De SPF-limiet van tien DNS-opzoekingen: wat RFC 7208 echt eist

Deze gids vat RFC 7208 samen voor operators. Controleer aantallen altijd met een live SPF-checker op uw gepubliceerde TXT-record.

Waarom er een harde limiet is

Elke SPF include, a, mx, ptr, exists of redirect kan extra DNS-queries triggeren, en includes nesten recursief. Zonder plafond kan een beleid ontvangers tot onbegrensd DNS-werk dwingen. Daarom eist de IETF een vast budget: hoogstens tien DNS-opzoekende termen per SPF-evaluatie.

Wat telt mee tot de tien

Volgens RFC 7208 sectie 4.6.4 tellen: include, a, mx, ptr, exists en redirect. Geneste includes tellen mee: elke DNS-opzoekende term in een included record deelt hetzelfde budget. De initiële lookup van uw SPF TXT telt niet mee.

Wat niet meetelt

De mechanismen ip4, ip6 en all, en de modifier exp, verbruiken het budget niet. Daarom vervangt flattening diepe include-bomen door ip4- en ip6-literalen (of een korte gehoste include die al naar adressen resolveert).

permerror is geen zachte waarschuwing

Als evaluatie een elfde DNS-opzoekende term nodig heeft, MUST een conforme ontvanger permerror teruggeven. Dat is een permanente SPF-fout, geen tijdelijke DNS-hiccup. Onder DMARC hangt het gevolg af van DKIM-alignment en uw p=-beleid.

Void lookups (de tweede, stillere limiet)

RFC 7208 bespreekt ook void lookups: lege of NXDOMAIN-antwoorden tijdens evaluatie. Implementaties SHOULD die tot twee beperken. Te veel dode includes kunnen SPF dus laten falen vóór u tien geslaagde lookups haalt.

mx en ptr hebben extra limieten

mx telt als één term richting de tien, maar elk MX-host heeft adreslookuplimieten in dezelfde sectie. ptr is eveneens begrensd en wordt in moderne policies afgeraden.

Hoe operators het budget meestal opmaken

Vaak stapelen organisaties vendor-includes: mailboxplatform, marketing, ticketing, facturatie en een legacy-ESP. Elke include kan zelf weer includes bevatten. De TXT lijkt kort, maar recursieve evaluatie gaat over tien. Een tweede SPF TXT op dezelfde naam is ook permerror.

Meten vóór u DNS wijzigt

Gebruik een SPF-checker die includes recursief uitvouwt en termcount plus permerror toont. NovaMX heeft een gratis SPF-check op de tools-pagina. Draai die vóór en na elke verzenderwijziging.

Herstelopties (volgorde)

1. Verwijder ongebruikte includes en void-doelen.
2. Gebruik waar mogelijk één gedocumenteerde include van uw mailplatform in plaats van veel losse ESP-includes.
3. Gebruik SPF-flattening zodat ontvangers een compact record zien terwijl geautoriseerde IP’s actueel blijven.
4. Dicht gaten nooit met +all; dat machtigt het hele internet om als u te mailen.

Wat NovaMX MailControl doet

MailControl SPF Flattening bewaart uw geautoriseerde verzenders, resolveert includes op schema, en publiceert een compact DNS-doel. Flattening is los of in MailControl Essential en grotere bundels. Tarieven staan op Prijzen.

Relatie met DMARC en BIMI

SPF alleen zet geen mailboxbeleid. DMARC bepaalt wat ontvangers doen bij falende authenticatie; BIMI verwacht meestal streng DMARC. Een kapot SPF-budget ondermijnt dat pad. Los eerst de SPF-count op, daarna DMARC met rapporten.

Veelgestelde vragen

Is de limiet tien DNS-queries of tien SPF-termen?

RFC 7208 beperkt DNS-opzoekende termen. Sommige termen triggeren meer dan één query (bijvoorbeeld mx). Volg het RFC-termbudget, niet een naïeve queryteller.

Vervangt flattening DMARC?

Nee. Flattening houdt SPF evalueerbaar. DMARC blijft beleid en rapportage zetten.

Kan ik onder de tien blijven zonder flattening?

Soms, bij weinig verzenders en korte include-ketens. Meet in plaats van te gokken.

Waar begin ik bij NovaMX?

Draai de gratis SPF-tool, maak een My NovaMX-account, verifieer het domein, bestel daarna SPF Flattening of een MailControl-bundel.

Vervolgstappen

Controleer uw live record, lees de flattening-how-to als u een gehoste fix nodig heeft, bestel MailControl wanneer u klaar bent.