メールの差出人は、実は誰でも書き換えられます。手紙で言えば、誰でも封筒の裏に「〇〇株式会社」と書いてポストに入れられる状態です。

そこで会社は、玄関（DNS）に名簿を貼っておきます。「うちの名前の手紙は、この郵便局から出したものだけが本物です」。受け取った側は名簿を見に行き、手紙が出された局が名簿に載っているかを確かめます。これがSPFです。

部品一覧：名簿の書き方を表で覚える

「参照回数」は、受け取る側がDNSに問い合わせる回数です。合計10回までという決まりがあります（数え方は「参照は10回まで」の章で説明します）。

部品の前に付く記号（4種類）

各部品の前には記号を付けられます。付けなければ +（OK）扱いです。ふだん記号を付けるのは、最後の all だけと考えてかまいません。

※ 名簿のたとえは最初の理解のための比喩です。実際に照合しているのは「郵便局」ではなく、メールを送り出したサーバーのIPアドレスです。

あなたが [email protected] からメールを送ったとき、受け取る側（たとえばGmail）の中では、次のことが一瞬で起きています。

1. メールが届く。送ってきたサーバーのIPアドレス（例：203.0.113.10）が分かります。
2. 「封筒の差出人」のドメインを見る。SPFが見るのは、画面に出る差出人名ではなく、配送用の差出人（Return-Path）のドメインです。
3. そのドメインのDNSに名簿を聞きに行く。example.jp のTXTレコードから v=spf1 で始まる1行を探します。
4. 左から順に照合する。ip4 に一致するか、include 先の名簿に載っているか…と進み、最初に一致したところで止まります。
5. 結果が決まる。一致すれば pass。どれにも一致しなければ最後の ~all や -all に従って softfail / fail。
6. DMARCに引き継ぐ。SPFの結果とDKIMの結果を合わせ、画面上の差出人と一致しているかをDMARCが最終判定します。

SPF・DKIM・DMARCの役割分担

ヘッダーの見方やDMARCの詳しい話は、メールヘッダーでDMARCを確認する方法、メール全体の守りはメールセキュリティ7つの壁でも解説しています。

まずは自分の状況を下の4つから選んでください。該当する例文に進めば、ほぼそのまま使えます。

• A. メールを送らないドメインサイト専用・転売対策で取っただけ → 例文1
• B. クラウドのメールだけGoogle Workspace や Microsoft 365 → 例文2・3
• C. レンタルサーバーのメールエックスサーバーなど → 例文6・7
• D. いくつものサービスから送る配信サービス・予約システム・自社サーバー → 例文4・5・8〜12

基本の4パターン

範囲・IPv6・レンタルサーバー

複数サービス・分割・使い回し

SPFで一番質問が多いのがここです。実はGoogleとMicrosoftで推奨が違います。

GoogleとMicrosoftの言い分を並べると

昔と今：SPFは「やったほうがいい」から「ないと届かない」へ

出典：Google「メール送信者のガイドライン」。1日5,000通は個人アカウント（Gmail）宛ての合計です。

SPFには「名簿を読む途中で、別の場所を見に行くのは合計10回まで」というルールがあります（RFC 7208）。これを超えると、名簿そのものがエラー（permerror）扱いになり、本物のメールでもSPFに合格できなくなります。

数えるのは include・a・mx・exists・redirect（と非推奨の ptr）。ip4・ip6・all は0回です。落とし穴は、include先の名簿の中にさらに include があると、それも数えることです。

例：エックスサーバー＋Gmail（例文7）を数えると

見た目の部品は5つでも、実際は7回。ここに配信サービスを3つ足せば上限ぎりぎりです。各社の名簿の中身は予告なく変わることもあるので、回数は定期的に数え直すのが安全です（下の確認方法で使うチェックツールの多くは、回数を自動で数えてくれます）。

10回を超えそうなときの3つの手

1. サブドメインに分ける（例文10）。サブドメインごとに10回の枠があります。
2. 使っていない送信サービスを名簿から消す。解約済みのサービスの include が残っていることはよくあります。
3. include を IPアドレスに置き換える（フラット化）。ただし相手のIPが変わると追いかける必要があり、Microsoft 365のようにIPが頻繁に変わるサービスでは勧められていません。

実際によくある失敗を6問にしました。答えを考えてからタップしてください。

ほかにも多い「効かないSPF」

方法1：コマンドで名簿を読む（1分）

Windowsなら「コマンドプロンプト」、Macなら「ターミナル」で、次のように打ちます（example.jp を自分のドメインに）。

表示された中に v=spf1 で始まる行が1つだけあればOKです。0行ならSPF未設定、2行あればQ1の失敗です。

方法2：自分宛てにメールを送って、判定結果を見る（3分）

1. 自分のドメインのアドレスから、自分のGmailアドレス宛てにメールを1通送る
2. Gmail（パソコン）でそのメールを開き、右上の「︙」→「メッセージのソースを表示」
3. 上部の表に SPF: PASS と出ていれば合格。SOFTFAIL / FAIL なら、送ったサーバーが名簿に載っていない

同じ画面の下の方にある Received-SPF: の行には、どのIPアドレスから届いて、なぜその判定になったかが書かれています。名簿に足すべきIPを探すヒントになります。

方法3：チェックサービスで回数まで数える

「SPF チェック」などで検索すると、ドメインを入れるだけで構文の誤り・参照回数・重複を調べてくれる無料サービスが見つかります。設定を変えたらその都度通しておくと安心です。

あなたのドメインは大丈夫？ 診断チェック

1. いまのSPFを読む。nslookup -type=txt 自分のドメイン で、v=spf1 の行が1つだけか、最後が ~all / -all かを確認する。
2. メールを送っているサービスを書き出す。メールソフト以外（予約・請求書・メルマガ・フォーム・複合機）も含めて一覧にし、名簿の include と見比べる。足りなければ既存の1行に書き足す。
3. 使っていないドメインに v=spf1 -all を置く。あわせてDMARC（まずは p=none の監視モード）とDKIMの設定を予定に入れる。