SPF PermError: record troppo complesso

In breve: SPF PermError record complesso — indica che lookup, sintassi o record multipli rendono SPF non valutabile.

Cosa indica il problema

SPF PermError record complesso — indica che lookup, sintassi o record multipli rendono SPF non valutabile. La diagnosi deve collegare la prova, l’orario e il primo evento utile nei log prima di cambiare la configurazione.

Sintomi e cause probabili

Sintomi da verificare

• Il comportamento descritto da “SPF PermError: record troppo complesso” si ripete nella stessa operazione
• Il controllo di messaggio completo, orario, configurazione e log produce un dato coerente con lo stesso orario
• Un tentativo comparabile permette di capire se l’anomalia è generale o limitata a un solo elemento

Cause probabili

• Header di sicurezza assente o troppo restrittivo
• Origine, schema o porta diversi da quelli autorizzati
• Richiesta preflight intercettata da firewall o autenticazione
• Risorsa HTTP inclusa in una pagina HTTPS

Controlli da eseguire

1. Leggere console e pannello Network del browser
2. Controllare request e response header completi
3. Riprodurre la richiesta OPTIONS o la risorsa direttamente
4. Confrontare origin esatta, metodo e header richiesti
5. Verificare policy su CDN, proxy e applicazione

Dati utili

• cPanel Track Delivery
• Log o risposta completa del client
• Quota e impostazioni della casella

Correzione sicura

1. Autorizzare soltanto origini e metodi realmente necessari
2. Gestire correttamente le richieste preflight
3. Servire tutte le risorse tramite HTTPS
4. Aggiornare CSP e framing con una regola minima
5. Evitare wildcard e disattivazioni globali non necessarie

Verifica finale

• Il messaggio di prova viene accettato
• Invio e ricezione funzionano nella stessa casella
• Il log non mostra un nuovo rifiuto
• La configurazione resta protetta da TLS

Errori da evitare

• Non disattivare globalmente WAF, ModSecurity, antispam o verifica TLS per aggirare il sintomo
• Non impostare permessi 777 e non cambiare proprietari in modo ricorsivo senza conoscere la struttura dell’account
• Non cancellare database, chiavi Redis, cache o file di sistema senza backup e senza aver identificato l’oggetto coinvolto
• Non ripetere pagamenti, import o webhook reali finché non hai verificato l’idempotenza

Guide Xlogic correlate

• DKIM selector con più record TXT: cause e soluzioni
• DMARC fail per mancato allineamento
• Email Deliverability in cPanel: controllare SPF, DKIM e DMARC

Fonti tecniche

• IETF RFC 5321 — SMTP
• IETF RFC 9051 — IMAP

Domande frequenti