Defaults.Exposed › レポート

顧客に最も強力なSPFデフォルトを提供しているメールプロバイダーはどこか？（2026年）

公開日 2026-07-03

数値は2026-06-29時点 · 方法論 v7。 グレード付けした261百万ドメインにわたる集計センサス。公開されたSPFレコード内の正確な include:/redirect= ターゲットを数えています。公開DNSを対象とし、プロバイダーごとに集計しており、個々の企業のレコードを扱うことは決してありません。グレード付けの方法を参照してください。

すべてのSPFレコードは、あるドメインに代わって送信を許可されたサービスを名指ししています。だからこそ139百万件のSPFレコードは、プロバイダーのデフォルトのセンサスでもあり、そのデフォルトは大きく異なります。Microsoft 365を含むドメインの85.0%が厳格な -all でSPFを終えているのに対し、Google Workspaceを含むドメインでは8.0%です。 2つ目の発見のほうが重要です。なりすましを実際に食い止める指標、つまりレコードの背後にある強制されたDMARCポリシーで見ると、主要メールボックスプロバイダーのどの顧客層も、完成度が30%を超えていません。

リーグ表：プロバイダー別の厳格な終端と完成した保護

各プロバイダーをSPFに含むドメイン、厳格（-all）で終わる割合、そして強制されたDMARCを持つ割合。これが偽造を食い止める組み合わせです。

この表の読み方 — 正直に

このデータが何であり、何でないか、4つのこと：

• 各行はinclude母集団であり、顧客ではありません。 GoogleとMailgunの両方を含むドメインは、両方の行に登場します。
• 厳格の列は、各プロバイダーのセットアップテンプレートと顧客構成をあわせて写し取ったものです。 Microsoftのオンボーディングは -all を出力し、Googleのドキュメントは ~all を推奨します。ホスティングパネルは、まったくメールを送らないかもしれないドメインにもレコードを自動プロビジョニングします。これは、誰かが何かを決めることなく厳格の割合を押し上げることがあります。
• 厳格の割合が低いこと自体が、自動的に誤りというわけではありません。 Namecheapの行はメール転送製品であり、転送はまさに-all が誤作動するケースです。したがって、そこでソフトなテンプレートを使うことは、むしろ正しい設定だと言えます。その行での露出はもう一方の列にあります。強制は0.2%です。
• 強制の列こそが本当のランキングです。 DMARCが強制されれば、厳格かソフトかはスタイルの選択にすぎません。強制がなければ、どちらの終端も、ほとんどの受信側で偽造を食い止めません。

各列が語る3つの物語

• デフォルトが運命を決める。 顧客は圧倒的に、ウィザードが与えたものをそのまま維持します。Googleを含むドメインの92%が非厳格な終端を維持しており、その大半はGoogleのガイドが推奨する ~all です。Stackmailドメインの98.2%は、そのパネルが書き込む -all を維持しています。後から修飾子を再決定する人はほとんどいません。これはこのセンサス全体の礎となる観察であり、139百万回にわたって書かれています。
• ゴールラインを越えるのはテンプレートではなくユーザーです。 強制のリーダーは開発者中心の送信者たち、すなわちAmazon SES（41.9%）とMailgun（35.9%）で、その顧客は仕事を完遂するチームに偏っています。大手メールボックスプロバイダーの母集団は、SPFテンプレートがどれほど厳格であったかにかかわらず、強制で18.5%から29.3%のあいだに位置します。
• 露出した大多数はホスティングと転送の層です。 Namecheapの転送、Hostinger、IONOS、HostGatorを合わせると19百万を超えるドメインをカバーし、その強制は2%以下です。パネルがインストールしたものをそのまま動かす中小企業の名義であり、ソフトに囲われ、強制されていません。

自分のドメインで何をすべきか

1. あなたのSPFが実際にどのプロバイダーを含んでいるか確認しましょう。dig TXT yourdomain.com、または無料でチェック。
2. 厳格な終端を盲目的に真似しないでください。送信元をマッピングし、そのうえで -all に締めるか、~all を維持したまま背後にDMARC p=reject を置くかのどちらかにしましょう。
3. あなたのプロバイダーが渡したものは、あなたが受け継いだテンプレートにすぎません。そして無料のDNS編集で変更できます。

よくある質問

最も安全なSPFデフォルトを持つメールプロバイダーはどこですか？ 厳格なテンプレートで見ると、Stackmail / 20i（ドメインの98.2%が -all で終わる）、GoDaddy（86.0%）、Microsoft 365（85.0%）です。完成した保護、つまりSPFの背後にある強制されたDMARCで見ると、Amazon SESの顧客が41.9%でリードしています。2つの指標は、それぞれ厳格なテンプレートと、完遂する顧客層を評価しているのです。

Google Workspaceを使っていると、私のSPFは弱いということですか？ 本質的にはそうではありません。Googleが推奨する ~all は、強制されたDMARCポリシーと組み合わせれば健全な運用です。しかし2026-06-29時点で、その組み合わせを持つのはGoogleを含むドメインの18.5%にすぎません。弱点はソフトフェイルではなく、そこで止まってしまうことにあります。

これらの数値は、プロバイダー自身のセキュリティを判定するものですか？ いいえ。各プロバイダーを含む顧客ドメインの、公開されたSPFの状態を測定したものです。公開DNSを集計し、セットアップテンプレート、ドキュメント、顧客構成によって形作られています。個々のドメインが特定されたり、公開でグレード付けされたりすることはありません。

なぜプロバイダーのテンプレートが私のセキュリティを決めてしまうのですか？ 初日に一度コピーされるからであり、そして私たちのセンサスは、それがほとんど再決定されないことを示しているからです。デフォルトは残り続けます。だからこそ、あなたのものを確認することは30秒の価値があるのです。

あなたのドメインが何を受け継いだかを確認する

セットアップウィザードが書いたものは、いまもあなたのDNSに残っています。それを読むこと、そして仕上げることは無料です。

あなたのドメインをチェック → · SPFを修正 → · ~all 対 -all → · DMARCなしのSPF → · メールホスティングの市場シェア → · 集計データのみ。データはEU内で保存・処理されています。