Sender Policy Framework (SPF) の仕組み

先にも記述したようにSPF情報は、DNS ( ネームサーバー ) の TXT (テキスト) レコード にて設定します。
よくある設定例は、以下のようなものです。

        IN   MX 10  mail.example.com.
        IN   TXT    "v=spf1 mx ~all"
mail    IN   A      11.22.33.44

上記は、メールに関する事項のみを記載しています。（本当は、それ以外にもウェブサイト名などの設定もありますがここでは省略しています）

設定している内容を簡単に解説しておきます。

• １行目 : ドメインのメール受信先(MX)ホスト設定
• ２行目 : ドメインのSPF設定
• ３行目 : STMP(Sendmail)サーバーのIPアドレス設定

ここでの設定内容は、以下のような意味になります。

先の例を含めて、もう少し詳しく解説してみます。

• v=spf1 : 正確には、spf 情報のバージョンを宣言しています。
  

  つまり、ここでは、spfのバージョン１を使います・・・ということです。バージョン１を指定することで、Sender ID との互換性を保持するメリットがあるとされ、一般的にspf1とするのが普通です。
  

  
  
• mx : 機構 と呼ばれるもので、ここで認証対象の送信元ホストのIPアドレスと照合する条件を記述します。
  

  ここでは、mxを指定していますから、
  送信元ホストのIPアドレスが、ドメイン名に対応するMXレコードに指定されているホストのAレコードのいずれかであれば認証OKですよ・・ということです。
  
  機構 には、他にも以下のようなものが指定できます。
  

  SPFの機構の種類

  all ( なし )

  すべての送信元ホストにマッチする。SPFレコードの末尾に置かれ、デフォルトの動作を定義するために利用される

  include ドメイン名

  引数に与えられたドメインのSPFレコードを使って認証処理を行い、その結果がPassかTempError、またはPermErrorの場合のみ値が採用される。includeに指定された先のドメインのSPFレコードによってFailの判定が与えられても、それが認証結果としては採用されない

  a ドメイン名

  送信元ホストのIPアドレスが、ドメイン名に与えられたFQDNのAレコードのいずれかであれば条件マッチする

  mx ドメイン名

  送信元ホストのIPアドレスが、ドメイン名に対応するMXレコードに指定されているホストのAレコードのいずれかであれば条件マッチする。 MXは複数与えられる場合があるが、10個までのMXホストに対して検査を行う

  ptr ドメイン名

  送信元ホストのIPアドレスをリバースルックアップし、得られたホスト名でさらに正引きを実施し、IPアドレスを得る。そのIPアドレスと送信元ホストのIPアドレスが含まれる場合、そのホスト名が引数に与えられたドメイン名と一致するかそのサブドメインである場合、認証成功となる。リバースルックアップに失敗した場合はFailとみなす。負荷の多い処理となるため、あまり利用は推奨されない

  ip4 IPネットワークアドレス（CIDR表記可能）またはIPアドレス

  送信元ホストのIPアドレスが、引数に指定されるIPネットワークに含まれているかIPアドレスにマッチする場合、認証成功となる

  ip6 IPv6ネットワークアドレスまたはIPv6アドレス

  送信元ホストのIPv6アドレスが、引数に指定されるIPv6ネットワークに含まれているかIPv6アドレスにマッチする場合、認証成功となる

  exists ドメイン名

  引数であるドメイン名に指定された表記でAレコードルックアップを実施し、該当のAレコードが存在すればマッチする。SPFのマクロ機能とあわせての利用を想定している

  出典 : http://salt.iajapan.org/wpmu/anti_spam/admin/tech/explanation/spf/ SPF技術解説（財団法人インターネット協会/センドメール執筆）の「6. SPF認証結果」

  
  
• ~all : 限定子 と 機構 の組み合わせになります。
  

  限定子は、それに続く機構にマッチした場合の認証結果を指定するものです。
  ここでは、
  ~ : 認証情報を公開しているが、正当なメールであっても認証失敗する可能性もある
  all : すべての送信元ホストにマッチする
  というそれぞれの意味をあわせた意味になります。
  つまり、認証情報は設定されていて、送信元ホストに一致する（ここではmxレコードで指定されたホストになる）場合は、認証成功(Pass)となるが、 mxレコード以外のホストからも送信されることがあるので、認証失敗(SoftFail)とこともあるよ・・・という意味になります。 ちょっとアバウト・・・ですが、そういう意味です。
  
  限定子 には、他にも以下のようなものが指定できます。
  

  SPFの限定子の種類

  +	:[Pass]	当該ドメインの送信メールサーバとして認証する
  –	:[Fail]	当該ドメインの送信メールサーバとして認証しない
  ~	:[SoftFail]	認証情報を公開しているが、正当なメールであっても認証失敗する可能性もある
  ?	:[Neutral]	認証情報を公開しない

  出典 : http://salt.iajapan.org/wpmu/anti_spam/admin/tech/explanation/spf/ SPF技術解説（財団法人インターネット協会/センドメール執筆）の「6. SPF認証結果」

  
  
• 上記以外に修飾子 というものも設定することができます。
  

  修飾子 には、以下のようなものが指定できます。
  

  SPFの修飾子の種類

  redirect [ redirect=ドメイン名 ]

  引数であるドメイン名に指定されたドメインのSPFレコードにより認証処理を実行する。複数のドメインが、1つのSPF定義を共有するような場合での使用を想定している。この修飾子を利用する場合、SPFレコードの末尾に配置することが推奨されている

  exp [ exp=ドメイン名 ]

  認証が失敗した場合、引数であるドメイン名に指定されたドメインのTXT RRに設定されている文字列を、認証失敗した理由や説明等として利用する。SMTPセッションでのエラーメッセージなどでの利用を想定している

  出典 : http://salt.iajapan.org/wpmu/anti_spam/admin/tech/explanation/spf/ SPF技術解説（財団法人インターネット協会/センドメール執筆）の「6. SPF認証結果」