SPF（Sender Policy Framework）は、SMTP接続元のIPアドレスが、検査対象ドメインの送信方針で許可されているかを確認する仕組みです。メール本文の安全性や、差出人として表示される個人の本人性を保証するものではありません。この記事では基本的な検証の流れを整理します。
何のドメインを調べる？
通常はSMTPのMAIL FROMで使うドメイン（エンベロープFrom）が対象です。HELO/EHLOのドメインを検査する場合もあり、MAIL FROMが空の場合はHELOの情報を用います。メールソフトに表示されるヘッダーFromとは別の情報です。
SPFの検証手順
- ドメインの管理者がDNSのTXTレコードで送信方針を公開する。
- 受信サーバーが接続元IPアドレスと検査対象ドメインを確認する。
- DNSから方針を取得し、記述された仕組みと修飾子に従って評価する。
- 認証結果を、受信側の迷惑メール対策やDMARC判定などで利用する。
単に「IPがリストにないから必ずFail」ではありません。記述した方針やDNS応答によって結果は変わります。
代表的な結果
| 結果 | 読み方 |
|---|---|
| Pass | 送信方針により許可された |
| Fail | 送信方針により許可されていない |
| Softfail | 許可されていないとする弱い表明 |
| Neutral | 許可・不許可を表明していない |
| None | 該当するSPF方針がない等 |
| Temperror / Permerror | 一時的なエラー／方針の評価ができない恒久的な問題 |
結果と、メールを配送・隔離・拒否する最終判断は別です。受信側は他の認証結果や運用方針も考慮します。
SPFだけでは確認できないこと
本文や添付ファイルの無害性、署名対象の改ざん、表示Fromとの一致はSPF単独の確認対象ではありません。転送で接続元が変わると、正規メールでも評価に影響することがあります。DKIMやDMARCと役割を分けて理解しましょう。
確認問題：SPFがPassなら、表示Fromのドメインも必ず確認できている？
いいえ。SPFの対象ドメインと表示Fromは別の場合があります。表示Fromとの整合性はDMARCで扱います。
noteで認証・署名の基礎を復習
メール認証の理解には、なりすまし、公開鍵、ディジタル署名の違いが役立ちます。情報セキュリティのnote教材で関連用語と対策を整理し、各技術が何を確認するか説明してみましょう。
コメント