InfraLab
SPF_BUILDERLocal

SPF レコードビルダー

SPF の ip4、ip6、a、mx、include、exists、redirect、all をビジュアルに組み立て、静的解析と Cloudflare DoH の include 連鎖確認を行います。

入力値はブラウザ内だけで処理され、サーバーには送信されません。通信方式について

SPF TXT レコード

v=spf1 mx -all
14 文字

SPF レコードビルダーでできること

RFC 7208 の SPF TXT レコードを、送信元 IP、include、a、mx、exists、redirect、all の組み合わせから生成します。 SPF は送信元ホストが対象ドメインのメール送信者として許可されているかを DNS で宣言する仕組みです。

生成手順

  1. 送信元を棚卸しする: 自社 MTA、SaaS、マーケティングツールなど、そのドメインで送信する全サービスを洗い出します。
  2. 機構を選ぶ: 固定 IP は ip4/ip6、外部サービスは include、同一ドメインの MX を送信元にする場合は mx を使います。
  3. DNS lookup 数を確認する: include 連鎖や mx の展開を確認し、RFC 7208 の 10 lookup 制限を超えないようにします。
  4. all の方針を決める: 移行中は ~all、整理後は -all を検討します。+all は通常使いません。
  5. TXT として公開する: 生成した v=spf1 から始まる 1 つの TXT レコードを対象ドメインへ登録し、dig で確認します。

SPF タグ/機構表

項目
v
例
spf1
意味
SPF レコードであることを示す。先頭に置く
項目
ip4 / ip6
例
ip4:192.0.2.0/24
意味
許可する送信元アドレス範囲
項目
include
例
include:_spf.example.net
意味
外部ドメインの SPF 評価を取り込む。DNS lookup を消費
項目
a / mx
例
a mx
意味
A/AAAA や MX の解決結果を送信元として許可。DNS lookup を消費
項目
redirect
例
redirect=example.net
意味
別ドメインの SPF へ評価を委譲する
項目
all
例
-all / ~all
意味
最後の既定結果。Fail / SoftFail などを決める

DMARC/DKIM との違い

SPF は送信元 IP の許可を確認します。DKIM はメール本文とヘッダの署名を確認します。DMARC は SPF または DKIM の結果が From ドメインと alignment しているかを見て、失敗時の方針を宣言します。

結果の読み方／次の一手

  • 生成値は v=spf1 から始まる 1 つの TXT レコードとして対象ドメインに公開します。
  • lookup 数が 10 に近い場合は include の整理、送信ドメイン分離、不要サービス削除を検討します。
  • +all はすべてを許可するため、メール認証の意味を失います。通常は使いません。
  • SPF 公開後は実メールのヘッダで SPF pass と DMARC alignment を確認します。

よくある質問

SPF レコードは何個まで公開できますか？
対象ドメインに公開する SPF TXT は 1 つにまとめます。複数の v=spf1 レコードがあると PermError になり得るため、SaaS 追加時は include などを 1 レコードへ統合します。
include はいくつまで使えますか？
RFC 7208 は SPF 評価中の DNS lookup を 10 回までに制限しています。include、a、mx、ptr、exists、redirect などが lookup を消費するため、SaaS を増やすと上限に達することがあります。
~all と -all の違いは？
~all は SoftFail、-all は Fail を返します。移行中は ~all で影響を確認し、正規送信元が整理できたら -all を検討します。
SPF だけでなりすまし対策は十分ですか？
十分ではありません。転送で SPF が失敗することがあり、From ドメインとの alignment も SPF 単体では宣言できません。DKIM と DMARC を併用してください。
関連ツール