In breve: SPF PermError: too many DNS lookups significa che la valutazione della policy SPF supera il limite previsto dallo standard. Il limite riguarda al massimo 10 termini che richiedono interrogazioni DNS, compresi quelli raggiunti tramite include e redirect . Rimuovi servizi non più usati e semplifica una sola policy SPF; non creare un secondo record v=spf1 .
Indice dei contenuti
Il limite SPF di 10 termini
RFC 7208 limita a 10 i meccanismi e modificatori che causano ricerche DNS durante una singola valutazione SPF. Il conteggio segue il percorso effettivamente valutato e include le policy richiamate da altri domini. Quando il limite viene superato, il risultato è permerror, cioè un errore permanente della policy.
Non è semplicemente il numero di query visibile in un singolo comando DNS. Meccanismi come mx possono richiedere più query interne e hanno ulteriori limiti specifici.
Quali meccanismi contano
| Termine | Richiede lookup SPF | Nota |
|---|---|---|
include | Sì | Conta anche la policy richiamata |
a, mx, exists, ptr | Sì | ptr è sconsigliato dallo standard |
redirect | Sì | Modificatore valutato quando applicabile |
ip4, ip6, all | No | Non richiedono ricerche aggiuntive |
Le catene annidate sono la causa più comune: un solo include può richiamare una policy che ne contiene molti altri.
Verificare il record pubblicato
- Identifica i nameserver autorevoli del dominio.
- Leggi i TXT pubblicati con
dig TXT example.it +short. - Verifica che esista una sola policy che inizi con
v=spf1. - Elenca ogni servizio che invia realmente email per il dominio.
- Espandi tutti gli
includecon uno strumento SPF che mostri il percorso di valutazione. - Confronta il risultato con header e report DMARC.
Se hai acquistato soltanto il dominio, puoi gestire i nameserver ma la zona DNS può trovarsi presso il provider autorevole indicato dalla delega. Modifica il record nel pannello che ospita realmente la zona.
Ridurre i lookup in sicurezza
- Rimuovi
includedi servizi che non inviano più per il dominio. - Elimina duplicazioni e vecchi meccanismi
aomxnon necessari. - Segui la policy SPF ufficiale di ogni fornitore ancora attivo.
- Valuta indirizzi
ip4/ip6soltanto per server statici amministrati direttamente. - Separa flussi su sottodomini con envelope sender dedicato quando il fornitore lo supporta.
Dopo ogni modifica convalida la sintassi e il conteggio. Non passare subito a -all se non hai identificato tutti i mittenti legittimi.
Servizi esterni e flattening
Il cosiddetto flattening sostituisce meccanismi dinamici con indirizzi IP. Può ridurre i lookup, ma diventa fragile quando il provider cambia infrastruttura. Usalo soltanto con aggiornamento automatico affidabile o indicazioni esplicite del fornitore.
Non copiare gli IP ottenuti oggi da un include e considerarli permanenti. Una policy non aggiornata può autorizzare sistemi vecchi e bloccare quelli nuovi.
Verifica finale
Controlla la policy dai nameserver autorevoli, poi invia messaggi di prova da ogni servizio autorizzato. Nelle intestazioni cerca spf=pass per il dominio dell’envelope sender e verifica anche l’allineamento DMARC. Le cache DNS dipendono dal TTL, quindi per un periodo possono essere osservate versioni diverse.
Cosa non fare
- non pubblicare due record separati
v=spf1; - non contare soltanto gli
includevisibili nel record principale; - non rimuovere un provider ancora attivo per far passare il test;
- non usare
+allo?allcome scorciatoia; - non trasformare automaticamente domini esterni in IP statici senza manutenzione.
Quando contattare l’assistenza Xlogic
Apri un ticket se la zona è gestita su Xlogic e non riesci a identificare la policy corretta o se il server Xlogic è uno dei mittenti da autorizzare. Indica dominio, record SPF attuale, servizi di invio ancora usati, bounce o header con permerror. Non inviare credenziali dei servizi esterni.
Guide Xlogic correlate
- Email Deliverability in cPanel
- SPF e DKIM: cosa sono e come gestirli
- DMARC: configurarlo senza bloccare le email
Domande frequenti
Il limite SPF è di 10 record DNS?
No. Lo standard limita a 10 i termini che causano lookup durante la valutazione, comprese le catene annidate. Una singola voce mx può inoltre generare più query DNS.
Posso dividere la policy in due record SPF?
No. Più record TXT che iniziano con v=spf1 per lo stesso nome producono una policy non valida. Devi unire e semplificare le autorizzazioni in un solo record.
ip4 e ip6 contano nel limite dei lookup?
No. I meccanismi ip4 e ip6 non richiedono ricerche DNS aggiuntive. Vanno però usati soltanto per indirizzi realmente autorizzati e sufficientemente stabili.
Lo SPF flattening è sempre consigliato?
No. Riduce i lookup ma richiede aggiornamenti quando cambiano gli IP del fornitore. Senza manutenzione può rendere la policy obsoleta e bloccare invii legittimi.