ひとことで言うと
「このドメインのメールは、このサーバーから送る」と宣言する設定
EXAMPLE
たとえば
DNSに1行書くだけで設定でき、なりすましメールを見分ける手がかりになります。図鑑の「なりすましメール診断」で、設定があるか確かめられます。
01SPFでできること・できないこと
SPFは、「このドメインのメールは、このサーバーから送ります」と、DNS（ドメインの設定）で宣言するしくみです。メールを受け取った側は、送られてきたサーバーがその一覧に入っているかを確かめます。入っていなければ、なりすましの疑いがあると判断できます。
設定は、DNSにテキストの1行（TXTレコード）を足すだけです。書く値は、使っているメールサービスが案内しています。
総務省は、標的型攻撃への対策として、SPFなどの送信ドメイン認証で送り主が正しいかを確かめることを挙げています。
できないこともあります。
- SPFが確かめるのは、メールの配送の情報に書かれた送り主です。受け取った人が画面で見る送り主（From）と違うことがあり、SPFだけでは、見た目の送り主のなりすましを防ぎきれません。この穴を埋めるのがDMARCです。
- 転送されたメールは、SPFに不合格になることがあります。
- 不合格のメールをどう扱うかは、受け取る側しだいです。
02どんな会社・人に必要か
自社のドメインでメールを送るすべての会社に必要です。設定がないと、自社のドメインをかたったメールが本物と区別されにくくなります。逆に、受け取る側でSPFの設定がないドメインからのメールは、迷惑メールと扱われやすくなります。Googleの送信者ガイドラインでは、Gmailあてに送るすべての送信者に、SPFかDKIMのどちらかの設定を求めています。1日5,000通を超えて送る場合は、両方が必要です。
03導入するときに見ること
- 自社のドメインで送っているサービスを洗い出し、すべてを一覧に入れます。社内のメールサーバーのほか、配信サービス、ネットショップの自動メール、請求書の送信サービスなども対象です。漏れると、本物のメールが届かなくなります。
- 新しく配信サービスを使い始めたとき、やめたときは、そのつどSPFも直します。古い送信元を残したままにしないようにします。
- 設定したら、自社から自分あてにメールを送り、受け取ったメールのヘッダーでSPFの結果が合格（pass）になっているかを確かめます。
- メールを送らないドメインにも、「このドメインからは送らない」というSPFを設定すると、なりすましに使われにくくなります。
ARTICLES
