SPF ima granicu od deset upita — i lako se prekorači

SPF govori koji poslužitelji smiju slati poštu s Vaše domene. Kad dodate Microsoft, pa alat za newslettere, pa CRM, pa hosting za web-forme, zapis naraste — a svaki include znači nove DNS upite.

Gdje je granica

Standard ograničava provjeru na najviše deset DNS upita koji donose mehanizme (include, a, mx, ptr, exists i preusmjeravanje redirect). Prekoračenje nije upozorenje — provjera se prekida s rezultatom permerror.

v=spf1
  include:spf.protection.outlook.com   → 3 upita
  include:_spf.google.com             → 4 upita
  include:sendgrid.net                → 2 upita
  include:servers.mcsv.net            → 2 upita
  -all                                 = 11 > 10  ⇒ permerror

Što se radi

• Izbaciti pošiljatelje koji više ne šalju — u praksi ih uvijek ima.
• Zamijeniti include izravnim ip4/ip6 rasponima ondje gdje su stabilni; oni ne troše upite.
• Za ostalo koristiti postavljanje zapisa s platforme (hosted SPF), koja spljošti lanac i drži ga ispod granice.

I još jedno: ~all na kraju znači softfail, a -all znači fail. Zapis koji završava s ~all ostavlja odluku primatelju. To je u redu dok se pošiljatelji popisuju, ali nije završno stanje.