SPFが本当に何を意味するのか、痛い目に遭って学びました。ある金曜日の午後、私たちの本番ドメインの設定をsoftfailからhardfailモードに切り替えたのですが、数ヶ月前に設定したイベントプラットフォームのことを完全に忘れていました。メールは一切届かなくなったのです。その金曜日は、非常に重要なことを教えてくれました：あなたは本当に自分のメールの発信元をすべて把握していますか？もし間違った設定をした場合の配信失敗に備えていますか？

それ以来、私はSPFの変更をパイロットがチェックリストを扱うように、慎重かつ安全策を講じて行うようになりました。

では、実際に何が起きているのか、詳しく解説します。SPF (送信者ポリシーフレームワーク)は、DNSを利用したメール認証システムです。あなたのドメインにSPFレコードをDNSのTXTレコードとして公開し、受信サーバーに対してどのホストがあなたに代わってメールを送信できるかを伝えます。受信側は、その仕組み (ip4、ip6、a、mx、include) と修飾子を確認し、結果を出します：pass、none、neutral、softfail、hardfail、temperror、または permerror。

最も重要な違いは、その終端修飾子にあります。softfail (~all)は「これは許可されていないようだが、注意して進めてください」と示します。一方、hardfail (-all)は「リストされたホストだけが正当で、それ以外はブロックしてください」と宣言します。その一文字が、メールボックス提供者があなたのメッセージをどう扱うかを変えるのです。

実用的なポイントはここからです。softfailの場合、迷惑メールフォルダに振り分けられたり、隔離されたりすることが多いです。hardfailの場合、特にDMARCの整合性が取れていると、メールサーバーでの拒否が直接行われることもあります。Microsoft 365やOutlookは、SPFとDKIM、コンテンツフィルターを組み合わせて使う傾向があります。GoogleやYahooはDMARCと送信者の評判を重視します。したがって、softfailはプロモーションフォルダに入ることが多く、hardfailかつDMARCの整合性が取れている場合は、明確にブロックされることもあります。

私は決してすぐにhardfailに切り替えません。私の流れは常に：中立 (?all) → softfail (~all) → hardfail (-all)です。調査中、レガシーなメールフローやベンダーのIP範囲に不安がある場合は、softfailを使います。これにより、ドメインの誤用を検知しつつ、配信性を落とさずに、CRMやマーケティング自動化、チケッティング、HR、財務、プリンターなど、すべての送信元を把握します。

すべての許可された送信者とDKIMの整合性を確認したら、次にhardfailに移行します。リスクとリターンは明白です：softfailは調査中の配信性を高めますが、フィッシングがスパムとして通過してしまうリスクも高まります。hardfailはセキュリティを強化しますが、送信者の見落としがあれば正当なメールもブロックされてしまいます。

私は、includeを過剰にネストして10回のDNSルックアップ制限を超えたり、季節限定のベンダー（LivestormやPrismicのWebhookなど）を忘れたり、DMARCが壊れたSPFレコードを救済してくれると誤信したりするチームを何度も見てきました。実際には、DMARCは整合性が取れていなければ役に立ちません。

本当の教訓は、SPF、DKIM、DMARCを個別のパーツとして扱わず、システムとして捉えることです。メールの転送は、接続IPが変わるためSPFを壊します。SRS (Sender Rewriting Scheme)を使っていれば問題ありませんが、そうでなければ、softfailが友好的な火力防御の唯一の防衛策となります。だからこそ、私はDMARCの集計レポートを徹底的に監視し、何か失敗したときはAuthentication-Resultsヘッダーも確認します。

私の安全な展開手順は、まずすべてのメールサーバーとワークフローをマッピングし、すべての場所でDKIMを検証し、テレメトリー用にp=noneでDMARCを有効化、次にSPFをsoftfailに設定し、2回の送信サイクルを見守りながら監査、すべての未承認送信者を調査し、最後にrejectポリシーをリハーサルしてからhardfailに切り替えます。

過去数年、GoogleやYahooは認証要件を厳格化しています。ポリシーの適用はますます複合的になり、SPFモード、DKIM署名、DMARCポリシー、コンテンツ、評判などが重要です。だからこそ、私はSPFを孤立させて扱いません。SPFのhardfailだけでは、転送が多い環境では逆効果になることもあります。

私が今でも最もよく見る誤りは、チームがDKIMが普及する前にhardfailに切り替えるか、softfailのまま攻撃者の適応とメールなりすましの繁栄を許してしまうことです。バランスは必要ですが、方法論を持って進めれば、道は明らかです。