Avanan SPFレコード：Check Point Harmony EmailにおけるSPFの設定、修正、および最適化方法

Check Point Harmony Email & Collaboration（旧Avanan）をインラインモードで導入する場合、DNSにSPFインクルードを追加する必要があります。そうしないと、送信メールがSPFチェックに失敗し、Gmail、Yahoo、Microsoft Outlookによって受信拒否されるリスクがあります。 

2025年後半以降 2025年後半にGoogleが規定に準拠していない大量メールを恒久的に拒否し始めて以来 、また マイクロソフトが2025年5月から550; 5.7.515エラーを返すようになった以来、SPFの設定は必須の運用要件となっています。

このガイドでは、有効な2つのSPFインクルード構文、インラインモードとAPIモードの選択、DKIMの設定、DMARCのアラインメント、10回のルックアップ制限、トラブルシューティング、およびMSPのマルチテナント構成について解説します。 

初めてAvananを導入するIT管理者の方、数十のクライアントテナントを管理するMSPの方、あるいは監査に耐えうる認証体制を確保するCISOの方など、どのような状況であっても、以下でそのすべてに対応しています。

Avanan（現Check Point Email Security）とは何ですか？

Avananは2021年8月にCheck Point Software Technologiesに買収され、Harmony Email & Collaborationへとブランド名を変更しました。2025年、Check Pointは同製品をCheck Point Email Securityへと再命名し、同社のAI主導の広範な戦略と整合させました。

2度のブランド変更を経たにもかかわらず、多くのIT管理者やレビューサイト、コミュニティフォーラムでは依然として「Avanan」という名称が使われており、チェック・ポイント社も引き続きAvananブランドのポータルサイトを維持し、新しいインターフェースへのオンデマンド移行パスを提供している。

本製品のアーキテクチャはAPIファーストです。APIを介してMicrosoft 365またはGoogle Workspaceに接続し、受信メールの配信後にスキャンを行います。管理者がインラインモード（「Prevent」とも呼ばれます）を有効にすると、Avananは送信パイプライン内で送信メールを傍受し、Check Pointのクラウドインフラストラクチャを通じてスキャンを行った上で、受信者に転送します。 

このインラインでの傍受により、SPF要件が発生します。送信メールは現在、チェック・ポイントのIPアドレスから送信されるため、お客様のSPFレコードでこれらのIPアドレスが承認されている必要があります。

メールセキュリティゲートウェイと認証プロトコルの連携に関する詳細については、以下を参照してください SPF、DKIM、およびDMARC：それらの連携方法を参照してください。

AvananのためにSPFレコードを変更する必要があるのでしょうか？

AvananをAPI専用モード（MonitorまたはDetect）で実行している場合は、SPFレコードを変更する必要がないため、ここですべて完了です。メールは、DNSですでに承認されているMicrosoft 365またはGoogle WorkspaceのIPアドレスから引き続き配信されます。

Avanan SPFの各プラン：どれを選ぶべきか？（2026年版）

Check Point Harmony Email には、有効な SPF インクルードの手法が 2 つあります。それらは以下の通りです： 

レガシー（静的）インクルード：include:spfa.cpmails.com

これは、Check Pointが2023年7月に導入したオリジナルの静的SPFインクルードであり、従来の地域ごとのIPリストを単一のエントリに統合したものです。SPFレコードに「include:spfa.cpmails.com」を追加すると、北米、ヨーロッパ、APAC、英国、インド、カナダ、UAEの各AWSリージョンを網羅する約21件のIPv4エントリが解決されます。

IPv4のメカニズムは10回のルックアップ制限の対象外であるため、このインクルード自体で、割り当てられたルックアップ枠から正確に1回分が消費されます。

Check PointのDMARC Managementアドオンのライセンスをお持ちでない場合、または、監査担当者がDNS上で直接確認できる、ベンダーに依存しない透過的なレコードをご希望の場合は、こちらをご利用ください。

Managed SPF Macro Include: include:{code}.spf.checkpoint-spf.com

これは、Check Pointの新しいSPF管理機能です。『Harmony Email』管理ガイドに記載されており、ポータルの「DMARC」→「SPF管理」から有効化できます。この機能では、テナントごとに固有のコードを使用して、SPFマクロ展開（RFC 7208 §5.7に準拠）を行います。構文は以下の通りです：

v=spf1 include:{your-org-code}.spf.checkpoint-spf.com include:spf.protection.outlook.com -all

ここで、{your-org-code} は、Check Point Email Security Administrator Portal に記載されている一意の識別子です。この仕組みでは 1 回のルックアップが必要ですが、Check Point が管理するテナント固有の動的 DNS ゾーンを経由してルーティングされます。これは、複数の Check Point 送信サービスを利用する場合に、SPF レコードの負荷を軽減するように設計されています。

どれを使うべきか？

重要： 両方のインクルードを同時に使用しないでください。両方を追加すると、認証が重複し、DNS 検索が無駄になり、監査が複雑になります。いずれか一方のアプローチを選択し、一貫して適用してください。

画像の提案： 両者の長所・短所を記載した並列比較カード。 

代替テキスト：「Avananの従来のSPFインクルード（spfa.cpmails.com）とマクロベースのインクルード（checkpoint-spf.com）を比較し、透明性、検索コスト、および監査可能性の違いを明らかにする。」

ドメインにAvananのSPFレコードを追加する方法（手順解説）

DNSレコードを編集する前に、まず現在のSPFレコードとルックアップ回数を確認してください。 無料のSPFチェッカー を使用して、ドメインが現在消費しているDNSルックアップの数を確認してください。8回以上消費している場合は、新しいincludeステートメントを追加する前に、以下のトラブルシューティングセクションをお読みください。

ステップ1：デプロイメントモードを確認する

Check Point Email Security 管理者ポータルにログインします。送信セキュリティポリシーに移動します。API/Monitor モードのみで実行している場合は、SPF の変更は必要ありません。「Prevent (inline)」モードまたは DLP 送信スキャンが有効になっている場合は、手順 2 に進んでください。

ステップ2：DNSプロバイダーにアクセスする

ドメインのDNS管理コンソール（GoDaddy、Cloudflare、AWS Route 53、Azure DNS、Namecheap、またはドメインをホストしているプロバイダー）にログインします。ドメインの既存のSPF TXTレコードを探してください。レコード名は「v=spf1」で始まります。SPFレコードが存在しない場合は、新規に作成してください。

ステップ3：SPFレコードにAvananのインクルードを追加する

Avananのインクルードを既存のレコードに統合してください。2つ目のTXT SPFレコードを作成しないでください。DNSでは、ドメインごとに1つしか設定できません。以下は、Microsoft 365環境における変更前後の例です：

以前：

v=spf1 include:spf.protection.outlook.com include:_spf.salesforce.com ~all

その後：

v=spf1 include:spf.protection.outlook.com include:_spf.salesforce.com include:spfa.cpmails.com ~all

ステップ4：更新されたレコードの検証

DNSの変更を保存した後、変更が反映されるまでお待ちください（TTLの設定にもよりますが、通常15分から48時間程度かかります）。その後、 PowerDMARCのSPFチェッカー を使用して、レコードの構文が有効であること、DNSルックアップの合計数が10未満であること、およびPermErrorが検出されないことを確認してください。

ステップ5：テストメールを送信し、DMARCレポートを確認する

Avananのインラインモードを経由するユーザーアカウントからテストメールを送信します。 メールヘッダー解析ツールを使用して、メールヘッダーに「spf=pass」が含まれているか確認してください。その後、48～72時間にわたりDMARC集計レポートを監視し、正当な送信元でアライメント違反が発生していないことを確認してください。

「10件の検索制限」：Avananを追加するとメールが機能しなくなる理由

RFC 7208 では、SPF 評価ごとに DNS メカニズムのルックアップ回数のハードリミットを 10 回と規定しています。ルックアップを消費するメカニズムには、include、a、mx、ptr、exists、および redirect があります。また、各 include には、その内部にネストされた include に対して再帰的なルックアップが発生します。ip4、ip6、all などのメカニズムは、ルックアップを消費しません。

検索回数が10回を超えるとPermErrorが発生し、受信メールサーバーは、Avanan経由のメールだけでなく、そのドメインから送信されるすべてのメールについて、SPFが完全に失敗したものとみなして処理しなければなりません。

一般的なエンタープライズ環境の負荷内訳は以下の通りです。Microsoft 365が約3回のルックアップを消費し、Salesforceが3回、HubSpotが2回、Mailchimpが1回、Zendeskが2回、Avananが1回を消費します。合計で12回のルックアップとなり、制限を2回超過しています。 SPFとルックアップ制限について詳しくはこちら。

Avanan を使った SPF 照会の実例

AvananのSPF MacroとSPF Flatteningの比較

大規模なSPFの管理においては、正当な送信元を阻害することなく、ルックアップの制限内に収めることが重要となります。レコードが複雑化するにつれ、SPFのフラット化やSPFマクロといった手法がその複雑さを制御するために用いられますが、これらは全く異なる方法で問題を解決します。

どちらを選ぶか決める前に、それぞれのアプローチがどのように機能するのか、どのようなトレードオフが生じるのか、そして実際のメール環境においてどのような位置づけになるのかを理解することが重要です。

チェック・ポイントのSPFマクロの仕組み： 

管理ポータルでSPF管理を有効にすると、標準のインクルードファイルが、クエリ実行時に承認済みIPを動的に解決する単一のマクロベースのインクルードファイルに置き換えられます。DNSゾーンの管理はCheck Pointが行います。Avanan側のDNS設定については、今後一切手を加える必要はありません。

SPFフラットニングの仕組み： 

フラット化により、すべてのインクルード機構がハードコードされたIPv4/IPv6アドレスに変換され、ルックアップ回数がほぼゼロになります。ベンダーがIPアドレスを変更すると、手動でのフラット化は機能しなくなります。次のような自動化サービス PowerSPF のような自動化サービスは、継続的なIP変更を自動的に処理するため、レコードの有効性が維持されます。

AvananのインラインモードがDKIMおよびDMARCの整合性に与える影響

チェック・ポイントは、NSレコードによる委任を活用したマネージドDKIMサービスを提供しています。このサービスでは、管理者が特定のDKIMセレクタサブドメインをチェック・ポイントに委任することで、鍵の管理とローテーションを自動化できます。 

Microsoft 365 または Google Workspace でのネイティブ DKIM 署名も、Avanan がメッセージを傍受する前に署名が行われている限り、インラインモードを通じて維持されます。

真のリスクは、一見して分かりにくいものです。Avananのインラインモードは、メールの送信経路上でメールを傍受し、ヘッダーを変更することが可能です。これにより、特定のヘッダーや本文の値に依存しているDKIM署名が無効になる可能性があります。 

認証チェーンには一切関与せず、配信後のメールをスキャンするAPI専用ソリューションとは異なり、インラインモードでは、メッセージをCheck Pointのインフラストラクチャを経由して能動的に再ルーティングします。

DMARCアラインメントの落とし穴： 

DMARCでは、SPF または DKIMのいずれかが「From」ドメインと一致している必要があります。インラインモードによってDKIMが機能しなくなった場合、DMARCはSPFの一致のみに依存します。もしSPFの設定も誤っている場合（前述のインクルードの問題）、DMARCは完全に失敗します。 

最悪のシナリオ：管理者が、正当なメールがブロックされるのを防ぐために、DMARCの設定を「p=reject」から「p=none」へと緩和してしまう。これは、セキュリティツールを導入する本来の目的とは正反対の結果である。

これを防ぐ方法： 

インラインモードを有効にする前に、SPFを正しく設定してください。DKIM署名は、Avanan内ではなく、メールプロバイダー（Microsoft 365またはGoogle Workspace）側で行われることを確認してください。DMARCのアライメントは、 DMARCチェッカー を使用して、デプロイの前後に確認してください。その後にのみ、インラインスキャンを有効にしてください。

すべての送信元をリアルタイムで監視するには、 PowerDMARCのHosted DMARCは は、認証エラーが発生した瞬間にそれを検知します。

導入の順序：セキュリティを損なうことなくDMARCとAvananを導入する

最もよくある間違いは、認証インフラが準備完了する前にAvananのインラインモードを有効にしてしまうことです。代わりに、以下の手順に従ってください：

1. 現在の認証体制を点検してください。無料のドメイン分析ツールを使用して、SPF、DKIM、DMARCの状態を確認してください。
2. 既存のSPF/DKIMに関する問題をすべて修正してください。SPFのルックアップ数が10件未満であることを確認し、メールプロバイダー側でDKIMが適切に署名されていることを確認してください。
3. Avanan SPF インクルードを追加します（または、マネージド SPF マクロを有効にします）。上記のセクションの手順に従ってください。
4. SPFが有効であることを確認してください。SPFチェッカーとメールヘッダーの解析を使用してテストを行ってください。
5. Avananのインラインモードを有効にします。SPFおよびDKIMの検証が完了した後のみ有効になります。
6. 72時間にわたりDMARCレポートを監視してください。SPFやDKIMの整合性エラーが新たに発生していないか確認してください。
7. モニタリングが正常に完了してから、DMARCポリシーを厳格化してください（p=none から p=quarantine または p=reject へ変更する場合）。

Avanan SPF および認証エラーのトラブルシューティング

これらは、Check Pointの「CheckMates」コミュニティ、dmarcianフォーラム、G2およびCapterraのユーザーレビュー、ならびにIT管理者のディスカッションから抽出した、導入後に最もよく見られる5つの課題です。それぞれに対して具体的な解決策が提示されています。

ヘッダーレベルの詳細な診断を行うには、配信に失敗したメッセージのヘッダーを PowerDMARCのメールヘッダーアナライザー に貼り付けて、配信チェーンのどこでSPFやDKIMが失敗したのかを正確に追跡してください。

MSP向けAvanan SPF：大規模なマルチテナント認証の管理

この点が、運用上のギャップが最も大きい部分です。30以上のクライアントドメインがあり、それぞれが異なるDNSプロバイダーでホストされ、異なるSaaSスタックを利用しており、SPFルックアップの回数もそれぞれ異なります。これらすべてにAvananを導入するには、クライアントごと、ドメインごとに、すべてのSPFレコードを確認し、すべてのルックアップ回数を検証し、すべてのDMARCレポートを監視する必要があります。

MSP特有の、導入時の混乱を防ぐ3つの対策：

1. オンボーディング前にすべてのクライアントのSPFを監査する： 手動のnslookupではなく、自動検索ツールを使用して各ドメインの現在のSPFレコードを確認し、検索回数をカウントし、すでに10回の上限に達している、または上限に近いドメインをフラグ付けします。PowerDMARCのAPIは、全取引先を対象とした一括ドメインチェックに対応しています。
2. すべてのテナントで単一のフラット化ベンダーを標準化する： Check PointのSPFマクロは、Check Pointポータル内でテナントごとに設定する必要があります。PowerSPFのような集中型SPFフラットニングソリューションを利用すれば、クライアントがどのセキュリティゲートウェイを使用しているかに関わらず、1つのダッシュボードからすべてのクライアントのレコードを管理できます。
3. QBR向けにホワイトラベルのDMARCレポートを生成する： クライアントが重視するのは結果であり、生のXMLデータではありません。 PowerDMARCのMSP/MSSPパートナープログラム は、マルチテナントダッシュボード、ホワイトラベルのブランドポータル、およびCheck Pointで保護されたすべてのテナントにわたるAPI駆動型のSPF管理を提供し、DMARCモニタリングを貴社のビジネスにおける継続的な収益源へと変えます。

Avananの導入後は、SPFを常に最新の状態に保ってください

ルックアップ制限を考慮し、導入モードに適したインクルード方式を選択し、本番稼働前にDKIMおよびDMARCの整合性を確認すれば、AvananのSPF設定はそれほど複雑ではありません。真の課題はAvananそのものではありません。多くの組織では、新しいツールを導入する前から、すでにSPFルックアップの上限に近づいているという点にあります。

SPFの設定は一度きりの作業ではありません。組織が導入する新しいSaaSツール、マーケティングプラットフォーム、メールサービスごとに、新たな照会が発生します。継続的なSPF管理こそが、次に導入するベンダーでも同様の不具合が再発するのを防ぐ唯一の方法です。

よくあるご質問

Avananの現在のSPFインクルードとは何ですか？

There are two options: the static include:spfa.cpmails.com and the managed SPF macro include:{orgcode}.spf.checkpoint-spf.com. Use one or the other—not both. Your org code is found in the Check Point Email Security Administrator Portal under DMARC → SPF Management.

AvananはDKIMに対応していますか？

はい。Check Pointでは現在、NSレコードの委任によるマネージドDKIMを提供しており、インラインモードを通じてM365/Google WorkspaceのネイティブDKIM署名が維持されます。古いサードパーティの参考ページには、AvananがDKIMをサポートしていないと記載されているものがありますが、その情報はすでに古くなっています。

Avanan SPFの「Include」レコードは、DNSルックアップをいくつ追加しますか？

静的インクルード（spfa.cpmails.com）は、DNS 照会を正確に 1 回追加します。これは約 21 件の IPv4 エントリに解決されますが、これらは追加の照会を消費しません。管理対象の SPF マクロも同様に、1 回の照会を追加します。

Avananの静的インクルードとマクロインクルードを同時に使用することはできますか？

いいえ。両方を併用すると、認証が重複し、検索処理が無駄になり、監査が複雑になります。環境やライセンス状況に応じて、どちらか一方のアプローチを選択してください。

AvananをAPI専用モードで実行する場合、SPFを変更する必要がありますか？

いいえ。API／モニター／検出モードでは、メールはSPFで既に承認されているMicrosoft 365またはGoogle WorkspaceのIPアドレスを経由して転送されます。includeの設定が必要なのは、インライン（防止）モードおよびフルMX展開のみです。

cpmails.com とは何ですか？ checkpoint-spf.comとは？

cpmails.com は、Check Point のレガシーな静的送信フロー用の SPF ドメインです。checkpoint-spf.com は、Check Point の新しい SPF 管理アドオンで使用される、マクロベースのテナント固有のドメインです。いずれも Check Point の正規のインフラストラクチャです。

Avananでは「~all」と「-all」のどちらを使うべきですか？

すべての正当な送信者が含まれていると確信できた場合は、Check Pointは -all（ハードフェイル）の使用を推奨します。安全のため、初期導入時には ~all（ソフトフェイル）を使用してください。+all は絶対に使用しないでください。

• について
• 最新記事

Ahona Rudra

ドメインとメールセキュリティのエキスパートPowerDMARC

AhonaはPowerDMARCのマーケティングマネージャーで、サイバーセキュリティのトピックについて5年以上の執筆経験があり、ドメインと電子メールのセキュリティを専門としている。ジャーナリズムとコミュニケーションの卒業後学位を取得し、2019年からセキュリティ分野でキャリアを固めている。

最新記事 by Ahona Rudra(全て見る)

• Office 365 フィッシング対策ポリシー：設定方法 - 2026年6月3日
• AIエージェントのセキュリティ：リスク、ベストプラクティス、およびメール認証 - 2026年6月2日
• PowerDMARCがHaloPSAと連携を開始 - 2026年6月1日