--- title: "SPFとは？送信元IPでなりすましを防ぐ仕組み【SG試験】" description: "SPFは、送信元ドメインのDNSに登録されたSPFレコードと送信元IPアドレスを照合し、正規のメールサーバから送られたかを確認する仕組みです。DKIM、メールアーカイブ、上長承認との違いもSG試験向けに整理します。 選択肢で問われる目的・対象・責任範囲を押さえ、似た用語や対策との違いを判断できるようにします。" last_modified_at: "2026-06-21" canonical_url: "https://stemtazoo.github.io/sg/spf/" section: "sg" --- ## まず結論 SPF（Sender Policy Framework）は、**SMTP接続してきたメールサーバのIPアドレスをもとに、正規のサーバから送られたメールかどうかを確認する仕組み**です。 SG試験では、次のように押さえると判断しやすいです。 > **SPF = 送信元ドメインのDNS情報と、送信してきたサーバのIPアドレスを照合する** つまり、SPFは**メール送信者のなりすまし対策**です。 選択肢では、次のような表現が正解になりやすいです。 > 電子メールを受信するサーバが、電子メールの送信元ドメイン情報と、電子メールを送信したサーバのIPアドレスから、ドメインの詐称がないことを確認する。 ここで大事なのは、**電子署名ではなく、IPアドレスで確認する**という点です。 --- ## 直感的な説明 SPFは、メール版の**「この会社のメールは、この配送センターからだけ出します」リスト**のようなものです。 たとえば、ある会社が自分のDNSに、 > example.com のメールは、このメールサーバから送ります と登録しておきます。 受信側のメールサーバは、メールを受け取ったときに、 1. 実際に接続してきたメールサーバのIPアドレスを見る 2. 送信元ドメインのDNSに問い合わせる 3. 登録済みのSPFレコードと照合する という流れで確認します。 一致すれば、**そのドメインが許可したメールサーバから送られた可能性が高い**と判断できます。 逆に、一致しなければ、なりすましメールの可能性があります。 --- ## 定義・仕組み SPFは、送信側ドメインのDNSに公開されたSPFレコードを使って、受信側メールサーバが送信元IPアドレスを照合する技術です。 仕様としては、IETFの [RFC 7208](https://www.rfc-editor.org/rfc/rfc7208) で定義されています。 基本の流れは次のとおりです。 1. **送信側**は、自分のドメインのDNSにSPFレコードを登録する - 正当なメールサーバのIPアドレス - 正当なメールサーバのホスト名 - 送信を許可する範囲 2. 送信側から受信側へ、SMTPでメールが送信される 3. **受信側メールサーバ**は、SMTP接続してきたメールサーバのIPアドレスを確認する 4. 受信側メールサーバは、送信元ドメインのDNSに問い合わせる 5. DNSからSPFレコードを取得する 6. SPFレコードと、実際に接続してきたIPアドレスを照合する 7. 照合に成功すれば、正当なメールサーバから送信されたと判断する ここで特に重要なのは、SPFを確認するのは**受信側メールサーバ**という点です。 また、SPFで確認する送信元ドメインは、主にSMTPの `MAIL FROM` コマンドなどに記載されたドメインです。 メールソフトで見える「差出人名」だけを見ているわけではありません。 --- ## どんな場面で使う？ ### 使う場面 SPFは、主に次のような場面で使われます。 - 自社ドメインを悪用したなりすましメールを減らしたい - 受信側で、送信元メールサーバが正規のものか確認したい - 迷惑メール対策やフィッシング対策の一部として使いたい - メール認証の仕組みとして、DKIMやDMARCと組み合わせたい SG試験では、**メールのなりすまし対策**として出てきたら、SPFを候補にします。 --- ### SPFだけでは足りない場面 一方で、SPFだけでメールの安全性をすべて保証できるわけではありません。 - メール本文の改ざん検知はできない - 添付ファイルの安全性は判断できない - 表示上の差出人名が正しいかまでは保証しない - メール転送では、途中の転送サーバのIPアドレスになり、SPFが失敗することがある SPFの役割は、あくまで**送信元メールサーバの確認**です。 「本文が安全か」「添付ファイルが安全か」「リンク先が安全か」を確認する仕組みではありません。 また、[BEC（ビジネスメール詐欺）](https://stemtazoo.github.io/sg/business-email-compromise/)のように、偽請求書や振込先変更で送金させる攻撃では、メール認証だけでなく、別経路確認や複数人承認などの業務手続も重要になります。 --- ## よくある誤解・混同 ### ❌ SPFはデジタル署名で確認する？ → **SPFではありません。** SPFでは、デジタル署名を使いません。 SPFが見るのは、**送信してきたメールサーバのIPアドレス**です。 選択肢に、 > 電子メールに付与されているデジタル署名を使って確認する とあれば、SPFではなく**DKIM**の説明です。 --- ### ❌ DKIMとの混同 DKIM（DomainKeys Identified Mail）は、メールに電子署名を付けて、送信ドメインや改ざんの有無を確認する仕組みです。 SPFとの違いは、次のように整理できます。 | 用語 | 見るもの | 判断すること | |---|---|---| | SPF | 送信元IPアドレス | 正規のメールサーバから送られたか | | DKIM | 電子署名 | メールが改ざんされていないか、正当なドメインか | | DMARC | SPFやDKIMの結果 | 認証失敗時にどう扱うか | SG試験では、**IPアドレスならSPF、電子署名ならDKIM**と切り分けると判断しやすいです。 --- ### ❌ メールをすべて保存する仕組み？ → **SPFではありません。** メールの宛先ドメインや送信者のメールアドレスを問わず、すべてのメールを保存する仕組みは、**メールアーカイブシステム**です。 SPFは、メールを保存する仕組みではありません。 メールを受信したときに、**送信元メールサーバが正規かどうかを確認する仕組み**です。 --- ### ❌ 上司の承認が得られるまでメール送信を保留する？ → **SPFではありません。** 上長承認機能や第三者承認機能は、メールの誤送信を防ぐための仕組みです。 たとえば、重要なメールを送信する前に上司が確認し、問題がなければ送信する、という使い方です。 SPFは、人の承認を行う仕組みではありません。 DNS情報とIPアドレスを照合して、送信元の正当性を確認する仕組みです。 --- ### ❌ HTTP通信の中間者攻撃を検知する？ → **SPFではありません。** SPFはメール送信に関する仕組みです。 HTTP通信の途中で盗聴・改ざんする攻撃を検知する仕組みではありません。 選択肢に「HTTP通信」「経路上」「中間者攻撃」と出てきたら、SPFからは外します。 --- ### ❌ LANへのPCの不正接続を検知する？ → **SPFではありません。** LANに不正なPCが接続されたかを検知する話は、ネットワーク管理や認証、検疫ネットワークなどの文脈です。 SPFは、PCの接続管理ではなく、メールサーバの送信元確認です。 --- ### ❌ 内部ネットワークへの不正侵入を検知する？ → **SPFではありません。** 内部ネットワークへの侵入を検知するなら、IDS、IPS、ログ監視などの話になります。 SPFは侵入検知システムではありません。 --- ## 試験での切り分けポイント SPFの選択肢を選ぶときは、次のキーワードに注目します。 ### SPFを選ぶキーワード - 送信元ドメイン - DNS - SPFレコード - TXTレコード - SMTP - MAIL FROM - 送信元IPアドレス - メールサーバの正当性 - ドメインの詐称確認 このあたりが出てきたら、SPFの可能性が高いです。 --- ### SPFではないキーワード | キーワード | 疑う用語 | |---|---| | デジタル署名 | DKIM | | 改ざん検知 | DKIM | | 認証失敗時の処理方針 | DMARC | | すべてのメールを保存 | メールアーカイブ | | 上司の承認 | 上長承認・第三者承認 | | HTTP通信 | HTTPS、TLS、中間者攻撃対策 | | 不正侵入の検知 | IDS、IPS | | LAN接続の管理 | NAC、認証、検疫ネットワーク | SPFは、**メールを送ってきたサーバのIPアドレスを見る**仕組みです。 ここから外れる選択肢は、基本的にSPFではありません。 --- ## まとめ（試験直前用） - SPFは、**送信元IPアドレスでメールサーバの正当性を確認する仕組み** - 送信側ドメインのDNSに、SPFレコードを登録しておく - 確認するのは、主に**受信側メールサーバ** - 「送信元ドメイン」「DNS」「SMTP」「IPアドレス照合」が出たらSPF - 「デジタル署名」はDKIM、「メール保存」はメールアーカイブ、「上司の承認」は誤送信対策 SG試験では、SPFを**メール本文の安全性を確認する仕組み**と考えないことが大切です。 あくまで、**正規のメールサーバから送られたかを確認する仕組み**として整理しておきましょう。 --- ## 参考リンク SPFやメール認証の仕組みをもう少し確認したい場合は、次の公式・公的な資料が参考になります。 - [RFC 7208 - Sender Policy Framework (SPF)](https://datatracker.ietf.org/doc/html/rfc7208) SPFの仕様を定義しているIETFのRFCです。試験対策では細かい構文まで覚える必要はありませんが、SPFが「送信を許可されたホストをDNSで公開し、受信側が確認する仕組み」であることを確認できます。 - [RFC 6376 - DomainKeys Identified Mail (DKIM) Signatures](https://datatracker.ietf.org/doc/html/rfc6376) DKIMの仕様を定義しているIETFのRFCです。SPFとの違いを確認したいときに役立ちます。SPFはIPアドレス、DKIMは電子署名で切り分けます。 - [RFC 7489 - DMARC](https://datatracker.ietf.org/doc/html/rfc7489) DMARCの仕様を定義しているIETFのRFCです。DMARCは、SPFやDKIMの認証結果を使って、受信側での扱い方を決める仕組みです。 - [IPA：情報セキュリティ安心相談窓口の相談状況［2024年第4四半期］](https://www.ipa.go.jp/security/anshin/reports/2024q4outline.html) なりすましメールへの対策として、SPF、DKIM、DMARCの設定に触れられています。実務上の対策イメージを確認するのに向いています。 - [フィッシング対策協議会：なりすまし送信メール対策について](https://www.antiphishing.jp/enterprise/domain_authentication.html) SPF、DKIM、DMARCの違いが整理されています。特に「SPFは正規のサーバー（IPアドレス）から送信されたかを検証する」という点の確認に役立ちます。 ---