SPF ”permerror: too many DNS lookups” – gränsen på 10 uppslag förklarad och åtgärdad

Vad felet betyder

SPF tillåter högst 10 termer som kräver DNS-uppslagunder en utvärdering (RFC 7208 §4.6.4). Budgeten omfattar även nästlade include och redirect som utvärderas. SPF stannar vid den första matchande mekanismen, så olika avsändar-IP-adresser kan följa olika vägar. En överskriden gräns ger permerror för just den utvärderingen; den gör inte automatiskt varje avsändare ogiltig. DMARC kan fortfarande gå igenom med en giltig DKIM-signatur med alignment.

Du ser felet i DMARC-rapporter, i meddelandehuvuden (spf=permerror) eller vid en genomsökning av domänen. Vissa mottagare behandlar permerror som ett underkännande; med en tvingande DMARC-policy kan det innebära att meddelandet avvisas.

Varför du ser det

Termerna include:, a, mx,ptr, exists och redirect räknas mot budgeten när de utvärderas. Nästlade include räknas också, medanip4, ip6 och all inte gör det. En typisk SPF-post hos ett mindre företag kan se ut så här:

v=spf1 include:spf.protection.outlook.com include:_spf.google.com
include:servers.mcsv.net include:sendgrid.net
include:_spf.salesforce.com include:spf.invoicing-tool.example
a mx ~all

Varje leverantörs include kan i sin tur innehålla två eller tre nästlade include. Leverantörer ändrar dessutom strukturen på sina poster utan förvarning – och därför kan en post som validerades i fjol tyst sluta fungera i dag, utan att du har ändrat något.

Så åtgärdar du det

1. Granska uppslagsvägarna. Lös upp include-trädet och testa representativa avsändar-IP-adresser. En rekursiv räkning av konfigurationen visar en risk, inte utfallet för varje mejl.
2. Ta bort det du inte använder. Gamla leverantörer, mekanismen ptr (utfasad och kostsam) och mekanismerna a/mx när de dubblerar en include.
3. Välj DKIM där det går. Många tjänster autentiserar fullt ut med enbart DKIM; om ett verktyg signerar med din domän kan dess SPF-include vara onödig för DMARC:s del.
4. Platta ut som en sista utväg – och med försiktighet. Att ersätta include med konkreta IP-adresser tar bort uppslag men fryser en ögonblicksbild av leverantörernas infrastruktur; när de byter IP-adresser blir din post tyst felaktig. Om du plattar ut måste det ske automatiskt eller övervakas – en manuellt utplattad post är en tidsinställd bomb.
5. Kontrollera igen efter varje nytt verktyg.Uppslagsbudgeten är skälet till att ”ställ in och glöm” inte fungerar: varje ny SaaS-tjänst du registrerar dig för förbrukar en del av den.

Varför det här spelar större roll än förr

Fram till 2024 innebar en trasig SPF-post oftast bara en något sämre spampoäng. Nu kräver Google, Yahoo och Microsoft godkänd autentisering, och vägledningen inom EU pekar åt samma håll – CSIRT-organisationer i medlemsstaterna rekommenderar SPF, DKIM och DMARC som grundskydd mot förfalskade avsändare, och säkerhetsklausuler för leverantörskedjan enligt NIS2 kräver allt oftare att leverantörer kan visa just detta. En permerror kan påverka leveransen, även när DKIM med alignment fortfarande klarar DMARC.