Gestern Abend noch ein include: in die SPF-Zeile. Heute morgen bounce oder softfail bei Gmail und Firmeneingängen. Der TXT steht noch; dig liefert ihn. Oft liegt es nicht an einer „falschen IP“, sondern am SPF-Maximum von 10 DNS-Lookups.
RFC 7208 begrenzt DNS-Abfragen durch Mechanismen wie include, a, mx, ptr, exists und redirect auf zehn. Jeder Marketing-ESP, jedes CRM, jede Rechnungssoftware und jeder „Senden als“-Dienst bringt einen eigenen Include-Baum mit. Verschachtelte Includes zählen mit. Ab elf wird das Ergebnis permerror — Empfänger werten SPF als kaputt.
Warum „noch ein Tool“ die Mail über Nacht killt
Saubere EuroVDC-Basis für Firmspost: MX Prio 10 → securemail.eurovdc.eu, SPF v=spf1 mx ip4:45.84.90.12 -all. mx kostet einen Lookup; ip4 nicht. Ein include:_spf.beispiel-esp.com wirkt wie ein Token, öffnet aber oft drei bis sechs weitere Includes. Ein zweiter Anbieter am selben Abend ist der Lookup, der das Limit reißt.
Tabelle und Zustellung: SPF, DKIM, DMARC und Zustellbarkeit. Bei NS ns1.eurovdc.eu / ns2.eurovdc.eu Zone im EuroVDC-Panel; TXT-Schritte: Nameserver und DNS-Einträge.
Lookups zählen
- Apex-SPF-TXT holen; Duplikate zuerst zusammenführen — zwei SPF-TXT sind ungültig.
- Je
include:,a,mx,ptr,exists,redirect=+1; verschachtelte Includes rekursiv. - Include-Ziele per dig/Checker öffnen; „lookups: 11+“ = permerror-Risiko.
- Ungenutzte Includes löschen — alte ESPs blähen den Zähler still auf.
Über dem Limit
Nicht jeden Newsletter über die Apex-From-Domain pressen. Kampagnen auf Subdomain mit eigenem SPF/DKIM; Rechnungen auf Apex mit EuroVDC-Basis. SPF-Flattening senkt Lookups kurzfristig, veraltet aber bei IP-Rotation des Vendors — Wartungsaufwand einplanen.
Für DMARC hält DKIM Forwards oft besser aus als SPF; beides publizieren. EU-Postfächer: Firmen-E-Mail.
FAQ
Zählen ip4/ip6 zu den 10?
Nein. Direkte IP-Mechanismen belasten das DNS-Lookup-Kontingent nicht. include/mx/a schon.
Ändert -all vs. ~all die Lookup-Zahl?
Nein. all ist nur der Policy-Schwanz. Das Limit kommt von DNS-Arbeit der Mechanismen.
Zwei SPF-TXT als Workaround?
Nein — das bricht SPF. Empfänger erwarten einen Record. Zu einem String mergen.
mx weglassen, nur ip4?
Spart einen Lookup, aber SPF muss bei MX-Wechsel mitgezogen werden. EuroVDC kombiniert mx und ip4 bewusst.
permerror versus softfail?
permerror: SPF nicht auswertbar (Limit, Syntax). softfail (~all): „vermutlich unautorisiert“. DMARC/Gmail können beides hart werten.
