Cos'è il limite dei 10 lookup SPF
Lo standard RFC 7208 impone un limite massimo di 10 DNS lookup durante la valutazione di un record SPF. Superare questo limite causa il fallimento dell'autenticazione con risultato permerror, equivalente a SPF non valido. Le email vengono quindi trattate come se SPF fosse assente, con impatto negativo su deliverability e DMARC.
Quali meccanismi contano
I meccanismi che generano lookup DNS sono: include, a, mx, exists, redirect, ptr (deprecato). Ogni include conta 1, ma se l'incluso a sua volta usa include il conteggio aumenta ricorsivamente. ip4 e ip6 non contano (non richiedono lookup). Anche le query MX espandono in lookup multipli per ogni record MX.
Come contare i lookup
Strumenti come dmarcian.com/spf-survey, mxtoolbox.com/spf.aspx, kitterman.com/spf contano automaticamente i lookup ricorsivi. Inserendo il dominio mostrano il dettaglio di ogni include espanso e il totale. Un'analisi periodica è fondamentale soprattutto se si aggiungono nuovi servizi (newsletter, CRM, helpdesk) che richiedono include propri.
Cause comuni di sforamento
Domini che usano molti servizi cloud sforano facilmente: Google Workspace (include:_spf.google.com = 4 lookup), Office 365 (include:spf.protection.outlook.com = 2-3), Mailchimp, SendGrid, Salesforce, HubSpot. La somma porta facilmente a 11-15 lookup, causando permerror.
Workaround 1: SPF flattening
Il flattening consiste nel sostituire gli include con i loro IP4/IP6 reali, evitando i lookup. Richiede manutenzione attiva: gli include cambiano IP nel tempo, e un flattening statico diventa obsoleto. Strumenti come DMARC Report, EasySPF, Valimail automatizzano la sincronizzazione.
Workaround 2: subdomain
Spostare alcuni servizi su subdomain dedicati con SPF separato: marketing.example.com per le campagne, transactional.example.com per le email transazionali, support.example.com per il helpdesk. Ogni subdomain ha SPF propria con meno lookup. Richiede modifica delle configurazioni mittente.
Workaround 3: provider unificato
Consolidare i servizi sotto un singolo provider che gestisce tutto il traffico (es. SendGrid o Mailgun) e include un singolo lookup. Riduce drasticamente la complessità SPF a costo di lock-in. Soluzione adatta per medie aziende.
Validazione post-modifica
Dopo ogni modifica SPF: validare con strumenti contatori, controllare report DMARC aggregati per percentuali di pass SPF, monitorare bounce per messaggi di errore SPF. Il SPF è critico: errori passano spesso inosservati ma degradano lentamente la deliverability.
Hai bisogno di aiuto?
Se hai problemi di blacklist o deliverability email, il team di G Tech Group può aiutarti. Contattaci tramite il modulo di contatto.