SPFと転送の相性の悪さに泣かされる日々

 こんばんは。今日は何を書くかしばし悩んでました。悩みながら「毎日の夕食を考える主婦の方々と似てる部分があるんじゃないか？」と、ふと思ったのでした。

 そんなことはさておき、今日のネタですが、SPFと転送問題について少し書いてみようかと思います。spamメール対策というと、UTMで対処したり、spamメール対策専用アプライアンスや、クラウドで提供されるspamフィルタ等があります。メールサーバ側に実装するとなると、SpamAssassinが一般的かと思います。他にMTA側で対応するS25Rもあります。

 これ以外にSPF認証が使われることがあります。元々はなりすまし防止のための仕組みなのですが、spamメールはFROMフィールドを詐称して、全く無関係のメールサーバから送信してくることが多いです。ですので、SPF認証がspamメール対策にもなり得るというのも一定の説得力を持ち合わせています。

 自社のメールサーバが特定のIPアドレスからしか送信しないという風に宣言するのは比較的容易で、DNSサーバで自ドメインについて「このIPアドレスからしか送信しません(意訳)」というように宣言します。これも書き方によりますが、強く主張する場合と弱めに主張する場合があります。仮に前者の場合、他所で自社ドメインを騙るメールの受信を阻むことが出来ます。

 ただ、そのためには受信側の設定が必要になります。MTAがpostfixの場合だと、postfix-policyd-spf-python(とPerl版も)があります。こてだと設定ファイルもありますので、細かい調整が可能です。

 SPF認証は直前のメールサーバのIPアドレスとドメイン名で認証します。その関係で転送には滅法弱いです。envelope-fromが送信元のアドレスで、サーバが転送元のIPアドレスになってしまうので不整合が起きます。Gmailのようにenvelope-fromをgmail.comに書き換えてくれればいいのですが、そうでないと本当に苦労します。ホワイトリストに当該ドメインを記述しても上手く行かないので、IPアドレスベースで記述する項目があったので、そちらにも書いてみました。これで上手く行くのかどうか様子見なのですが…。好き勝手な転送設定がなければ結構上手くspamメールを落としてくれるのですが…。

 まだ書きたいことはあるんですが、またの機会に。(^^;;