SFPとは。メール使うすべての担当者が知っておくべき基礎知識

2023.11.20

SPF（Sender Policy Framework）は、電子メールにおけるなりすましを防ぐために設計された認証プロトコルのことを言います。これは、ドメイン所有者が

「このドメインからメールを送信することが許可されているIPアドレス」

を公開するための方法を提供します。SPFレコードはDNSレコードの一種としてドメインに公開され、メールを受信するサーバーが、そのメールが許可された送信元から送られてきたものかどうかを確認するのに使用されます。

SPFレコードとは

SPFレコードは、メール送信ドメインの認証技術で、電子メールにおける「なりすまし」を防ぐために使用されます。これは、受信側のサーバーが、送信元ドメインから送信されたメールが本当にそのドメインの正規IPアドレスから送信されているかを検証するためのものです。

送信者のドメインがメールを送信した際に、受信者のメールサーバーがDNSサーバーに問い合わせてSPFレコードを取得します。そして、そのレコードに記載されているIPアドレスやサーバー情報と実際の送信元のIPアドレスを比較し、一致するかどうかを確認します。これにより、送信ドメインの認証が行われます。

SPFレコードは、あらかじめメールの送信に使用するドメインに対して、送信元メールサーバーのIPアドレスなどの情報を登録しておく必要があります。これにより、「なりすましメール」を防ぐことができます。

また、SPFレコードは一種のDNS TXTレコードで、一般にメール認証に用いられます。このレコードはDNSに登録され、メールが配送されてきたときに照合されます。

SPFレコードは、メール送信者がメール受信者に「なりすましではないこと」を証明する一連の仕組みであり、それによって送信ドメインの認証が行われる仕組みをいいます。

SPFレコードの書き方

まず、基本的なSPFレコードの書き方は以下の通りです。

example.com. IN TXT “v=spf1 ip4:192.0.2.0/24 ip4:198.51.100.123 a -all”

この記述例、example.comドメインからのメールが192.0.2.0/24および198.51.100.123のIPアドレスを持つサーバーから送信されることを示しています。aはドメイン自体のAレコードに一致するIPアドレス。最後の-allは、これらのIPアドレス以外からのメールを拒否することを意味します。

また、単独のIPアドレスで指定する方法もあります。

example.com. IN TXT “v=spf1 ip4:192.0.2.0 -all”

この記述はexample.comドメインからのメールが192.0.2.0のIPアドレスを持つサーバーから送信されることを示しています。

さらに、複数のドメインなどを許可する場合もあります。

example.com. IN TXT “v=spf1 ip4:192.0.2.0/24 ip4:198.51.100.0/24 -all”

これは、example.comドメインからのメールが192.0.2.0/24および198.51.100.0/24のIPサブネットを持つサーバーから送信されることを示しています。

SFPの仕組みについて

SPFの仕組みは、メール送信元IPアドレスを送信側のDNSサーバーへあらかじめ登録することで、メールを受信した受信側メールサーバーが送信元のDNSサーバーに確認することで、なりすましメールでないことを判断します。

ドメインの所有者が、どのメールサーバーが自分のドメイン名を使用してメールを送信することが許可されているかを定義するためにSPFレコードをDNSに公開します。この仕組みは、フィッシング詐欺やスパムなどのなりすましメールを減らすのに役立つのです。

SPFが機能するための４ステップ

レコードの公開ドメイン所有者は、v=spf1というプレフィックスで始まるSPFレコードをDNSに登録します。このレコードには、メール送信が許可されたIPアドレスや、他のドメインのSPFレコードを含めることができるincludeステートメント、どう扱うかを示す-allや~allなどの指示が含まれます。
メールの送信メールが送信されるとき、送信サーバーはそのドメインのSPFレコードにリストされているIPアドレスの一つからメールを出します。
受信サーバーによる確認受信メールサーバーは、受け取ったメールが主張する送信ドメインのSPFレコードをDNSから取得し、メールが来たIPアドレスがレコードに記載されたものと一致するか検証します。
結果の評価もしIPアドレスが一致すれば、メールは正当な送信元から来たと評価されます。一致しない場合、メールはスパムとして扱われるか、拒否される可能性が高まります。

SPFレコードの主な要素は何ですか？

SPFレコードには4つの主な要素があります。

バージョン番号
機構
限定子
修飾子

バージョン番号はSPFレコードがどのバージョンを使用しているかを示します。現在のバージョンは “v=spf1″です。

機構は、どのIPアドレスがメールを送信することが許可されているかを示します。一部の一般的な機構には、

「a」
「mx」
「include」
「ip4」
「ip6」

などがあります。

限定子は、メールがどのように扱われるべきかを示します。たとえば、「+」はパス（許可されている）を意味し、「-」はハードフェイル（許可されていない）を意味します。

修飾子は、SPFレコードの動作をさらにカスタマイズできます。たとえば、「redirect」修飾子はSPFクエリを別のドメインにリダイレクトします。

これらの要素が組み合わさって、SPFレコードはどのメールが有効で、どのメールを拒否または疑うべきかを決定します。これにより、受信者は偽装されたメールを適切に処理することができます。

SPFレコードを設定しないリスク

SPFレコードが設定されていない場合、送信したメールが「なりすましメール」と判断される可能性があります。つまり、メールが受信者のインボックスに届かない、またはスパムフォルダに移動される可能性があります。これは、ビジネスにとって特に問題となります。

SPFレコードを活用することは、犯罪者があなたのドメインを偽装するのを防ぐことができます。これはサイバーセキュリティ上の大きな利点であり、あなたのビジネスをオンラインでの脅威から守るための重要な手段です。

さらに、SPFレコードはメールの到達率を向上させる役割も果たします。SPFレコードが設定されていないドメインから送信されたメールは、受信者のメールサーバーによって拒否される可能性があります。

しかし、SPFレコードが正しく設定されていれば、あなたのメールは受信者のメールボックスに届く可能性が高まります。

SPFレコードの設定と管理に関する注意事項

SPFレコードは、電子メールの送信元認証を行うための重要なツールとなります。ただし、その設定と管理には注意すべき点について確認したいと思います。

送信側IPアドレスとPTR（Pointer record）レコード

PTRレコードは逆引きDNSとして機能し、IPアドレスからホスト名を調べることが可能です。これは特に公共アクセスポイントや住宅用IPで重要となります。これらは通常、PTRレコードが設定されていない傾向があります。

送信ドメイン認証の使用

SPFだけでなく、DMARCやDKIMといった他の認証技術も活用することで、迷惑メールからのセキュリティリスクを軽減できます。これらはメール配信の保護効果を向上させ、ドメインの信頼性を高める役割を果たします。ただし、これらが全ての問題を解決するわけではありません。

SPFレコードの使用に関する一般的注意

SPFレコードを設定する際には、「+all」の使用は避け、「~all」または「-all」を推奨します。また、限定的なSPFレコードを作成し、必要最小限の定義に留めることが推奨されます。

さらに、「include:」を使用する際には、DNSルックアップ数の制限（最大10回）を考慮する必要があります。IPアドレス範囲の指定にはCIDR表記の利用が有効です。「+all」機構はセキュリティリスクが高いため避けるべきであり、また、ドメインには1つのSPFレコードのみを設定することが重要です。

SPFレコードの特定の制限

SPFレコードには、最大255文字の文字数制限があります。また、DNSルックアップ数の制限（最大10回）もあります。これらの制限を超えると、SPFレコードが正しく動作しない可能性があります。さらに、重複するサブネットやIPアドレスを避けることも重要です。

SPFと他の認証システムの併用

SPFレコードだけでなく、DKIMやDMARCといった他の認証システムと併用することが推奨されています。DKIMはメールの改ざん防止に役立ち、DMARCはドメイン認証の失敗時の対応策を提供します。

注意事項を理解し、適切にSPFレコードを設定・管理することで、送信するメールのセキュリティと信頼性を高めることができます。これにより、メールを通じたビジネスコミュニケーションがスムーズに行われ、また、フィッシングやスパムといった潜在的な脅威から保護されます。

SPFレコードの確認方法について

SPFレコードは、メール送信者がそのドメインからメールを送信する権限を持っているかどうかを確認するための重要なツールです。これにより、フィッシングやスパム攻撃から保護します。しかし、このレコードを効果的に活用するためには、まず自身のドメインのSPFレコードを確認することが必要です。以下にその方法をご紹介します。

SPFレコードチェックツールの使用

SPFレコードの確認には、さまざまなツールが利用できます。これらは一般に「SPFレコードチェックツール」または「SPFレコードチェッカー」と呼ばれます。これらのツールはオンラインで無料で提供されており、使用方法も簡単です。

確認したいドメイン名を指定するだけで、そのドメインのSPFレコードを表示してくれます。一部のツールでは、SPFレコードが正しく設定されているかどうかを評価し、問題点や改善点を提案してくれるものもあります。

DNSルックアップツールの使用

DNSルックアップツールもまた、SPFレコードを確認するための便利なツールです。これはドメインのDNSレコード全体を取得し、その中からSPFレコードを探すことができます。

具体的な手続きとして、ルックアップしたいドメイン名とレコードタイプ（この場合は「TXT」）を指定します。そして結果の中から「v=spf1」で始まるレコードを探します。これが該当ドメインのSPFレコードです。

メールヘッダーの確認

メールヘッダーを確認することでも、SPFレコードの情報を手に入れることができます。これは送信されたメール自体からSPF検証結果を読み取る方法です。

メールクライアントによってはヘッダー情報を表示する機能があり、その中の「Received-SPF」フィールドを確認します。ここにはSPFの検証結果（’Pass’、’Fail’、’Neutral’など）と、その際に使用された送信者のIPアドレスとSPFレコードが記録されています。

SPFレコードが正しく設定されているかを確認し、必要に応じて更新や修正を行うことで、メール送信の信頼性とセキュリティを維持することが可能となります。

最後に

SPFを活用する最大の目的は、自社ブランドの評価を確実のものとし、メール受信者に対して送信元ドメインの信頼性を証明することです。

これがうまく機能すれば、メールはスムーズに受信トレイに届き、メールがスパムと間違ってマークされるリスクは大幅に低下します。また、ドメイン所有者は、自らのブランドが不正に利用されることを防ぎ、顧客やビジネスパートナーとの信頼関係を維持することができます。

SPFレコードは、DNSを介して世界中に公開される一行のテキストに過ぎませんが、その影響は計り知れません。

このテキストには、メールの送信が許可されたIPアドレスが列挙され、受信サーバーが送信元を迅速に検証できる情報が含まれています。メールが許可された送信元から来た場合には、「Pass」と評価され、セキュリティを確保する上で重要な役割を果たします。

一方でSPFレコードの管理には細心の注意を払う必要があります。

メールインフラの変更があった場合には、これを反映させるためにSPFレコードも更新する必要があります。また、SPFレコードの設定ミスが原因で、正当なメールが誤って拒否される可能性もあるため、定期的なレビューとテストが不可欠です。

SPFは完全なソリューションではありません。これを補完するためには、DMARCやDKIMといった他の認証技術と組み合わせることが推奨されています。これらの技術を連携させることで、メール認証の堅牢性をさらに強化し、セキュリティインシデントによるダメージを最小限に抑えることが可能になります。

最終的には、SPFは単なる技術的なツールではなく、組織の信用を守り、デジタルコミュニケーションの安全性を確保するための重要な戦略的資産です。適切に設定され、しっかりと管理されたSPFレコードは、組織のメールコミュニケーションの品質を維持し、電子メールを介した業務の連続性を保証するための鍵となります