SPF Flattening： 神話、反論、そして事実

プロバイダーのIP変更がflatten済みのレコードに反映されません。Mailhardenerは、古いIPが原因で20通に1通のメールが失敗すると報告しています。

Mailhardener、Valimail、dmarcian

手動のflatteningでは事実です。AutoSPFは15分ごとに再スキャンし、上流のIPが変更されるたびにレコードを自動更新します。陳腐化は解消されます。

プロバイダーが/24しか使用していないのに/16全体をコピーすると、なりすまし用に数千もの余分なIPを認可してしまいます。

dmarcian（Tim Draegen、CTO）

AutoSPFは、元のincludeが解決する先とまったく同じIPに解決します。それ以上でもそれ以下でもありません。攻撃対象領域はflattening前とまったく同一です。

includeメカニズムは、プロバイダーが自社のインフラを管理できるようにします。flatteningはその委譲を取り除きます。

Mailhardener、dmarcian

AutoSPFは、上流のincludeを継続的に追跡することで委譲を維持します。これは静的なスナップショットではなく、プロバイダーが公開している内容のライブなミラーです。委譲は理論上だけでなく、実運用でも維持されます。

各サブドメインは独自の10 lookup予算を持ち、しかも無料です。

dmarcian、EasyDMARC、システム管理者コミュニティ

サブドメインは運用対象を増やします。サブドメインごとに別々のDMARCポリシー、別々のレポート、別々のDNSゾーンが必要です。サブドメインを使う5ドメインの企業なら、管理すべきゾーンは25以上になります。AutoSPFは月額37ドルで、これらすべてを維持するエンジニアリング工数と比べれば安価です。

マクロを使えば、lookup制限に達することなく動的なSPF解決が可能です。

Valimail、DMARC Advisor

同意します。そしてAutoSPFは、flatteningとマクロの両方をサポートする数少ないプロバイダーの1つです。当社のEnterpriseプランには、無制限のincludeに対応するマクロベースのSPFが含まれています。あなたのアーキテクチャに合うアプローチをお選びください。

IPが多いレコードは長くなりすぎ、レコードの分割を強いられて新たな障害モードを招きます。

EasyDMARC、Prospeo

あなたのSPFレコードは、AutoSPFを指す単一のincludeです。1 lookup、約50文字です。重い処理は当社のマネージドDNSインフラ上で行われ、あなたのゾーンファイル内では行われません。

生のIPは読みにくく、どのサービスに属するのか判別できません。

Mailhardener

AutoSPFのダッシュボードは、すべてのサービス、すべてのIP、すべての変更を完全な監査ログとともに表示します。あなたはSPFレコードに対して、以前より少ないどころか、より多くの可視性を得られます。

SPFは、10 lookup制限を下回る複雑さに対しては到達性のペナルティが一切ありません。

Mailhardener、Prospeo

その通りです。10 lookup未満であれば、当社は必要ありません。当社は、制限に達している、または超えている大多数の組織のために存在します。そしてその数は、メールを送信するSaaSツールを追加するたびに増えていきます。

数十ものIPを手動で管理すると、入力ミスのリスクが高くなります。

Valimail、EasyDMARC

AutoSPFでは人がIPに触れることはありません。システムがすべてのアドレスをプログラムによって解決・検証します。入力ミスも、打ち間違いも、桁の抜け漏れもありません。

Google、Microsoft、Salesforceは、送信IPが変更されても決して通知してくれません。

Valimail、Prospeo

まさにそのために、当社は15分ごとにスキャンしています。プロバイダーが通知するかどうかにかかわらず、配信障害を引き起こす前に変更を検出します。

255文字を超えるとレコードの連鎖が強いられ、再びlookup制限に達します。

Valimail

あなたのレコードは、AutoSPFへの単一のincludeです。1 lookup、約50文字です。分割も、連鎖も、制限の再発もありません。

担当者が入れ替わると、IPとサービスの対応に関する組織的知識が失われます。

Valimail、Mailhardener

AutoSPFのダッシュボードは、すべてのIPをその出所サービスに対応づけ、完全な変更履歴を保持します。知識は誰かの頭の中ではなくツールの中に存在するため、従業員の入れ替わりを乗り越えられます。

複雑なSPFレコードは、Microsoftの厳しいDNSタイムアウトによって失敗します。flatteningは役立ちますが、陳腐化を生みます。

Suped、PowerDMARC

AutoSPFは、CloudflareのグローバルなDNSから50ミリ秒未満の応答時間でflatten済みのレコードを提供します。タイムアウトのリスクも陳腐化のリスクもありません。どちらのトレードオフもなく、両方のメリットが得られます。

マーケティングメールをmarketing.domain.comに移せば、無料の解決策です。

dmarcian、Reddit

サブドメインを使う5ドメインの企業は、25以上のDNSゾーン、別々のDMARCポリシー、そして何時間ものエンジニアリングを意味します。月額37ドルのAutoSPFはそのすべてを解消します。「無料」は、ツールよりもエンジニアリング工数の面で高くつきます。

本来なら一度きりのDNS設定であるべきものに、月額料金を課しています。

コミュニティの懐疑派

Googleは12か月でSPF includeを23回変更しました。Microsoftは17回変更しました。これは一度きりの設定ではなく、継続的な監視です。ツールに支払うか、エンジニアに支払うかのどちらかです。ツールの方が安価です。

AutoSPFが停止したり解約したりすると、あなたのSPFレコードが壊れます。

代理店/MSPコミュニティ

あなたはDNSの完全な所有権を保持します。AutoSPFは標準的なincludeであり、SPFにGoogleやMicrosoftを追加するのとまったく同じです。削除は30秒で完了します。includeを削除し、元のレコードを貼り戻すだけです。

根本的な問題はlookup制限ではなく、不十分なSPF運用です。flatteningはそれを取り繕うだけです。

業界調査（28,314ドメイン）

AutoSPFのダッシュボードは、運用上の問題、無効なlookup、未使用のメカニズムを警告します。flatteningはlookup制限を解決し、ダッシュボードは運用状態を改善します。両者は競合するものではなく、補完し合うものです。