メールのSPFは厳密には「Fromアドレス」に適用されるわけでは無い！

・「Envelope-from」という、メールの本来の差出人情報と、
「FROMアドレス」で異なったメールアドレスを設定してみた所、
「Envelope-from」のメールアドレスのみにSPFが適用された。

つまり、「SPF pass状態」で見た目上は偽装メールという状態が作り出せた。
返信すればバレるのですが、技術者であっても気が付きにくい
不誠実な仕様に見えます。

・メールのブラックリスト技術について、
意図的にブラックリスト登録->解除などを行い検証した所、
メールのブラックリスト登録は送信元IPアドレスと
「Envelope-from」のドメインのMXレコードのIPアドレスにも適用された。

応用すれば全然関係ないIPアドレスに対してブラックリスト登録を促せる仕様に見える。

DKIM認証などにより防ぐことは可能だが、
DKIM認証はまだまだ普及しているとはいい難い状況なので、
攻撃側が有利な状況に見える。