【えすぴーえふ】

SPF（メール認証）とは？

最終更新: 2026年10月4日

💡 そのドメインのメールを送ってよいサーバーか確認する

メールを送ってきたサーバーのIPアドレスが、SMTPで名乗る送信ドメインに許可されているかをDNSで調べるメール認証の仕組み。

📌 このページのポイント

MAIL FROMのドメインを使う検証例。矢印はSMTP送信・DNS情報の取得、下段は例のレコードによる判定。fail後の処理は受信側の方針による。

ひよこ

メールの差出人が本物か分かるの？

ペンギン先生

SPFが調べるのは、接続してきたサーバーが送信ドメインを使ってよいかだよ。主な対象はSMTPのMAIL FROMという配送用の差出人で、HELOで名乗るドメインも対象になる。メール画面のFrom欄を直接確認する仕組みではないんだ

ひよこ

どうやって確認するの？

ペンギン先生

ドメインの持ち主が、許可する送信元をDNSのTXTレコードに書くよ。受信サーバーは、そのドメインの方針と接続元IPアドレスを照合する。図では203.0.113.0/24からの送信を許可し、それ以外はfailとする設定を例にしているんだ

ひよこ

failになったら必ず拒否される？

ペンギン先生

failは、その設定では送信元が許可されていないという結果だよ。拒否するか、別の判定材料と合わせて処理するかは受信側の方針による。passでも差出人本人や本文の安全性、受信箱への配達が保証されるわけではないんだ

ひよこ

転送されるとどうなるの？

ペンギン先生

受信側から見る接続元が転送サーバーのIPに変わり、元のMAIL FROMのドメインでは許可されていないことがあるよ。DKIMの署名や、From欄とのドメインの対応を確認するDMARCも組み合わせて考える。転送方式やメッセージの変更によって結果は変わるんだ

ひよこ

Gmailへ送るなら3種類全部が必須？

ペンギン先生

2026年10月の確認時点では、個人用Gmail宛ての全送信者にはSPFまたはDKIMが必要だよ。1日に5,000通を超えて送る送信者にはSPFとDKIMの両方、さらにDMARCなどの要件がある。送信量や宛先に応じた要件を確認するんだ

まとめ：ざっくりこれだけ覚えればOK！

「SPF」って出てきたら「そのドメインのメールを送ってよいサーバーか、DNSで確認する仕組み」と思えばだいたいOK！

📖 おまけ：英語の意味

「Sender Policy Framework」＝送信者ポリシーフレームワーク

💬 Sender（送信者）・Policy（方針）・Framework（枠組み）から来た名前だよ。送信ドメインがサーバーの許可方針を公開する仕組みで、RFC 7208に定義されているんだ

参考資料