SPFソフトフェイルとSPFハードフェイル：その違いは？

ブログ

DMARCレコードを正しく作成・公開する方法を学びましょう。ステップバイステップのDNS設定、実際の例、検証のコツ、避けるべきよくある間違いを解説します。

byユネス・タラダ

最終更新日:
9 読了時間：約9分
SPFソフトフェイルとSPFハードフェイル：その違いは？

SPFソフトフェイルとハードフェイルの違い、ベストプラクティス、PowerDMARCによるビジネスメールの保護方法を学びましょう。IT管理者およびメール管理者向け完全ガイド。

主なポイント

  1. SPF ハードフェィルは、メール送信者が認可されていないことを示し、多くの場合、メールの拒否につながります。
  2. SPF ソフトフェイルは、そのメールがまだ不正な送信者からのものである可能性を示唆しますが、完全に拒否するわけではありません。
  3. 厳格なSPFポリシーの導入は、不正ななりすましメールを回避し、ブランドの評判を守るために不可欠です。
  4. SPFとDMARCを組み合わせることで、電子メール認証の失敗をより適切に処理できるようになり、セキュリティの重要なレイヤーが追加されます。
  5. SPF認証結果を定期的に監視することで、最適なメールセキュリティを維持できます 電子メールセキュリティ 態勢を維持し、潜在的な脆弱性を防止するのに役立ちます。

SPF SPF （送信者ポリシーフレームワーク）では、認証失敗時の対応方法を以下の2通りから柔軟に設定できます： ハードフェイル または ソフトフェイルのいずれかで対応するよう設定できます。 本ブログでは、PowerDMARCの専門家がSPFハードフェイルとソフトフェイルの違い、それぞれの設定方法、ITおよびセキュリティチーム向けの実用的なユースケースについて解説します。 それでは早速見ていきましょう！

SPF失敗とは何ですか？

ハードフェイルとソフトフェイルの違いについて掘り下げる前に、SPFの失敗を構成する要素とSPF認証の仕組みを理解することが不可欠です。

SPF（Sender Policy Framework）は、ドメイン所有者が自ドメインに代わってメールを送信する権限を持つIPアドレスを指定できるメール認証プロトコルです。メールを受信すると、受信サーバーは送信元のIPアドレスをドメインのSPFレコードと照合し、送信者が許可されているかどうかを判断します。

SPFチェックは、認証対象の送信元を識別するリターンパスのドメインに対して行われます。適切なSPF認証を確保し、メール配信の問題を回避するためには、SPFレコードを正しく公開することが極めて重要です。

SPF認証結果

  • パス: 送信元のIPアドレスはSPFレコードで許可されています
  • 失敗（完全失敗）：送信元のIPアドレスが明示的に許可されていない（-all）
  • ソフトフェイル: 送信元のIPはおそらく許可されていない（ほぼ全て）
  • 中立: 送信者に関するポリシーの記述なし (?all)
  • None: ドメインにSPFレコードが存在しません
  • 一時的なDNSルックアップエラー
  • PermError:SPFレコード構文の永続的なエラー

各SPF結果は、送信者の認証ステータスに関する明示的な声明である。「fail」は送信者が認証されていないという強い明示的声明であり、「softfail」は認証されていない可能性が高いが確定的ではないという弱い声明である。

SPFの失敗は、認証チェックが「失敗」または「ソフト失敗」の結果を返す場合に発生します。これは、送信サーバーがそのドメインのメール送信を許可されていない可能性があることを示しています。

SPFハードフェイルとソフトフェイル：主な違いを解説

以下の表は、SPFのハードフェイルとソフトフェイルの基本的な違いを説明したものである。

SPFのシンタックス失敗の種類ステータス受信者による対応措置典型的な使用例
v=spf1 include:domain1.com -allハードフェイル送信者未承認電子メールが拒否されることがある厳格なセキュリティを要する生産ドメイン
v=spf1 include:domain1.com ~allソフトフェイル送信者が許可されていない可能性があるメールが配信されたが、不審または詐欺の可能性があるとマークされたテスト段階または複雑なメール設定

注: ハードフェイル機構（'-all'）は、許可されていない送信者からのメッセージを拒否することで、フィッシングや偽装メールに対する最大限の保護を提供するように設計されています。ただし、設定が誤っていると、許可されていない送信元からのメールが配信不能となり、100%のバウンス率が発生する可能性があります。

SPFレコードの構文では、SPFレコードで指定されたIPアドレスのみが、そのドメインに代わってメールを送信する権限を有します。その他の送信元はすべて不正な送信者とみなされ、失敗タイプに応じてブロックされるか、不審な送信者としてマークされる可能性があります。

SPFハードフェイル対ソフトフェイル：RFCで定義される通り 

によると RFC 7208:

  • SPFの "Fail "という結果は、メールの送信者が送信ドメインによって認可されていないことを直接示します。「Fail」はハードフェイルの結果(-all)と同義であり、明らかに認可されていないドメインの使用を示しています。 
  • しかし、はるかに緩やかなアプローチは SPFソフトフェイルを設定することである ソフトフェイルを設定する方法です。これは「可能性が高い」不正なドメイン使用の兆候を示します。

1万人以上の顧客がPowerDMARCのプラットフォームを信頼している理由はここにあります

  • AIを活用した脅威インテリジェンスにより、なりすまし攻撃や不正なメールが大幅に減少
  • オンボーディングの迅速化と認証管理の自動化により、ITチームの作業時間を大幅に削減
  • ドメインを横断したリアルタイムの脅威インテリジェンスとPGP暗号化レポート
  • 専門家の指導による厳格なDMARC適用により、メールの配信率が向上

最初の15日間は当社がご招待します

無料トライアルを開始

ハードフェイルとソフトフェイルの受信者障害処理 

セクション8.4においてにおいて、RFCはSPFハードフェイルとSPFソフトフェイルの結果に対する以下の結果処理シナリオを定義している： 

1.SPFハードフェイル／フェイル 

Fail "または "hardfail "の結果については、受信者サーバーは不正なメールを拒否することができます。SMTPトランザクションの場合、550 5.7.1エラーコードが適切なエラー説明とともに返されるはずです。 

SMTPトランザクション中に受信者サーバーが電子メールを拒否しない場合、RFCは受信者がReceived-SPFまたはAuthentication-ResultsヘッダーにSPF結果を記録することを推奨しています。 

2.SPFソフトフェイル

より柔軟なポリシーとして、Softfailは、管理管理ドメインが不正な電子メールであると疑っているが、完全には拒否したくないことを示します。この場合、メッセージは配信されますが、さらに確認するよう警告が表示されます。  

どのSPF障害モードを使用すべきか？

ほとんどのドメイン（主要組織やテクノロジー企業を含む）は、固有のニーズやメール運用に応じて複数のSPFポリシーを組み合わせて使用しています。SPFのハードフェイルとソフトフェイルの選択は、組織のメールインフラ、セキュリティ要件、リスク許容度によって異なります。選択を支援する判断フレームワークを以下に示します：

SPFハードフェイル (-all) を選択するタイミング:

  • すべてのメール送信元を完全に制御できます
  • 御社のメールインフラは成熟しており、十分に文書化されています
  • セキュリティは配信可能性よりも最優先事項である
  • あなたはサードパーティのメールサービスをほとんど利用しません
  • 包括的なDMARC監視が実施されています

SPFソフトフェイルを選択（～すべて）適用条件：

  • 初めてSPFを導入しています
  • 複数のサードパーティ製メールサービスを利用しています
  • メール配信の確実性は事業運営において極めて重要である
  • 複雑なメール転送または中継の設定があります
  • あなたはまだすべての正当なメール送信元を特定しています

SPFハードフェイルとソフトフェイルの一般的な使用例

SPF ハードフェイルのユースケース:

  • 金融機関： 厳格なメール認証を必要とする銀行および信用組合
  • 政府機関： 高度なセキュリティ要件を持つ組織
  • ブランド保護ドメイン: ブランド保護のみを目的として使用されるドメイン
  • トランザクションメール用ドメイン: 自動送信メール専用ドメイン

SPFソフトフェイルのユースケース:

  • マーケティングドメイン: 複数のメールマーケティングプラットフォームを利用するドメイン
  • SaaS企業： 複雑なメールインフラを持つ組織
  • 教育機関： 複数の学部とメールシステムを有する大学
  • テスト環境: SPF実装段階にあるドメイン

実世界のシナリオ：Google Workspace、Salesforce、Mailchimpを利用する中規模SaaS企業のメールセキュリティを監督するITマネージャーの場合、SPFレコードの監視と調整を行う間、正当なメールを確実に配信するためにソフトフェイルから始めるかもしれません。

SPFのハードフェイルとソフトフェイルはいつ使うべきか？

SMTPメール中継の場合、SPFソフトフェイルをハードフェイルに対する安全策と考えることができます。その方法を調べてみましょう： 

SMTPメール中継は、あるサーバーから別の配信へのメッセージの自動転送です。これは、お客様のドメインのSPFレコード内に記載されていないIPアドレスを持つサーバーにメールが引き渡されることを意味します。これは、現実的には正当なものですが、あなたのメールにとっては未承認の送信者となります。 

このアクティビティをコントロールできますか？答えは「ノー」です。メールは受信者側で自動的にリレーされます。このような状況では、中継されたメールのSPFは失敗します。 

ここで、SPFのハードフェイル・ポリシーを持つことが問題になるかもしれません！すでにご存知のように、ハードフェイル・メカニズムは、失敗したメッセージを拒否する可能性があります。したがって、あなたのドメインがハードフェイルポリシーで設定されている場合、これらのリレーされたメールは配信に失敗する可能性があります。 

最悪の部分？ SPF失敗 処理ポリシーによる措置が DMARCおよびDKIM 認証結果を上書きします。つまり、DKIMおよびそれに続くDMARCが通過した場合でも、メールは依然として配信に失敗する可能性があるということです。   

RFC7489セクション-10.1 RFC 7489 第10.1項SPFチェックがDMARC処理の前に実行される場合、送信者のSPFメカニズムに"-"プレフィックスが存在すると、"-all "のように、メールが即座に拒否される可能性があります。この拒否は、DMARC処理が行われる前であっても、メール処理プロセスの早い段階で発生します。

したがって、メール送信者のSPFポリシーに「-all」メカニズムが含まれている場合、SPFチェックに失敗したメールを拒否するという厳格なポリシーを示しており、DMARCポリシーや処理が行われる前にメッセージが拒否される可能性があります。この早期拒否は、メールが最終的にDMARC認証を通過する可能性があるかどうかに関係なく発生する可能性があります。

したがって、このような状況下では、SPFソフトフェイルがハードフェイル機構に勝る。これは、許可されたメールを拒否するのではなく単にフラグを立てることで、再審査の余地を残す、かなりリスクの低いアプローチである。 

SPFバイパスおよび中継脆弱性

SPF実装における潜在的な脆弱性を理解することは、堅牢なメールセキュリティを維持するために極めて重要です：

一般的なSPFバイパスシナリオ：

  • メール転送：サードパーティサービス経由で転送される正当なメールはSPFに失敗する可能性があります
  • メーリングリストサーバー：メーリングリスト経由で送信されるメッセージは、送信元IPを変更することが多い
  • クラウドメールサービス：クラウドサービスにおける動的IP範囲はSPF失敗を引き起こす可能性があります
  • モバイルメールクライアント：異なるネットワーク経由でモバイル端末から送信されるメール

緩和策のベストプラクティス：

  • 追加の認証として、SPFと併せてDKIMを導入する
  • DMARCを使用してSPF失敗を適切に処理する
  • SPFレコードを定期的に監査し更新する
  • メール認証レポートの異常を監視する

SPFレコードはどのように機能しますか？

メールにSPFを実装するには、ドメインのDNSにSPFレコードを作成して公開する必要があります。SPFレコードの典型的な例は以下のとおりです：

v=spf1 include:_spf.google.com ~all

このSPFレコードでは、GoogleのSPFレコードに記載されているIPアドレスから発信されたすべてのメールを承認しています。失敗のメカニズムはレコードの一番最後（~all）に定義されています。 

したがって、SPFレコードは、使用するプロトコルのバージョン、承認する送信元、および失敗のメカニズムを定義します。DNSでこのレコードを公開すると、許可された送信者だけがあなたのドメインに代わってメールを送信できるようになります。許可されていない送信元があなたになりすまそうとした場合、レコードで定義されたタイプの失敗メカニズムでSPFが失敗します。 

安全なSPF実装戦略

最適なSPF実装は、不正なスプーフィングやフィッシングから電子メール通信を保護するために不可欠である なりすましやフィッシング 攻撃から守るために不可欠です。ベストプラクティスに従うことで、組織はメールセキュリティ態勢を強化し、ブランド評判を保護できます。以下に、SPFを安全に実装するための戦略とガイドラインを示します：

1.SPFレコード生成ツールを使う

SPFの実装プロセスはレコードの生成から始まる。SPFタグを正しく理解すれば、手動でレコードを作成することができる。しかし、この方法では人為的なミスが起こりがちです。理想的には、自動化された SPFジェネレーターツールを使うのが理想的です。このツールを使えば、エラーのない正確なSPFレコードを作成することができます。

2.適切なSPFメカニズムの使用

include"、"a"、"IP4 "などのSPFメカニズムを利用して、許可される送信元を指定します。メールインフラを考慮し、メール送信の慣行を正確に反映したメカニズムを選択する必要があります。

3.SPFレコードの維持と最適化

送信者ポリシーフレームワーク（SPF）レコードは、誤動作を防ぐために維持・最適化する必要があります。SPFは、許可された送信者が受信者側のDNSルックアップ制限（10件）を超えると機能しなくなる傾向があります。最適なルックアップ制限を維持するため、当社の ホステッドSPF ソリューションが最適です！当社では、ドメイン所有者がワンクリックでSPFを最適化し、ルックアップ制限と無効化制限を下回り、エラーのないSPFを維持できるよう支援します。 

4.SPFとDMARCを組み合わせる

導入 DMARC(Domain-based Message Authentication, Reporting, and Conformance)をSPFと同時に導入することで、セキュリティのレイヤーが追加されます。DMARCは、ドメイン所有者が、SPFに失敗したメールに対してどのようなアクションを取るかなどのメール処理ポリシーを指定することを可能にします。

DMARCは、電子メール詐欺、漏洩、なりすまし攻撃を最小限に抑えるという実証済みの結果を示しています。 

5.厳格なSPF失敗処理ポリシーの実装

以下のようにレコードを設定します。 SPF認証の失敗を、失敗したドメインからのメールを拒否したりマークしたりするような厳格なポリシーで扱うように設定します。そのためには、中立的なポリシーの代わりにSPF ハードフェイルまたはSPF ソフトフェイルを実装します。

6.SPF認証結果の監視

実装 DMARCレポートSPFの合格、不合格、アライメントエラーなどのSPF認証結果を監視するために、DMARCレポートを導入する。A DMARCアナライザーツールを使用すると、SPF認証データを整理して、人間が読めるように分析することができます。

まとめ

という質問に対する直接的な答えはありません。SPFのハードフェイルとソフトフェイル」。ハードフェイルタグはより高いセキュリティを提供できますが、送信元を監視するための正しいソリューションを選択することが重要になります。 

PowerDMARCの高度な ドメイン認証 およびレポートプラットフォームは、包括的な SPFおよびDMARC ソリューションを提供します。 

世界中の数千の組織から信頼されているSOC2認証プラットフォームをお試しください。 無料トライアルを今すぐ開始 今すぐ！

よくあるご質問

1. SPFソフトフェイルの原因は何ですか？

SPFソフトフェイルは、ドメインのSPFレコードで明示的に許可されていないIPアドレスからメールが送信された場合に発生します。ただし、ドメイン所有者が「-all」ではなく「~all」メカニズムを設定している場合に限ります。これは送信者が「おそらく許可されていない」ことを示しますが、メールを完全に拒否するのではなく警告フラグを付けて配信することを許可します。

2. 550 5.7.0 SPF ハードフェイルとは何ですか？

「550 5.7.0 SPF hard fail」エラーは、送信元のIPアドレスがドメインのSPFレコード（末尾が「-all」で終わる）で許可されていないため、メールサーバーがメッセージを拒否した際に発生します。これはメール配信を妨げる恒久的な失敗であり、受信サーバーが厳格なSPF適用ポリシーを有していることを示します。

3. どのような場合にSPFのハードフェイルが発生しますか？

以下の場合にSPFハードフェイルが発生します：1) 送信元IPがドメインのSPFレコードに記載されていない場合2) SPFレコードが「-all」で終了している場合（ハードフェイルポリシー）3) 許可されていないサーバーまたはサービスからメールが送信された場合4) SPFレコードに構成エラーがある場合5) ドメインが厳格なメール認証ポリシーを実施している場合

4. SPFにおけるハードフェイル記号とは何ですか？

SPFにおけるハードフェイル記号は、マイナス記号「-」に続いて「all」（「-all」と表記）を付けるものです。この仕組みは、受信メールサーバーに対し、SPFレコードに記載された許可されたIPアドレスまたはドメインに一致しないメールをすべて拒否するよう指示します。これは最も厳格なSPFポリシーであり、最高レベルのメール認証セキュリティを提供します。

5. 私のビジネスにはSPFハードフェイルとソフトフェイルのどちらを使用すべきですか？

ほとんどの企業では、正当なメールのブロックを避けるため、導入およびテスト段階ではSPFソフトフェイル（~all）から開始してください。すべての許可された送信元を特定し、十分にテストした後、最大限のセキュリティを確保するためにハードフェイル（-all）への移行を検討してください。複雑なメールインフラストラクチャやサードパーティサービスを利用する組織は、ハードフェイルを導入する前に、正当なメールがブロックされるリスクを慎重に評価する必要があります。

最新記事 by Yunes Tarada(全て見る)
最終更新日:
ビジネスに最適なDMARCソリューション・ソフトウェアを見つけるには？なりすましブログから守る暗号詐欺に対抗するための電子メール安全入門