridなどのサードパーティの送信者を承認します。各インクルードは少なくとも 1 つのDNSルックアップとしてカウントされ、その中にネストされたインクルードがさらに追加されます。
SPF記録を確認するにはどうすればよいですか?
SPFチェッカーを使いましょう。レコードを取得し、各インクルードを展開し、10 件の制限に対してDNSルックアップをカウントします。
SPFレコードを結合するにはどうすればよいですか?
両方のレコードのメカニズムを 1 つのv=spf1レコードにマージし、最後に 1 つの all を保持します。
~allまたは-all使用する必要がありますか?
すべての送信者を確認する場合は~allを使用し、次に-all使用します。 DMARCがp=reject, DMARC最終決定を行うため、どちらでも機能します。
[ SPF ご案内】
企業の来歴
一流の金融機関と政府が選ばれる理由 電子メール セキュリティ ダッシュボードを廃止しました。
従来の電子メール認証プラットフォームはダッシュボードを販売し、エンジニアに作業を依頼します。一か八かの環境では、手動による監視は適用の遅れ、構成のドリフト、および監視されていないシャドウ ドメインを意味します。
EmailAuthは、エージェントの電子メール来歴プラットフォームです。 当社のエージェントが執行します p=reject、サードパーティの送信者を調整し、ドメインを完全に移動します。 RFC 9989 新しいDMARC標準に準拠し、人間による監査機能を備えています。
SaaS · 専用テナント · エアギャップオンプレミス · BYOK 暗号化