インターネットで日常的に使われる電子メール。しかし、その仕組み上、送信元のメールアドレスを偽装する「なりすまし」が容易にできてしまいます。この「なりすましメール」は、迷惑メールやフィッシング詐欺などに悪用されることが多く、大きな問題となっています。 そこで登場したのが、SPF (Sender Policy Framework) という技術です。この記事では、SPFとは何か、どのような仕組みでなりすましを防ぐのか、初心者の方にも分かりやすく解説します。
SPFとは？
SPFは「Sender Policy Framework」の略で、電子メールの送信元ドメインが偽装されていないかを確認するための仕組み（送信ドメイン認証技術）の一つです。 簡単に言うと、「このドメイン（例: example.com）からのメールは、このサーバー（IPアドレス）から送られるのが正規のものです」と、ドメインの所有者が宣言しておく仕組みです。
メールを受信する側のサーバーは、受け取ったメールの送信元情報を、ドメイン所有者が宣言した情報（SPFレコード）と照合します。もし、宣言されていないサーバーからメールが送られてきた場合、「このメールはなりすまされている可能性が高い」と判断できます。
SPFの基本的な考え方は2000年頃から議論され始め、2006年にIETF（インターネット技術の標準化団体）によってRFC 4408として標準化され、2014年にRFC 7208によって改訂されました。
SPFの仕組み
SPFの仕組みは、メールの送受信プロセスとDNS（Domain Name System）を利用しています。DNSは、インターネット上のドメイン名（例: example.com）とIPアドレス（例: 192.0.2.1）を結びつけるシステムです。
- ドメイン所有者の設定（SPFレコードの公開）:
- ドメイン（例: example.com）の所有者は、自身のドメインのDNS情報の中に「SPFレコード」と呼ばれる特別な情報（TXTレコード形式）を追加します。
- このSPFレコードには、「example.com」ドメインからメールを送信することを許可されたメールサーバーのIPアドレスやホスト名などのリストを記述します。
- メール受信サーバーの確認:
- メール受信サーバーが、「example.com」ドメインからのメールを受け取ります。
- 受信サーバーは、そのメールの送信元サーバーのIPアドレスを確認します。
- 次に、受信サーバーはDNSに問い合わせて、「example.com」ドメインのSPFレコードを取得します。
- 取得したSPFレコードに書かれている許可リストと、実際にメールを送ってきたサーバーのIPアドレスを照合します。
- 認証結果の判断:
- IPアドレスが許可リストに含まれていれば、「認証成功（Pass）」と判断され、正規のメールとして扱われます。
- IPアドレスが許可リストに含まれていなければ、「認証失敗（Fail）」と判断され、なりすましメールの疑いがあるとして、迷惑メールフォルダに振り分けられたり、受信を拒否されたりする可能性があります。
SPFレコードの書き方と例
SPFレコードは、DNSのTXTレコードとして、特定の書式に従って記述します。基本的な構造は以下のようになります。
v=spf1 [機構（mechanism）] [修飾子（qualifier）]v=spf1: SPFのバージョンを示します。現在は「spf1」が使われます。必ずレコードの先頭に記述します。- 機構 (mechanism): どのサーバーを許可するかを指定します。複数指定可能です。
ip4:IPv4アドレスを指定 (例:ip4:192.0.2.1,ip4:192.0.2.0/24)ip6:IPv6アドレスを指定 (例:ip6:2001:db8::1)a:ドメイン名のAレコード（IPアドレス）を許可 (例:a:mail.example.com)mx:ドメイン名のMXレコード（メール配送サーバー）を許可 (例:mx,mx:example.com)include:他のドメインのSPFレコードを参照 (例:include:spf.google.com)all:上記のいずれにも一致しない場合の処理を指定。通常、レコードの最後に記述します。
- 限定子 (qualifier): 機構に一致した場合の処理を指定します。機構の直前に記述します（省略時は
+）。+: Pass (認証成功)-: Fail (認証失敗、拒否推奨)~: SoftFail (認証失敗、受信はするが迷惑メール扱いなどの処理推奨)?: Neutral (認証結果は中立、何も判断しない)
記述例:
example.com. IN TXT "v=spf1 ip4:192.0.2.1 include:_spf.google.com ~all"この例の意味:
v=spf1: SPFバージョン1を使用します。ip4:192.0.2.1: IPアドレス「192.0.2.1」からの送信を許可します（Pass）。include:_spf.google.com: Google Workspaceなど、Googleのサーバーから送信する場合の許可設定を参照します。~all: 上記のいずれにも一致しないIPアドレスからのメールは、SoftFail（疑わしいメール）として扱います。
- 1つのドメインに対して、
v=spf1で始まるSPFレコードは1つだけ設定します。複数あるとエラーになります。 includeなどを多用すると、DNSの参照回数制限（通常10回）を超える可能性があり、エラー（PermError）の原因となります。- 構文のタイプミス（バージョンの間違い、スペース抜けなど）がないか確認しましょう。
SPFのメリット
- なりすましメールの削減: 自社のドメインを勝手に使われることを防ぎ、フィッシング詐欺などのリスクを低減します。
- メールの信頼性向上: 受信側は、SPF認証に成功したメールをより信頼性の高いものとして扱えます。
- メール到達率の改善: 迷惑メールと誤判定される可能性が減り、正当なメールが受信トレイに届きやすくなります。
- ドメインレピュテーション（評判）の維持: なりすましメールに悪用されることを防ぎ、ドメインの信頼性を保ちます。
SPFの限界と他の技術
SPFは有効な技術ですが、いくつかの限界もあります。
- メール転送時の問題: メールが転送されると送信元IPアドレスが変わるため、SPF認証に失敗することがあります。
- ヘッダFromの偽装: SPFは通常、メールソフトに表示される「Fromアドレス」（ヘッダFrom）ではなく、実際の送受信に使われる「エンベロープFrom」を検証します。そのため、ヘッダFromが偽装されていてもSPF認証を通過してしまう場合があります。
- 内容の改ざん: SPFは送信元サーバーの正当性を検証しますが、メールの内容が途中で改ざんされていないかは保証しません。
これらの限界を補うために、他の送信ドメイン認証技術と組み合わせて利用されることが一般的です。
- DKIM (DomainKeys Identified Mail): 電子署名を用いて、メールの送信元が正当であることと、メール内容が改ざんされていないことを保証します。
- DMARC (Domain-based Message Authentication, Reporting and Conformance): SPFとDKIMの認証結果を利用し、認証に失敗したメールの扱い（拒否、隔離など）をドメイン所有者がポリシーとして指定できるようにします。また、認証結果に関するレポートを受け取ることも可能です。
近年、Gmailなどが送信者ガイドラインを強化し、SPF、DKIM、DMARCの設定を必須または推奨する動きが進んでいます（例: 2024年2月以降のGmail送信者ガイドライン変更）。
まとめ
SPFは、メールの送信元ドメインが偽装されていないかを検証するための重要な技術です。DNSにSPFレコードを設定することで、なりすましメールを減らし、自社ドメインの信頼性を高めることができます。
設定は少し複雑に感じるかもしれませんが、正しく設定することでメール配信の安全性を向上させることができます。DKIMやDMARCといった他の技術と組み合わせることで、より強固なメールセキュリティを実現できます。