10回ルックアップの壁
SPFの評価1回につき、DNSルックアップは最大10回まで。各include:と、その中に入れ子になったincludeも、すべてこの上限を消費します。
NEW 動的SPF — 1つのレコードで、無制限の送信元に対応
SPFの10回ルックアップ制限を、恒久的に解決。
DMARC/25 SPFは、複雑に絡み合ったinclude:の連鎖を、すべての送信元を動的に解決する1つのマクロレコードに置き換えます。送信元が増えても、認証が壊れることはありません。
DNS変更は1回だけ。継続的なメンテナンスはゼロ。どのプロバイダでも動作します。
_spf.yourdomain.com
LIVE
導入前 — 手動include管理
› include:_spf.google.com
› include:spf.protection.outlook.com
› include:sendgrid.net
✕ include:_spf.salesforce.com — 11回目のルックアップ
PermError: DNSルックアップ回数超過
DMARC/25 SPF
● 導入後 — 1つの動的レコード
v=spf1 include:%{ir}.%{v}.%{l}.%{d}._spf.a1l.com -all
承認した送信元すべてを、1回のルックアップで解決
Google Workspace
Microsoft 365
SendGrid
Salesforce
Mailchimp
Amazon SES
Zendesk
10
SPFが課すDNSルックアップの上限 — 障害の最大の原因
1
送信元をいくつ追加しても、あなたのレコードに必要なルックアップ回数
5分
サインアップから、検証済みレコードがDNSで稼働するまで
0
マクロレコード導入後に必要な手動SPF編集の回数
課題
SPFは、現代のメール送信環境を想定して作られていません。
メール送信に使うSaaSツールを追加するたびに、固定の上限を消費します。一線を越えると認証は静かに壊れ、DMARCまで道連れになります。
静かに起こるPermError
上限を超えると受信側はpermerrorを返します。正当なメールが未認証として扱われ、バウンスも警告もないまま、信頼だけが失われます。
終わらないメンテナンス
ベンダーは予告なくIPレンジを変更します。手作りのSPFレコードを正しく保ち続けるのは、チームにとって反復的でミスの起きやすい作業です。
到達率への打撃
SPFが評価できないと、受信プロバイダはメールの評価を下げたり隔離したりします。大切なキャンペーンやトランザクションメールが損なわれていきます。
DMARCも壊れる
DMARCはSPFまたはDKIMのアライメントに依存します。壊れたSPFレコードは、せっかく築いたなりすまし対策の土台を崩してしまいます。
フラット化は古くなる
IPを1つのレコードに直書きする「SPFフラット化」は、プロバイダがレンジを変えた瞬間に壊れます。壊れやすいレコードを、別の壊れやすいレコードに替えるだけです。
仕組み
1つのマクロレコードが、ルックアップを肩代わりします。
送信元を列挙する代わりに、1つのレコードに委任します。クエリ時に送信IPがホスト名にエンコードされ、当社の権威DNSがその接続そのものに回答します。
v=spf1 include:%{ir}.%{v}.%{l}.%{d}._spf.a1l.com -all
%{ir}逆順の送信IP接続元サーバーのIPを逆順にし、ドット区切りにしてDNSクエリに使います。
%{v}IPバージョンIPv4では
in-addr、IPv6ではip6に展開され、両方のアドレス体系に対応します。%{l}ローカルパートエンベロープ送信者のローカルパート。きめ細かなポリシー制御に使えます。
%{d}対象ドメインあなたのドメイン。回答が常にあなた専用のものになるようスコープします。
上限に達しない理由
通常のSPFレコードは、受信側に入れ子になったincludeのツリーをたどることを要求します。その一つひとつがDNSルックアップです。マクロレコードは、この構図を逆転させます。
受信側があなたのSPFを評価するとき、接続情報をホスト名に埋め込み、_spf.a1l.comへ1回だけクエリします。当社の権威DNSはあなたが承認した送信元をすべて把握しており、そのIPに対するpassまたはfailを、1回のルックアップで回答します。
新しいベンダーを追加するときは、コンソールで一度承認するだけ。変更は一元的にコンパイルされます。公開済みのレコードは変わらず、あなたがDNSに触れることは二度とありません。
ドメインを追加
送信に使うドメインを登録します。現在の送信元をプロファイルし、すでに上限を超えている箇所を洗い出します。
TXTレコードを1つ公開
SPFレコードを単一のマクロレコードに置き換えます。あなたが行うDNS変更は、これが最初で最後です。
認証を維持
承認済みの送信元には、レコードの裏側で回答します。SPFはパスし、DMARCはアライメントし、DNSを再編集することなく到達率は維持されます。
管理
誰が送信できるかを、スプレッドシートではなく承認フローで。
1つのレコードでSPFを当社に向ければ、以降のすべての送信元は、審査済み・スコープ付き・期限付きの権限になります。ドメイン所有者が所有し、送信元が申請し、すべてが永続的に記録されます。IPレンジをメールで回してDNSを手編集する日々は、もう終わりです。
送信元が申請し、所有者が承認
ESP、社内チーム、CRM、代理店が送信を申請し、ドメイン所有者が送信元・メールストリーム・期間を厳密に指定して承認します。送信元が自分自身をあなたのドメインに承認することは決してできません。
デュアルコントロールとステップアップ認証
リスクの高い変更には、2人目の承認者と、その場でのパスキー再確認が必要です。すべての申請は「9月1日までbilling@として3レンジの送信を許可」のように、影響範囲が平易な言葉で表示されてから承認されます。
スコープ付き・自動失効
各権限はドメイン・送信元・メールストリーム・有効期限に紐付きます。キャンペーンやベンダーの権限は期間終了時に自動的に片付き、うっかり残り続けることはありません。
ロール、事業部門、パートナー
個人の送信者からグローバル銀行まで対応。ドメイン所有者を事業部門に分割し、代理店やMSPに委任し、各メンバーに必要最小限のロールを付与できます。1つのサインインで、複数の役割を。
数秒で取り消し
どの権限も数秒で一時停止・取り消しでき、レコードは即座に再コンパイルされます。受信側のキャッシュが失効し次第、不正な送信元はパスしなくなります。オンコール担当者向けの専用緊急対応フローはロードマップにあります。
どちら側からでも運用可能
「ESPからレコードを受け取り、自分で適用する」従来の運用がお好みなら、ドメイン所有者が送信元に代わって設定できます。セルフサービスがよければ、送信元自身が設定します。どちらの場合も、承認ステップは同じです。
計測
機能していることを証明し、壊れた瞬間を知る。
見えない認証は、信頼できない認証です。テストを送る、キャンペーンにシードを入れる、実際の接続を再現する — 明確な答えが返ります。本番の送信が失敗し始めた瞬間に届くアラートは、近日提供予定です。
ワンクリック設定テスト 近日提供
専用のテストアドレスにメールを送ると、SPF・DKIM・DMARC・ARC・TLSの完全なスコアカードが返ります。グリーンに届かない項目には、「直すべきこと」を平易な言葉で示します。
キャンペーンシード監視 近日提供
任意のキャンペーンにシードアドレスを入れると、すべての送信が継続的にスコアリングされます。ブラストが認証に失敗し始めたら、購読者にアラートが届きます。壊れたキャンペーンの検出は、日単位ではなく分単位です。
あらゆる結果を説明
ドメイン・送信者アドレス・IPを入力すると、シミュレーターがpass/fail、一致した権限、正確なマクロ展開、有効なデプロイバージョンを表示します。変更の事前確認や、「なぜバウンスした?」への回答に最適です。
トラフィックと異常検知アラート 近日提供
すべてのレコードのクエリ量をベースライン化します。小さなキャンペーンを承認したのに巨大な送信が見える。新しいIPが現れた。fail率が上昇している。そんなとき異常としてオープンされ、しかるべき人に通知されます — インシデントになる前に。
機能
メールを真剣に扱うチームのために。
SPFを大規模に正しく保つために必要なすべてを — TwoFiveの到達性エンジニアリングが支えます。
制御された委任を、1つのレコードで
誰が送信できるかを承認するのはあなたです。承認済みの送信元すべてに、当社が1つのレコードから回答します。各権限はスコープ付きで、名前のある取引関係に紐付き、監査可能。あるベンダーの変更が、別のベンダーの影響範囲を広げることはありません。
ライブルックアップ分析 近日提供
どの送信元が、どのIPから、どの頻度でクエリしているかを可視化。pass/failの内訳で、設定ミスや想定外の送信元を発見できます。
検証とプリフライト
公開前に、実際の送信IPに対してレコードをシミュレートし、SPF・DKIM・DMARCの整合を確認します。
マルチドメイン管理
すべてのドメインとサブドメインのSPFを1つのコンソールで管理。ドメインごとのポリシーと、チーム向けのロールベースアクセス制御を備えます。
グローバル・エニーキャストDNS 近日提供
マクロクエリには現在、自動フェイルオーバーを備えた冗長なUS + EUノードが回答します。グローバル・エニーキャスト網は本番サービスとともに導入予定 — SPF評価がボトルネックになることはありません。
専門家サポート込み
DMARC/25 Analyzeを手がける到達性のスペシャリストがサポートします。日本最大級の送信事業者に信頼されている、あのチームです。
ガイド付きレコードビルダー
送信元とストリームを選ぶだけで、正確なTXTを生成します。現在のレコードを検査し、弱い~allや重複SPFを検出し、残りルックアップ数を数え、「これを公開」から検証済みグリーンまで導きます。エキスパート向け貼り付けモードへの切り替えもワンタッチです。
数分でインポートと移行 近日提供
現在のSPFレコードを貼り付けるだけ。すべてのincludeを解析し、10回制限までの余裕を数え、古くなったフラット化を警告し、利用中のベンダーを特定し、1つのクリーンなマクロレコードへの道筋を示します。
バージョン管理されたマルチノード配信
すべての変更は、検証済み・バージョン付きの成果物にコンパイルされ、各DNSノードへ独立して配信されます。「バージョンNが3ノード中3ノードで稼働」が常に見え、部分的なロールアウトは決して隠さず、はっきり表示します。
パスワードレス、フィッシング耐性
現在はLinkedInでサインイン — Google、Microsoft、自社SSOは近日対応予定 — 当社はパスワードを一切保存しません。パスキーとセキュリティキーが全アカウントを守ります。
セキュリティ水準を自分で調整
銀行ならすべてを最大に — 強い認証要素の強制、厳格な承認クォーラム、ログインIP許可リスト。個人の送信者なら軽めに。プリセットから姿勢を選び、各コントロールを調整するのはあなたです。当社が勝手に決めることはありません。
改ざん検知可能な監査証跡
すべての申請・承認・変更・取り消しが、ハッシュチェーン化されたタイムラインに記録され、規制当局向けにエクスポートできます。誰が・いつ・何をしたかの、完全で検証可能な履歴です。
セキュリティと信頼性
ポリシーの土台にできる認証を。
DMARC/25 SPFは、メールのクリティカルパスに位置します。だからこそ、正確・高速・常時稼働 — 存在を意識させないように設計されています。
権威あるマスターデータ
すべての回答は、審査され記録された承認まで遡って検証できます。推測は一切なく、あなたの承認なしに送信元が加わることはありません。
エニーキャスト、グローバル冗長構成 近日提供
単一障害点なし。現在は冗長なUS + EUノードが自動フェイルオーバー付きで回答し、世界規模のエニーキャストエッジは本番サービスとともに導入予定です。
変更に強い設計
公開レコードは不変です。更新はその裏側で行われるため、ベンダーの変更があなたのDNSを壊すことはありません。
標準準拠
純粋なRFC 7208 SPFマクロのみ。独自リゾルバもロックインもなく、準拠するすべての受信側で動作します。
盗まれるパスワードがない
サインインは現在LinkedInに委任しており、Google、Microsoft、自社SSOは近日対応予定です。パスワードを保存しないため漏洩のしようがなく、借り物のソーシャルログインだけで、あなたのSPFを変更することはできません。
設計段階からフィッシング耐性
パスキーとセキュリティキーが全アカウントを守り、機微な変更には、サインイン済みであってもその場での再確認を要求します。
メール経路には一切入らない
当社はエッジでSPFに回答するだけで、メールそのものには触れません。コンソールがメンテナンス中でも配送は流れ続け、止まるのは管理操作だけです。
1
DNSルックアップ — 送信元がいくつあっても
リゾルバリージョンUS + EU
冗長性マルチノード、自動フェイルオーバー
送信元レンジ更新オペレーター配信
レコード形式RFC 7208 マクロ
DNSSEC署名済み