Defaults.Exposed › SPF

SPF：導入率、強度、そしてなりすまし可能性のギャップ

データ基準日 2026-06-29 · 手法 v7 · 集計データのみ

138.9百万のドメインがSPFレコードを公開していますが、公開することと保護することは別物です。 当社の100点満点のSPF強度スケールで、インターネット全体のスコアは29、平均成熟度は6段階中ステージ2.39です。ほとんどのレコードは「たぶん」の段階まで上って、そこで止まります。

SPFが偽装を拒否できるのは、厳格な終端（-all）で終わっている場合、あるいは適用されているDMARCポリシーがsoftfailに対して動作する場合だけです。レコードの55.8%は~all（softfail）で終わり、-allで終わるのはわずか39.3%にすぎません。このギャップ、つまり公開されているが適用されていないという状態こそ、メールセキュリティにおいて最も大きな母集団なのです。

SPF導入成熟度モデル（SPFAMM）

6つのステージ、それぞれ1手ずつ、そしてステージ3→4に立ちはだかる唯一の調査上の壁があります。DAMMがDMARCの道のりを計測するのに対し、SPFAMMはSPFの道のりを計測します。許可リストがない状態から、無力な中間段階を経て、DMARCが動作できる厳格なレコードへ至るまでです。

1. ステージ1 — なし： SPFレコードが存在しない — 採点対象ドメイン全体の46%（121.1百万）。
2. ステージ2 — 破損／許可過多： 複数のレコード、+all、neutral、または終端なし（7.8百万）。
3. ステージ3 — Softfail： ~allで終わっているが、それを適用するものが何もない — 最頻の落ち着き先（70.4百万）。
4. ステージ4 — 厳格： -allで終わり、正しく解析でき、10-lookup limit内に収まっている（42.5百万）。
5. ステージ5 — 整合済み： 適用されているDMARCポリシーを背後に持つ厳格またはsoftfailのレコード（19.3百万）。
6. ステージ6 — 完全保護： 整合し、適用されているごく少数（10.1百万）。

壁はステージ3→4にあります。他のどの手も1行のDNS編集で済みますが、これだけは、あなたの名義で送信するすべてのシステムを10-lookup limitを超えないよう洗い出すことを意味します。だからこそsoftfailがインターネットの落ち着き先になっているのです。

データを読み解く

• SPF導入成熟度モデル（SPFAMM）
  SPFの6つのステージと、インターネットの大半が止まるステージ3→4の調査上の壁。
• ~all 対 -all：139百万のレコードが選んだもの
  Softfailが最頻の終端です。55.8%が~all（「たぶん偽物 — それでも配送」）で終わるのに対し、厳格な-allは39.3%です。
• SPF PermErrorレポート
  797,263のドメインが10-lookup limitを超えることで、自らのSPFを気づかぬうちに壊しています — 表面的な集計が示す数の100倍です。
• SPFレコードが2つ＝なし
  1,013,416のドメインが2つ以上のSPFレコードを公開しています — 規則によりそのすべてが無効になります。
• ptrの罠
  2014年以降は非推奨とされるメカニズムが、いまだ950,631のレコードに残っています。
• +allマップ
  36,015のドメインが+allを公開しています — 自分の名義で送信してよいという公然の招待状です。
• 最も強固なSPFデフォルトを提供するメールプロバイダはどこか？
  厳格SPFと適用率で比較した15プロバイダのリーグ — あなたのプロバイダがあなたのデフォルトを書いています。
• メールなりすまし可能性指数
  誰でも偽装できるドメインがどれだけあるか — TLD別・国別。

自分のドメインをチェック

ドメインをチェック — 無料、30秒 →

修正ガイドを見る：SPFの修正方法 → · 集計データのみ。データはEU域内で保管・処理されます。