AutoSPFが解説：CloudflareにSPFレコードを追加するための決定版ガイド

電子メールはデジタル時代における最も強力なコミュニケーション手段の一つですが、その力には責任が伴います。トランザクションメッセージ、ニュースレター、社内チームのメールなど、メールを送信するドメインを運用しているのであれば、それらのメッセージを正しく認証する_必要があります_。適切な認証がなければ、あなたのメールは受信サーバーによってスパムとしてタグ付けされたり、ブロックされたり、あるいは完全に拒否されたりするリスクにさらされます。

RFC 7208によれば、SPFの評価は1回のチェックにつきDNSメカニズムのルックアップ10回、voidルックアップ2回に制限されており、いずれかの上限を超えるとPermErrorが発生し、そのドメインからのすべてのメッセージで認証が失敗します。

Cloudflareや他の数十のプラットフォームを対象とした設定手順については、当社のSPFレコード設定ガイドをご覧ください。

そこで登場するのがSPF（Sender Policy Framework）です。

この詳細なガイドでは、SPFについて知っておくべきすべて、すなわちSPFとは何か、なぜ重要なのか、CloudflareがDNSレコードをどのように扱うのか、そしてCloudflareでSPFレコードを段階的に追加する_正確な_方法をご案内します。また、最初から正しく設定できるように、高度なヒントやよくある落とし穴についても取り上げます。

SPFとは何か？

SPFはSender Policy Frameworkの略で、ドメイン所有者が自分に代わってメールを送信することを許可されたサーバーやサービスの一覧を公開するための仕組みです。技術的な言い方をすれば、SPFはDNS TXTレコードであり、どのIPアドレスやドメインが自分のドメインのためにメールを送信できるかを定義します。

受信メールサーバーが、あなたのドメインから送られたと主張するメールを受け取ると、SPFチェックを実行します。サーバーはDNSからSPF TXTレコードを取得し、送信サーバーが認証されているかどうかを検証します。認証されていればチェックは通過し、認証されていなければチェックは失敗し、メールはスパムに配信されるか、完全に拒否される可能性があります。

SPFは、メールなりすまし、フィッシング、ドメインの不正利用への対策に役立ちます。これらはいずれも、あなたの評判や到達性に対する大きな脅威です。SPFはあなたのビジネスと受信者の両方を保護します。

なぜCloudflare DNSなのか？

Cloudflareは世界で最も広く利用されているDNSプロバイダーの一つです。グローバルに分散したネットワークにより、DNSを世界中でキャッシュしてパフォーマンスを向上させ、組み込みの保護機能でセキュリティの強化にも役立ちます。多くのドメイン所有者は、信頼性が高く、高速で、他のCloudflareサービスとの統合も優れているという理由から、DNSの管理にCloudflareを利用しています。

CloudflareをDNSのためだけに使う場合でも、他のCloudflare機能（CDN、セキュリティ、メールルーティングなど）と組み合わせて使う場合でも、SPFを含むDNSレコードを追加する手順は同じ基本パターンに従います。

なぜSPFが何よりもまず重要なのか

SPFは、単にあなたのメールが_配信される_のを助けるだけではありません。SPFは、連携して機能する3つの標準からなるトリオの一部です。

SPF：メールが認証されたサーバーから送信されていることを検証します。
DKIM：送信メッセージに暗号署名を付加し、受信者が完全性を検証できるようにします。
DMARC：SPFやDKIMに失敗したメッセージをどのように扱うかを受信サーバーに指示し、必要に応じて失敗に関するレポートを送信します。

これらのプロトコルは連携することで、スパム、フィッシング、なりすましメールを削減し、インターネット全体におけるドメインの評判を向上させます。

SPFを追加する前に、マーケティングプラットフォーム、CRMシステム、社内メールサーバーなど、あなたのドメインに代わってメールを送信するすべてのサービスを把握しておくようにしてください。

SPFレコードの仕組み（概念的に）

SPFレコードはDNS内にTXTレコードとして存在します。一般的なSPFレコードは次のようになります。

v=spf1 ip4:192.0.2.0/24 include:mailprovider.com ~all

各部分の意味は次のとおりです。

v=spf1：これがSPFバージョン1のレコードであることを宣言します。
ip4:192.0.2.0/24：メール送信を許可するIPのブロックを指定します。
include:mailprovider.com：サードパーティのメールサービス（ニュースレター提供者など）のSPFルールを取り込みます。
~all：上記に記載されていない送信者に対する「ソフトフェイル」を指定します。これはメールが_疑わしいものとしてマークされる可能性がある_ことを意味します。より厳格な「ハードフェイル」には -all を使用することもできます。

Cloudflareでは、SPFレコードはDNS設定内でTXTレコードとして作成する必要があります。SPFレコードの例を並べて確認すると、構文を定着させるのに役立ちます。

ステップバイステップ：CloudflareでSPFレコードを追加する

次の手順に従って、CloudflareでSPFレコードを安全に公開してください。

ステップ1：Cloudflareにログインする

https://dash.cloudflare.comにアクセスし、Cloudflareの認証情報でログインします。

ステップ2：ドメインを選択する

ドメインの一覧から、設定したいドメインをクリックします。

ステップ3：DNS設定に移動する

左側のサイドバーでDNSをクリックします。これでDNSレコードのダッシュボードに移動します。

ステップ4：新しいDNSレコードを追加する

「レコードを追加」をクリックします。新しいレコードのフォームで、次のように入力します。

タイプ：TXTを選択します
名前：@ と入力します（これはルートドメインを表します）
コンテンツ：SPFルールを貼り付けます
TTL：変更する特別な理由がない限り、Autoのままにします

基本的なSPFエントリは次のようになります。

v=spf1 include:thirdpartyservice.com ~all

認証されたすべての送信者（サーバー、ニュースレタープラットフォーム、CRMなど）を必ず含めてください。

その後、保存をクリックします。

重要：1つのドメインが持つべきSPFレコードは1つだけです。複数のレコードがあると認証の失敗を引き起こす可能性があります。複数の送信者を認証する必要がある場合は、includeメカニズムとIPメカニズムを使用して、それらを1つのレコードにまとめてください。

複数のソースを認証する際のベストプラクティスとは？

多くのドメインは、複数のシステムを通じてメールを送信しています。たとえば次のようなものです。

社内メールサーバー
メールマーケティングツール
CRMまたはサポートプラットフォーム
サードパーティのベンダー

これらすべてがあなたのドメインに代わって送信している場合は、複数のSPFレコードを作成せず、それらをまとめてください。たとえば次のようになります。

v=spf1 ip4:192.0.2.0 include:mailchimp.com include:zohomail.com ~all

各 include: は1つのベンダーに対応します。includeやメカニズムが多すぎるとDNSルックアップの上限に達する可能性があるため、慎重に計画してください。さまざまなSPFレコードのバリエーションを理解しておくと、最も無駄のないメカニズムを選ぶのに役立ちます。

SPFレコードを検証する

レコードを追加したら、検証を行うべきです。

DNSの伝播を待つ

DNSの変更がウェブ全体に伝わるまでには、数分から数時間かかることがあります。

SPFルックアップツールを使用する

次のようなツールを使用します。

SPFバリデーター
DNS TXTルックアップ
メール認証チェッカー

これらのツールは、レコードが可視であり、構文的に正しいことを確認します。当社の無料のSPFレコードチェッカーは、まさにそれを行います。

よくあるエラーとその修正方法

複数のSPFレコード

Cloudflareは、すべてのDNSシステムと同様に、1つのドメインにつき_1つ_のSPF TXTレコードしかサポートしていません。誤って複数作成してしまうと、一部のメールサーバーはあなたのメッセージを完全に拒否します。Cloudflare Docs

DNSルックアップが多すぎる

サードパーティのサービスを取り込みすぎたSPFレコードは、DNSルックアップの上限（10 include）を超えることがあります。この上限に達すると、レコードが技術的には存在していても、メール認証が失敗することがあります。

includeの欠落

ベンダーのSPFを含め忘れると、そのメールはSPFチェックに失敗し、スパムに入る可能性があります。

誤ったレコードタイプ

ドメイン所有者がSPFをレコードタイプとして使おうとすることがありますが、SPFはTXTレコードとして公開しなければなりません。Cloudflareは旧来のSPFレコードタイプをサポートしていません。

DKIMとDMARCでメールセキュリティを強化する

SPFが有効になったら、そこで止まらないでください。

DKIM

DKIMはメッセージに暗号署名を付加し、受信者がメッセージが転送中に_改ざんされていない_ことを検証できるようにします。追加のDNS TXTレコードまたはCNAMEレコードを使用し、メールサービス側のサポートが必要です。

DMARC

DMARCを使うと、SPFやDKIMに失敗したメールを受信サーバーがどのように扱うかを指示でき、必要に応じて失敗に関するレポートを収集できます。DMARCは通常、_dmarc.yourdomain.com にTXTレコードとして追加します。

SPF、DKIM、DMARCは連携して、強力なメール認証の基盤を形成し、到達性とブランド保護にとって不可欠です。

SPF管理を簡素化するツール

SPFレコードを手動で管理するのは、特に多くのメールサービスを利用している場合、手間がかかります。AutoSPF（それが私です！）、EasyDMARC、PowerDMARCなどのツールは、次のことに役立ちます。

SPFレコードの生成
構文の検証
includeの集約
DNSの問題の監視

これらのツールは、あなたのメールエコシステムが進化しても、SPFが健全な状態を保てるようにするのに役立ちます。

最後のヒント

はい常に1つのドメインにつき1つのSPFレコードを維持してください。はい認証された_すべての_送信ソースを含めてください。はい公開後にテストしてください。はいサービスを追加または削除したときに定期的に見直してください。はい完全な保護のために、DKIMとDMARCで補完してください。