SPF は Sender Policy Framework の略で、そのドメインのメールを送ってよい送信元サーバーを DNS で示す仕組みです。
初心者向けに言うと、このドメインのメールは、この送信元から出してよいです と宣言するものです。
メールのなりすまし対策の一部として使われます。
メール送信サービスを使うときや、自前 SMTP を運用するときは、SPF の設定が話題になりやすいです。
ただし SPF だけで十分というわけではなく、DKIM や DMARC とあわせて考えることが多いです。
何を設定するのか
SPF は、DNS の TXT レコードとして設定します。
たとえば、利用しているメール送信サービスが指定する値をドメインの DNS に追加し、このサービスから送るメールは正規の送信元です と示します。
Webサイトの引っ越しやメール送信サービスの変更時には、SPF の見直しが必要になることがあります。
古い送信元を残したままにすると許可範囲が広がりすぎることがあり、逆に必要な送信元を入れ忘れると、正規のメールなのに認証に失敗することがあります。
実務で見るポイント
実務では、まず 今どこからメールを送っているか を洗い出します。
レンタルサーバー、Google Workspace、Microsoft 365、メール配信サービス、アプリの通知メールなど、複数の送信元が混ざることがあるからです。
そのうえで、SPF レコードに必要な送信元だけが入っているかを確認します。
設定後は、実際にメールを送ってメールヘッダーを確認し、SPF が pass しているかを見ると安心です。
注意点
SPF は重要ですが、単体では万能ではありません。
転送メールでは SPF が崩れることがありますし、本文改ざんの検知や、認証失敗時にどう扱うかまでは SPF だけでは決められません。
そのため、現在のメール運用では DKIM と DMARC も合わせて設定することが多いです。
特に問い合わせフォームや会員登録メールを安定して届けたい場合は、SPF だけで終わらず、送信ドメイン全体の認証状態を確認するのが現実的です。