SPFレコード作成・チェック
メールを送信するサービスから有効なSPFレコードを作成し、ドメインが公開している内容をRFC 7208のルールに照らして確認できます。
1このドメインで誰がメールを送信していますか？
Fromアドレスにあなたのドメインを使ってメールを送信しているサービスをすべてチェックしてください。それぞれに必要なinclude:項目と、消費するDNS検索回数が追加されます。
2自社のサーバー
1行に1件。IP項目はDNS検索を消費しないため、可能な限りこちらを優先してください。
1行に1ドメイン。それぞれがinclude:項目になります。すでに記述済みの項目はそのまま保持されます。
3それ以外の送信元はどうなりますか？
最後の項目が、上記にリストされていないサーバーからのメールを受信側がどう扱うかを決めます。
- レコードタイプ
- TXT
- 名前／ホスト
- @ (ドメインのルート)
- TTL
- 3600
- ドメインの登録先またはDNSホストでDNSゾーンを開きます。
- 既存のSPFレコードを削除してください。ドメインが公開できるSPFレコードは1つだけです。
- 上記の値でドメインのルートにTXTレコードを追加します。
- TTLが経過するのを待ち、チェッカータブで確認してください。
ドメインが公開できるSPFレコードは1つだけです。送信元を追加する場合は、既存のレコードを編集してください。2つ目を追加してはいけません。
左側でレコードを作成するか、チェッカーに切り替えてドメインが現在公開しているSPFレコードを確認できます。各メカニズムの説明と、10回のDNS検索制限のカウントも表示されます。
| # | 項目 | 記載箇所 |
|---|
| 項目 | 結果 | 内容 |
|---|
SPFレコード作成・チェックについて
SPFレコードジェネレーター＆チェッカーは、ドメイン管理者が本当に必要とする2つの作業をこなします。ジェネレーターでは、どのサービスがあなたのドメインを使ってメールを送信しているか（Google Workspace、Microsoft 365、SendGrid、Mailgun、Amazon SES、自社サーバーなど）を尋ね、それらから有効な`v=spf1`レコードを組み立てます。作成中にかかるDNS検索回数もその場でカウントされます。チェッカーの方は、ドメインが現在公開しているレコードを読み取り、すべてのメカニズムを平易な言葉で説明したうえで、RFC 7208に照らしてテストします。
ほとんどの人がつまずくのが10回のDNS検索制限です。`include`、`a`、`mx`、`ptr`、`exists`の各項目は1回のDNS検索を消費し、それらが参照するレコード内の項目もすべて同様にカウントされます。10回を超えると受信側は恒久的なエラーを返し、偽装された部分だけでなく、すべてのメールでSPFが失敗します。チェッカーはincludeを再帰的にたどり、各検索がどこで消費されているかを正確に示すため、どの送信元が上限を押し上げたかが分かります。
また、SPFレコードを静かに無効化してしまうよくある失敗も検出します。同じドメインに2つ目のSPFレコードがある（両方とも無効になる）、`+all`（インターネット全体を許可してしまう）、`all`の欠落（何も主張しない）、非推奨の`ptr`メカニズム、`all`の後ろに置かれて決して読まれない項目、そしてレコード全体を恒久的なエラーにしてしまう構文エラーなどです。
SPFレコード作成・チェックの使い方
- ジェネレータータブで、Fromアドレスにあなたのドメインを使ってメールを送信しているサービスすべてにチェックを入れます。
- 自社のメールサーバーを追加します。mxを有効にし、固定のIPv4またはIPv6の範囲があれば貼り付けてください。IP項目はDNS検索を消費しません。
- 検索回数のメーターを確認してください。10を超えた場合は、送信元を1つ減らすか、includeをその背後のIP範囲に置き換えてください。
- 最終ポリシーを選びます。まずは~all（不審としてマーク）から始め、DMARCレポートがクリーンになったら-allに引き締めてください。
- レコードをコピーし、ドメインのルートに1つのTXTレコードとして公開します。既存のSPFレコードがあれば置き換えてください。
- TTLが経過した後にチェッカータブに戻り、公開したレコードが正しく解析されることを確認してください。