レコードはフィルターではなくポリシー
SPF 自体は何もブロックしません。公開したレコードは、許可された IP とプロバイダーを受信サーバーに伝え、それ以外から届いたメッセージの扱いは各受信側が決めます。
そのため SPF レコード生成ツールが尋ねるのは、正規メールの送信元と、未許可の送信元をどの程度厳しく扱うかの 2 点です。
無料の SPF ツール
SPF レコード生成ツール
ドメイン用の有効な v=spf1 TXT レコードを作成できる、無料の SPF レコード生成ツールです。IP とプロバイダーを追加し、SPF ポリシーを選んでレコードをコピー。登録不要で、通常の利用に回数制限はありません。
SPF レコードを生成
このドメインからの送信を許可する IPv4 または IPv6 アドレスを追加します。
Google Workspace や SendGrid などの第三者送信サービスを追加します。
SPF レコード生成ツールが作るもの
SPF レコードは、エンベロープ送信者に自ドメインを使用してメールを送信できるすべての送信元を列挙した、単一の TXT レコードです。この無料の SPF レコード生成ツールは、その一覧を受信側が求める正確な構文に変換するため、年に 2 回ほどしか使わない文法を手書きする必要がありません。
受信サーバーは配信時に SPF レコードを読み、接続元 IP と照合して、選択した修飾子を適用します。SPF レコード生成ツールはメカニズムを標準的な順序で出力し、DNS ルックアップ 10 回の上限内に収めます。
生成ツールが出力する SPF レコード構文
生成ツールが出力できる各 SPF メカニズムと、SPF レコード内でそれぞれが許可する内容です。
- ip4:x.x.x.x — 単一の IPv4 アドレスを許可
- ip4:x.x.x.x/24 — IPv4 CIDR 範囲を許可
- ip6:::1 — IPv6 アドレスを許可
- include:domain.com — 別ドメインの SPF レコードを取り込みます（第三者送信元に使用）
- a — ドメインの A レコード IP を許可
- mx — ドメインの MX レコード IP を許可
all 修飾子の選び方
最後の SPF メカニズムは、SPF レコードに記載されていないすべての送信元の扱いを決めます。登録不要の SPF レコード生成ツールなので、調整中は何度でもレコードを作り直せます。
| 修飾子 | 動作 |
|---|---|
| +all | すべての送信元が合格します。使用しないでください。SPF の意味がなくなります。 |
| ~all | ソフトフェイル — 未許可のメールは受信されますが、フラグが付きます。テスト中に使用します。 |
| -all | ハードフェイル — 未許可のメールは拒否されます。本番環境で使用します。 |
| ?all | ニュートラル — ポリシーを示しません。ほとんど役に立ちません。 |
一般的なプロバイダーの include
次のサービスから送信する場合は、対応する SPF include を生成ツールに貼り付けてください。各 include は固有の SPF ルックアップを追加します。
- Google Workspace: include:_spf.google.com
- Microsoft 365: include:spf.protection.outlook.com
- Mailchimp: include:servers.mcsv.net
- SendGrid: include:sendgrid.net
- Mailgun: include:mailgun.org
DNS ルックアップ 10 回の上限
SPF の評価時、include:、a、mx、ptr、exists: の各メカニズムは DNS ルックアップを 1 回消費し、RFC 7208 では合計 10 回が上限です。超過すると受信側は permerror を返し、多くの場合 SPF がないものとして扱われます。この SPF レコード生成ツールは出力をフラットに保ち、上限を超える前に警告します。
SPF は DKIM と DMARC と組み合わせると最も効果的です
SPF 単体が保護するのはエンベロープ送信者（Return-Path）であり、表示される From アドレスではありません。なりすましを完全に防ぐには、メッセージに署名する DKIM と、認証結果を From ヘッダーと整合させる DMARC も必要です。この 3 つの標準が揃うことで、Gmail、Outlook、Yahoo Mail が求めるメール認証の基準になります。
SPF の設定後は、リストもクリーンにしておきましょう。 メール検証 は、送信前に無効・リスクの高いアドレスを除外し、退信率を低く保ち、適切な認証で築いた送信者レピュテーションを守ります。一括でアドレスを検証するには 一括メール検証 をご利用いただくか、スタックへ直接組み込む場合は メール検証 API。
レコードが示す内容
SPF レコード生成ツールが実際に作るもの
SPF レコードは、エンベロープで自ドメインを使用してメールを送信できるすべての送信元を列挙した、1 つの TXT 文字列です。無料の SPF レコード生成ツールは、文法を覚えなくても、そのポリシー判断を正しい構文に変換します。
メカニズムは許可された送信元を示す
ip4 と ip6 は、管理下にある特定のアドレスまたは CIDR 範囲を許可します。include: はプロバイダー独自の SPF レコードに委譲するため、Google、Microsoft、Mailchimp、SendGrid、Mailgun がインフラを変更しても設定が保たれます。
a と mx は、自ドメインの A または MX レコードが指す宛先を許可します。SPF レコード生成ツールは標準的な順序で出力し、一般的なケースでは評価が早く終了するようにします。
all 修飾子がポリシー全体を決める
-all はハードフェイルで、一覧にないものはすべて未許可です。~all はソフトフェイルで、通常は拒否ではなく疑わしいものとして扱われます。?all はニュートラルで、何も強制しません。
最初から -all を既定値にする無料の SPF レコード生成ツールでは、正規メールを失いかねません。まず ~all を公開し、問題を観測してから厳格化してください。この生成ツールが 3 種類すべてを用意しているのは、そのためです。
DNS ルックアップ 10 回は厳格な上限
include:、a、mx、ptr、exists: の各メカニズムは DNS ルックアップを 1 回消費し、SPF 仕様では評価の上限を 10 回と定めています。超過すると受信側は permerror を返し、多くの場合 SPF がないものとして扱われます。
手書きのレコードが気付かないうちに機能しなくなる原因として、最も一般的です。SPF レコード生成ツールは出力をフラットに保ち、問題になる長さへ達する前に警告します。
レコードの読み方
生成された SPF レコードの各部分が示す意味
出力は最初から最後まで読めるほど短いものです。各トークンの働きを理解すれば、後から配信を壊さずに編集できます。
v=spf1 — バージョンタグ
すべての SPF レコードは v=spf1 で始まり、これがない TXT レコードは SPF レコードではありません。SPF レコードは 1 ドメインにつき 1 つだけです。2 つ公開すると統合されず、permerror になります。
SPF レコード生成ツールの出力で既存レコードを置き換える場合は、両方を公開せず、メカニズムを手作業で統合してください。
include: — プロバイダーへの委譲
include:_spf.google.com は、Google が現在許可している送信元を取り込みます。Google の変更が自動的に反映される一方、DNS ルックアップのコストも 10 回の上限に加算されます。
実際に自ドメイン名で送信するプロバイダーだけを include してください。使っていない include は、DNS ルックアップ枠を無駄に消費します。
ip4 / ip6 — 自社インフラ
自社で運用するメールサーバーに使用します。DNS ルックアップを消費しないため、送信元が多い場合に上限内へ収める最も低コストな方法です。
CIDR 表記に対応しているため、範囲全体を複数の一覧ではなく 1 つのメカニズムで指定できます。
~all または -all — その他すべての扱い
受信側が最も重視するのは、最後のメカニズムです。正規の送信元がすべて記載されていることを確認する間は ~all で始め、1 週間分のレポートに問題がなければ -all に切り替えてください。
見落とした送信元があるドメインで最初から -all にすると、正規メールを失う最短ルートになります。
公開手順
無料の SPF レコード生成ツールから公開 DNS レコードまで
手順は 4 つです。多くの人が 3 つ目を早く切り上げてしまいます。
- 1
生成前にすべての送信元を列挙する
マーケティング基盤、トランザクションメールのプロバイダー、CRM、ヘルプデスク、請求システム、何年も触れていない社内メールサーバー。自ドメイン名で送信するものはすべてレコードに含めます。
完全な一覧が揃ってから、無料の SPF レコード生成ツールを実行してください。一覧の半分だけで作成したレコードは、残り半分の送信を壊します。
- 2
ドメインルートに TXT レコードを 1 つ公開する
ホストは @ またはドメインそのもの、種別は TXT、値は生成された文字列です。通常は数分、まれに 1 時間で反映されます。
SPF 型レコードとして公開しないでください。このレコード種別は何年も前に廃止され、受信側は無視します。
- 3
実際に解決される内容を確認する
DNS プロバイダーは、長い TXT 値を予想外の形で折り返し、分割し、切り捨てることがあります。反映後の公開レコードを SPF チェッカー で確認してください。無料の SPF レコード生成ツールが作った文字列と、DNS が実際に返す文字列は、常に同じとは限りません。
DNS 管理画面では正しく見えても、実際の名前解決結果が誤っていることは珍しくなく、照会するまで発見できません。
- 4
意図的に一度だけポリシーを厳格化する
正規メールの失敗が 1 週間なければ、~all を -all に変更して再公開します。この時点から SPF は実際にドメインを保護し始めます。
送信プロバイダーを追加または削除したときは、DNS 管理画面で公開中の文字列を直接編集せず、SPF レコード生成ツールを再実行してください。
制限
SPF ができないこと
SPF は 3 つある送信者認証レコードの 1 つです。残り 2 つの役割まで期待することが、多くの設定ミスの始まりです。
SPF は転送に耐えられない
メッセージが転送されると、エンベロープ送信者はそのままでも、配信元 IP は転送サーバーのものに変わります。そのため、完全に正規のメールでも、仕様どおり SPF は失敗します。
これこそ DKIM が存在し、DMARC が整合した状態でどちらか一方の合格を受け入れる理由です。
SPF は表示される From アドレスを確認しない
SPF が許可するのは、受信者には表示されないエンベロープ送信者です。どの From アドレスを表示していても、メッセージが SPF に合格することはあります。
表示ドメインを認証済みドメインに結び付けるのは DMARC だけです。SPF だけでは、ユーザーの目に見えるなりすましを防げません。
SPF は受信者を検証しない
完璧なレコードを公開しても、送信先アドレスが存在するかは分かりません。送信者認証と受信者検証は別の問題です。
受信者側には メール検証ツール またはキャンペーン前の一括検証を使用し、同じ送信ワークフローを構成する別々の作業として扱ってください。
SPF はレピュテーションを改善しない
正しい SPF レコードは良好な配信の前提条件であって、原因ではありません。受信トレイへの到達は、コンテンツ、苦情率、バウンス率によって決まります。
まずレコードを正しく設定し、その後で残りを改善してください。
参考資料と次のステップ
仕様と関連ツール
SPF は IETF によって定義されており、この SPF レコード生成ツールの関連ツールが、生成だけではできない確認を補います。
RFC 7208 が構文を定義
IETF の RFC 7208 は SPF、そのメカニズム、修飾子、そしてこの SPF レコード生成ツールが超過を防ぐ DNS ルックアップ 10 回の評価上限を定義しています。
レコードを公開するために読む必要はありませんが、修飾子の意味をめぐるあらゆる議論に決着を付ける文書です。
公開した内容を確認する
公開後は SPF チェッカー が公開中のレコードを名前解決し、DNS ルックアップ回数、構文エラー、有効なポリシーを報告します。
ここで生成し、そこで確認する。この組み合わせにより、生成ツールからは見えない DNS 管理画面による文字列の破損を検出できます。
認証セットを完成させる
SPF は全体の 3 分の 1 です。DMARC レコード生成ツール と DKIM ツールが、整合とメッセージ署名を担います。
SPF があっても DMARC がないドメインは、認証されていても From 行ではなりすましが可能です。
無料機能を見る
有料の AI 機能に加えて 19 種類の無料ツールを提供。どれもアカウントは不要です。
無料ツール
SPF チェッカー
無料の SPF レコードチェッカーで、任意のドメインの最新 SPF レコードを解決し、DNS 照会回数と構文を検証。登録不要の SPF チェッカー兼バリデーター。
ドメインまたはインフラの証拠であり、メールボックスの証明ではありません。
無料ツール
DKIM 生成
無料の DKIM DNS レコードジェネレーター。あらゆるプロバイダー向けに v=DKIM1 の TXT レコードと selector._domainkey ホスト名を作成できます。登録不要です。
無料ツール
DMARC 生成
無料の DMARC レコードジェネレーター。ポリシー、アライメント、レポートタグを指定し、有効な v=DMARC1 TXT レコードを数秒で作成できます。登録は不要です。
無料ツール
DNS チェッカー
任意のドメインを無料で DNS レコード照会。権威ネームサーバから A、AAAA、MX、TXT、NS、CNAME、SOA をライブ取得。登録不要の DNS レコード照会ツールです。
メールツール
メール到達性テスト
無料のメール到達性テスト。1 通送信するだけで、認証、DNS、スパムフィルター、ブラックリスト、ヘッダー、コンテンツのスコアを確認できます。登録不要の無料受信トレイ配置テストです。
送信者またはメッセージの診断であり、アドレス発見ではありません。
メール検証ツール
メールベリファイア
登録不要の無料メール検証でアドレスが有効か確認。構文、MX、SMTP メールボックス、使い捨て、役割、catch-all をチェックします。
受信者の証拠であり、送信者や DNS 設定ではありません。
よくある質問
1. 無料の SPF レコード生成ツールは本当に無料ですか？
はい。登録もアカウントも不要で、作成できる SPF レコード数に制限はありません。SPF の処理はすべてページ内で実行され、ドメインや SPF 設定に関する情報は保存されません。
2. SPF レコード生成ツールで作ったレコードはどこに公開しますか？
ドメインルートに TXT レコードとして公開します。ホストは @ またはドメインそのもの、種別は TXT、値は生成された文字列です。廃止された SPF レコード種別は受信側が無視するため、使用しないでください。通常は数分で反映されます。
3. SPF レコードを 2 つ設定できますか？
いいえ。SPF レコードは 1 ドメインにつき 1 つです。2 つ公開すると permerror になり、受信側は統合しません。既存レコードがある場合は、2 つ目を公開せず、そのメカニズムを SPF レコード生成ツールの入力に統合してください。
4. ~all と -all のどちらを使うべきですか？
まず ~all を使ってください。未許可のメールを拒否せず疑わしいものとして扱うため、見落としていた送信元を 1 週間かけて確認できます。正規メールの失敗がないことを確認してから -all に切り替えます。最初から -all にする生成ツールでは、実際のメールを失いかねません。
5. 公開後に SPF レコードが壊れる原因は何ですか？
主な原因は 2 つです。プロバイダーの include を追加し続けて DNS ルックアップが 10 回を超えることと、DNS 管理画面が長い TXT 値を分割または切り捨てることです。プロバイダー変更時は無料の SPF レコード生成ツールを再実行し、その後 SPF チェッカーで公開レコードを確認してください。
6. SPF レコードでなりすましを防げますか？
SPF だけでは防げません。SPF が許可するのは、誰にも表示されないエンベロープ送信者です。表示される From ドメインを認証済みドメインに結び付けるのは DMARC だけです。SPF、DKIM、DMARC の 3 段階のうち、SPF は最初の一歩と考えてください。