SPFレコード作成ツール

SPFレコードの書き方：作成と設定の手順は？

このドメインとしてメールを送るサービスをすべて洗い出し、それぞれのinclude:の項目と自社サーバーのアドレスを、ドメインのTXTレコード1つにまとめ、最後を~allで終えます。

コストの小さい項目を先に書きます。IPアドレスはDNSルックアップを使わず、aとmxは1回ずつ、includeは1回にその中身の分が加わります。

次に数えます。受信サーバーはDNSルックアップが10回に達すると止まります。作成ツールは各includeをリアルタイムでたどるため、表示される数は受信サーバーが見る数と同じです。

SPFの10回のルックアップ上限とは

受信サーバーは、DNSに問い合わせる項目がネストしたincludeも含めて10個に達すると止まり、その後はすべてのメールでSPFが恒久的エラーで失敗します。空の応答を返すルックアップが3つ目になった場合も失敗します（RFC 7208）。

上限以内に戻すには、送信元を専用のレコードを持つサブドメインに移す、送信しないサーバーならaやmxを外す、ベンダーにより範囲の狭いincludeがないか尋ねる、のいずれかです。

フラット化（includeをIPアドレスに置き換えること）でルックアップは減らせますが、ベンダーがアドレスを変えた日から古くなります。毎月確認し直してください。

SPFの末尾は~allと-allのどちらにしますか

メールを送るドメインは~all、送らないドメインは-allにします。DMARCを強制している場合、~allならDMARCがDKIMで判断しますが、-allでは転送されたメールがDMARCの判定の前に拒否されることがあります。

M3AAWGは、送信するドメインには~all、メールを送らないドメインには-allを推奨しています。GoogleはWorkspaceで~allを案内し、MicrosoftはMicrosoft 365で-allを案内しています。

1つのドメインにSPFレコードを2つ置けますか

置けません。同じ名前にv=spf1のレコードが2つあると、受信サーバーは恒久的エラーで止まり、SPFが失敗します。1つのレコードにまとめてください。

両方の送信元をすべて残し、末尾は1つにして、まとめたレコードのルックアップ数を数え直してください。それぞれは収まっていても、合わせると10回を超えることがあります。

長いSPFレコードはDNSホストでどう扱われますか

TXTの文字列は1つ255バイトまでです。それより長いレコードは複数の文字列に分割され、受信サーバーが間に何も挟まずに連結します。ほとんどのDNSホストは、自動で分割してくれます。

CloudflareとAzureは値全体を1つの欄で受け付けます。Route 53とGoogle Cloud DNSは、引用符で囲んだ255バイトの文字列を求めます。RFC 7208は、応答全体を450バイト未満に抑えるよう求めています。