SPFフラット化とは何か、なぜ重要なのか？

「SPFフラット化についてよくある誤解は、それが一度きりの対応で済むという考えです」と、DuoCircleのCTOであり、AutoSPFのフラット化エンジンの設計者であるAdam Lundriganは述べています。「ベンダーのIPレンジは絶えず変化します。Googleは2025年だけで自社の_netblocksを3回もローテーションしました。自動的に再解決されないフラット化済みレコードは古くなり、正当な送信者を静かに認可から外してしまいます。だからこそAutoSPFは15分ごとに再スキャンを行うのです。」

「10ルックアップの上限は、企業のSPFレコードが静かに壊れてしまう理由として断トツで最も多いものです」と、DuoCircleのゼネラルマネージャーでありAutoSPFの創設者であるBrad Slavinは述べています。「2,000以上の顧客ドメインのSPFを管理してきた私たちの経験では、障害のパターンは常に同じです。チームが新しいSaaSツールを追加し、そのincludeによって合計が10を超え、正当なメールが失敗し始める。しかし、顧客が請求書やパスワードのリセットが届かないと苦情を言うまで、誰もそれに気づかないのです。」

メールサービスがほんの数個しかない場合、たとえばあなたに代わってメールを送信するサーバーが1台か2台程度であれば、SPFレコードの管理は比較的簡単です。しかし現実には、それはほとんど実現可能ではありません。というのも、ほとんどの組織にはひと握り以上のサーバーや、あなたに代わってあなたのドメインを利用するサードパーティサービスが存在するからです。これには、CRM、マーケティングプラットフォーム、ヘルプデスクシステム、請求ソフトウェア、さらにはメールを処理または転送するクラウドサービスなどが含まれます。

RFC 7208によれば、SPFの評価は1回のチェックにつき10回のDNSメカニズムルックアップと2回のvoidルックアップに制限されており、いずれかの上限を超えるとPermErrorが発生し、そのドメインからのすべてのメッセージの認証が失敗します。

こうしたサービスを追加するたびに、SPFレコードにも別の「include:」が追加されます。そしてそれらが積み重なり始めると、SPFレコードは長く複雑になりすぎて扱いきれなくなります。さらに、SPFには厳格な制限があります。実行できるDNSルックアップは10回までです。これは、SPFが「include:」や「mx」、あるいは別のDNSレコードの取得を必要とするその他のものを見るたびに、それがその上限にカウントされることを意味します。そして、10回のルックアップを超えると、SPFはそれ以上の確認を停止し、あなたのレコードを無効なものとして扱います。

では、すべての送信サービスをSPFレコードに組み込み、受信サーバーによって正当なものとみなされるようにするには、どうすればよいのでしょうか。そこで登場するのがSPFフラット化です。

SPFフラット化とは何ですか？

SPFフラット化とは、長く複雑なSPFレコードを、それほど多くのDNSルックアップに依存しないシンプルなバージョンに作り替える方法です。その仕組みは、SPFレコード内のそうした「include」エントリをすべて取り込み、それらを単一のIPアドレスのリストに変換するというものです。

したがって、受信サーバーに複数のDNSレコードをそれぞれ異なるサービスごとに確認させる代わりに、SPFフラット化はあなたに代わってメールを送信することを許可された単一のIPアドレスのリストを提供します。これにより、SPFレコードは軽量で処理しやすく、10ルックアップの上限内に十分収まります。また、DNSタイムアウトやネストされすぎたルックアップによって引き起こされるSPFの失敗の可能性も減らします。選択肢を検討している場合は、マクロとフラット化の比較で、それぞれのアプローチがどのような場合に適しているかを解説しています。

なぜSPFフラット化はメール到達性と認証の重要な要素なのですか？

ご存じのとおり、複数のメールサービスを使用する場合、SPFレコードはすべてを直接収容することはできません。10回のDNSルックアップの上限に達すると、SPFは本来あるべき動作をしなくなります。しかし、これはそうしたサービスを使用できないという意味でも、正当なものとみなされないという意味でもありません。SPFフラット化がそれをすべて可能にします。

その仕組みを理解しましょう。

DNSルックアップの制限を解決する

SPFの最大の制限の一つが、10回のDNSルックアップ上限というルールです。つまり、その上限をうっかり超えることなく複数のサービスをSPFレコードに含めるのは難しくなります。SPFフラット化は、余分なルックアップを取り除くことで、この問題を回避する手助けをします。複数のincludeに依存する代わりに、フラット化は受信サーバーに単一の完全なIPアドレスのリストを提供します。 これにより、SPFレコードがルックアップの上限を超えることを防ぎ、レコードが大きくなりすぎたというだけの理由で正当なメールが失敗するのを防ぎます。

メールのなりすましのリスクを軽減する

SPFレコードが長すぎたり構造化されていなかったりすると、攻撃者がレコード内の隙を見つけて悪用しやすくなります。たとえば、SPFレコードに使用しているすべての正当なサービスが含まれていない場合、あるいはルックアップの上限の問題で一部が失敗した場合、受信サーバーは誰があなたに代わってメールを送信することを許可されているのかを明確に検証できないことがあります。これは、攻撃者が本物のように見えるなりすましメールを送信するための扉を開いてしまいます。

SPFフラット化は、受信サーバーに認可されたIPアドレスの明確で完全なリストを提供することで、これを防ぐ手助けをします。SPFレコードがクリーンで正確、そして常にルックアップの上限内にあるとき、メールプロバイダーはメールが本当にあなたから届いたものかどうかを自信を持って確認できます。

SPFの管理を容易にする

ブランドが成長するにつれ、あなたに代わってメールを送信するプラットフォームの数も増えていきます。今やおそらく、CRMプラットフォーム、マーケティングツール、あるいは別個の請求サービスや通知サービスさえ必要になっているでしょう。これらすべてを手作業で管理するのは、かなり困難になり得ます。SPFフラット化は、すべてを読みやすく更新しやすい一つのクリーンなIPアドレスのリストにまとめることで、これを簡素化します。「include」エントリの長い連なりを追い続けることや、上限内に収めるという負担に対処することを、もはや心配する必要はありません。

SPFフラット化はどのように機能しますか？

それは、現在のSPFレコードを分解し、余分なルックアップを引き起こすものをすべて抽出し、受信サーバーが即座に検証できる単一のクリーンなIPアドレスのリストに統合することで機能します。ステップバイステップの概要で、SPFフラット化がどのように機能するかを舞台裏までご覧いただけます。

SPFフラット化が、10回のDNSルックアップの上限内に収めるという厄介な問題を回避する手助けをする仕組みは、次のとおりです。

ドメインの検出

最初のステップは、現在のSPFレコードを分析し、include、a、mxなどのメカニズムを通じて参照されているすべてのドメインを特定することです。これらは通常、追加のDNSルックアップを引き起こすエントリです。

IPアドレスの収集

ドメインが特定されたら、次のステップは、それらの背後にあるすべてのIPアドレスを調べることです。これは、IPv4とIPv6の両方のアドレスを収集し、何も見落とさないようにするために、AレコードおよびAAAAレコードを確認することを意味します。

レコードの凝縮

すべてのIPが揃ったら、SPFレコードが書き換えられます。これは、すべての「include」「a」「mx」エントリが実際のIPアドレスに置き換えられることを意味します。こうすることで、受信サーバーは追加のルックアップを行う必要がなくなります。

更新とメンテナンス

メールサーバーがあなたのメールを認証する際に参照できるよう、新しく更新されたSPFレコードをできるだけ早くドメインのDNSに追加することが非常に重要です。

ユーザー検証

最後のステップは、すべてが正しく機能していることを確認するための検証チェックを実行することです。それが完了したら、今後PermErrorを回避できるよう、フラット化されたレコードを今後どのように維持していくかを必ず理解しておいてください。

AutoSPFがどのようにお役に立てるか

私たちは、あなたに代わってメールを送信する非常に多くのツールやプラットフォームによって、メールのエコシステムがより高密度で複雑になっていることを理解しています。だからこそ、私たちはあなたのために物事をより簡単にするためにここにいます。SPFレコードを合理化することで、私たちの自動SPFフラット化ツールは、DNSルックアップの上限を超えることなく、あなたの正当な送信サービスが適切に認証されるよう支援します。

詳しくはお気軽にお問い合わせください！