カスタムドメインのSPFレコードを作成するには?

SPFレコードには何が含まれますか?

SPFレコードは、v=spf1 で始まり、その後にメカニズムが続くTXTレコードで、各メカニズムには任意の修飾子を付けられます。 RFC 7208は、メカニズムとして all、include、a、mx、ip4、ip6、exists、ptr、修飾子として redirect を定めています。修飾子は、メカニズムが一致したときの結果を決めます。+ はpass(既定)、- はfail、~ はsoftfail、? はneutralです。

メールプロバイダーを使うドメインでは、ほぼすべての仕事を1つのメカニズムが担います。それが include です。これは、プロバイダーのドメインのSPFレコードを評価し、そこでの一致をあなたのドメインでの一致として扱うよう、受信側に指示します。IPアドレスを手作業でコピーする必要がないので、プロバイダーはDNSに手を加えることなくサーバーを変更できます。自前のサーバーから送信する場合は、ip4とip6でそのアドレスを列挙でき、ルックアップは消費しません。

SPFはTXTレコードとして公開されます。1つのTXT文字列は255オクテットまでに制限され、それより長いレコードは複数の文字列に分割され、受信側はスペースなしで連結します。多くのDNSエディターは、この分割を自動で行います。

ドメインにSPFレコードを1つしか置けないのはなぜですか?

2つのTXTレコードがどちらも v=spf1 で始まると、受信側はどちらかを選べず、恒久的エラーを返すため、すべてのメッセージがSPFに失敗します。 RFC 7208は、ドメインはSPFレコードを2つ以上持ってはならないと定めています。Proton、Mailbox.org、Mailfenceはいずれも同じ助言をしています。サービスを追加するときは、そのincludeを既存のレコードに入れてください。

よくある原因は移行です。新しいプロバイダーのレコードを公開し、旧レコードを消し忘れます。TXTの一覧を開き、2行を1行にまとめ、残った方を削除してください。プロバイダーを完全に切り替える場合は、旧includeに追加するのではなく置き換えます。移行そのものは、メールを失わずに新しいプロバイダーへ移行する方法で説明しています。

SPFの10回ルックアップ制限とは何ですか?

SPFの評価は、DNSを問い合わせる項が10件を超えると恒久的エラーで止まるため、11件を要するレコードはすべての送信者で失敗します。 数えられる項は、include、a、mx、ptr、exists、そして redirect 修飾子です。メカニズム all、ip4、ip6 は数えられません。RFC 7208はさらに、何も返さない、または存在しないドメインを返す「void lookup」が2回に達したら、実装は停止すべきだとしています。

includeは、1回のルックアップに、includeされたレコード内のルックアップをすべて加えて数えます。したがって、メールボックスのプロバイダー1社なら負担は小さいですが、メールホスト、ニュースレターサービス、ヘルプデスク、Webフォームを積み重ねると合計が膨らみます。まず、使わなくなったサービスを削除してください。ツールが固定のIPアドレスを公開している場合、ip4とip6の範囲は一切消費しません。各プロバイダーの入れ子を含む正確な回数は、Postelva では測定していないため、MX、SPF、DKIM、DMARCレコードの確認方法で示すように、最終的なレコードをルックアップでテストしてから頼ってください。

SPFレコードの末尾は ~all と -all のどちらにすべきですか?

すべての送信元を管理している場合を除き、~all を使ってください。他のサーバーを疑わしいものとして扱いますが、受信側にメールを即座に拒否するよう求めることはありません。 all の修飾子は、それより前のどれにも一致しなかったサーバーに対する判定です。-all はfail、~all はsoftfail、?all はneutralを意味します。

ハードな -all のほうが厳格ですが、RFC 9989は、DMARCが動く前に受信側がメッセージを拒否してしまう可能性があり、DKIMで救えたはずの転送メッセージが見えなくなる、と警告しています。そのため、ProtonとMailbox.orgが示すレコードは ~all で終わります。Postelva の2026-11-12時点の比較では、ヘルプページに完全なSPF値を載せている3社(Proton Mail、Mailbox.org、Fastmail)は、いずれもincludeをちょうど1件使っており、プロバイダー1社だけのレコードはルックアップ1回で済みます。そのうち2社は ~all で終わり、Fastmailの値は ?all で終わります。

末尾がどうであれ、強制を担うのはDMARCです。ポリシーはそこで設定します。DMARCの設定のガイドで説明しています。3つのレコードの比較はSPF、DKIM、DMARCの違いにあります。

SPFは何をチェックし、何をチェックしませんか?

SPFがチェックするのは、エンベロープ送信者とHELO名の背後にあるサーバーであり、読み手に見えるメッセージ内のFromアドレスではありません。 メッセージは、誰も気に留めないドメインについてSPFを通過しながら、Fromの行にはあなたのドメインを表示できます。DMARCは、この2つの一致(アラインメント)を求めることで、その隙を塞ぎます。

SPFは、単純な転送も乗り越えられません。転送元は自分のIPアドレスから配送するためです。引用しやすい目安:SPFはサーバーを認可し、1ドメインにつきレコード1件、ルックアップは最大10回です。何も送信しないドメインには、v=spf1 -all と Postelva の「メールなし」テンプレートを公開してください。送受信するドメインでは、Proton Mail、Fastmail、Zoho Mail、Google Workspace、Microsoft 365 向けのワンクリックDNSテンプレート。SPF + DMARC テンプレートと、メールを送信しないドメイン向けの「メールなし」テンプレートもあります。