情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

ＳＰＦ認証についての質問です。
（問１、４ページの記述）
【U主任：メール送信側のＤＮＳサーバ、メール受信側のメールサーバの両方がＳＰＦに対応している状態であっても、その間にＳＰＦに対応している別のメールサーバがEnvelope-FROMを変えずにメールをそのまま転送する場合は、メール受信側のメールサーバにおいて、ＳＰＦ認証が失敗してしまうという制約があります】
とあります。

私の理解では、
ＳＰＦは、メール送信先のメールサーバがメールを受信した際、メール送信元ドメインのＤＮＳサーバにＳＰＦレコードを問い合わせ、ＳＰＦレコードに記録されたＩＰアドレスと、当該メールの送信元メールサーバ（一番最初に送信したメールサーバ）のＩＰアドレスが一致すれば、
送信元は詐称されていないと判断できるもの、
と理解しています。

設問では、「その間にＳＰＦに対応している別のメールサーバがEnvelope-FROMを変えずにメールをそのまま転送する場合は、メール受信側のメールサーバにおいて、ＳＰＦ認証が失敗してしまう」とありますが、
メールの送信経路中に、別のメールサーバが介在したとしても、前記ＳＰＦレコードのＩＰアドレスと、送信元メールサーバ（一番最初に送信したメールサーバ）のＩＰアドレスは、変わらないと思うので、ＳＰＦ認証は通るのではないのでしょうか。

私の認識誤りもしれません。どなたかご教示願います。

「メールの中継」と「メールの転送」を混同しているようです。

「メールの中継」：
メール配信のために複数のメールサーバを通過する。

「メールの転送」：
メールアプリなどの機能で、自分が受信したメールを
別のメールアドレスに自動再送信する。
例）
Webメールアプリのアドレス：ｍｙｎａｍｅ＠ｗｅｂｍａｉｌ.ｏｒｇ
->別のメールアドレスへ転送：ｍｙｎａｍｅ＠ａｎｏｔｈｅｒｍａｉｌ.ｏｒｇ
この時メールのドメインが変わるためそのままではSPF認証が
失敗するということです。

私なりに調べて整理しました。
①メール中継サービスにより、ドメインが変わる。この時点で、変更後ドメインのメールサーバが送信メールサーバになる。
②Envelope-FROMがそのままなので、受信メールサーバは、変更前ドメインのＤＮＳサーバにＳＰＦレコードを確認しに行く。
③上記ＳＰＦレコードには、①の変更後ドメインのメールサーバのＩＰアドレスが含まれていないのでＳＰＦ認証が失敗する。

このように理解できました。
いろいろと勉強になり、ありがとうございました。