spf=fail — 宣言に無いサーバーから送られている

spf=fail は明確な不合格です。「そのドメインは、このサーバーからは送らないと宣言している」のに、そのサーバーから届いた、という意味です。末尾が -all のドメインでは、そのまま受信拒否につながります。

まず、それは自社が送ったメールですか

ここを取り違えると、対処が正反対になります。

DMARCレポート（rua）を設定していると、どの送信元で fail が出ているかが毎日届きます。これが無いと、この切り分け自体ができません（→DMARCレポートとは何か）。

① 配信サービスの追記漏れ

メール配信サービス、フォームの自動返信、CRM、勤怠システム——自社ドメイン名義で送るものは、すべてSPFに書く必要があります。1つでも漏れると、その経路だけ fail になります。

心当たりを洗い出すには送信経路の洗い出しと台帳を、追記する値は設定値をつくるで作れます。既存の1本に追記してください。2本目を作ると両方無効になります。

② 転送されている

転送されるとSPFは構造的に失敗します。転送した側のサーバーから届くため、あなたの宣言には入っていないからです。これは設定ミスではなく、SPFの仕組み上の限界です。

対策はSPF側にはありません。DKIMを設定してください。DKIMは転送されても壊れにくく、DMARCはSPFかDKIMのどちらか一方で合格します（→転送・ML・ARC対策）。

③ 本物のなりすまし

知らない送信元からの fail が続いているなら、あなたのドメインが騙られています。SPFが fail を返している時点で、受信側は弾ける状態にあります。

さらに確実にするなら、DMARCのポリシーを p=quarantine 以上に引き上げます。ただし自社の正規の送信がすべて認証を通っていることを、レポートで確認してからにしてください（→reject移行チェックリスト）。

確認のしかた

無料診断にドメイン名を入れると、現在のSPFの内容と、どのサービスが宣言に入っているかを確認できます。届いたメールのヘッダーからは、どのIPで fail になったかが読み取れます（→Authentication-Resultsの見方）。