SPF PermError: zu viele DNS-Lookups und wie Sie die Grenze einhalten

Ein SPF-Eintrag wächst unauffällig. Erst kommt der Mailserver hinein, dann der Newsletter-Dienst, das CRM, das Ticketsystem. Irgendwann meldet ein Prüfwerkzeug PermError: too many DNS lookups. Ab diesem Moment gilt SPF für Ihre Domäne als fehlerhaft, und zwar für jede Nachricht, nicht nur für die des zuletzt ergänzten Dienstes.

Was die Grenze besagt

Der SPF-Standard begrenzt die Zahl der DNS-Abfragen, die ein Empfänger für eine Prüfung ausführt, auf zehn. Wird die Grenze überschritten, bricht die Prüfung mit einem dauerhaften Fehler ab.

Was mitzählt und was nicht

Mitgezählt werden Mechanismen, die eine weitere Abfrage auslösen:

• include
• a
• mx
• exists
• redirect
• ptr, das ohnehin nicht mehr verwendet werden sollte

Nicht mitgezählt werden ip4, ip6 und all. Sie brauchen keine Abfrage.

Entscheidend: Die Zählung ist verschachtelt. Ein include auf einen Dienst kostet eine Abfrage, und jedes include, das dieser Dienst seinerseits verwendet, kostet eine weitere. Ein einziger Verweis auf einen großen Anbieter kann drei oder vier Abfragen verbrauchen.

So prüfen Sie Ihren Eintrag

1. Lesen Sie den TXT-Eintrag Ihrer Domäne, der mit v=spf1 beginnt.
2. Lösen Sie jedes include auf und zählen Sie die darin enthaltenen Mechanismen mit.
3. Addieren Sie a und mx des eigenen Eintrags.

Liegt die Summe über zehn, ist der Eintrag fehlerhaft, auch wenn er syntaktisch gültig aussieht.

Wege aus dem Fehler

Aufräumen. Entfernen Sie Dienste, die nicht mehr senden. In der Praxis ist das der schnellste Gewinn.

Subdomänen nutzen. Lassen Sie den Newsletter von einer eigenen Subdomäne senden. Sie trägt ihren eigenen SPF-Eintrag mit eigener Grenze.

Feste Adressen statt Verweise. Wer einen Verweis durch die dahinterliegenden Adressbereiche ersetzt, spart Abfragen. Der Preis: Ändert der Dienst seine Adressen, stimmt der Eintrag nicht mehr. Das muss jemand überwachen.

Delegieren. Der eigene Eintrag enthält nur noch einen Verweis auf einen gepflegten Eintrag. Die erlaubten Absender werden dort gesammelt geführt, in Ihrer Zone ändert sich danach nichts mehr.

Tipp: Auf DKIM zu setzen, entschärft das Problem zusätzlich. DMARC besteht eine Nachricht bereits, wenn DKIM erfolgreich und ausgerichtet ist.

Fazit

Die Grenze von zehn Abfragen ist kein Randthema, sie trifft jede Organisation mit mehreren Versanddiensten. Wer den Eintrag klein hält und nachvollziehbar pflegt, vermeidet Ausfälle bei der Zustellung. Wie die Delegation mit Conbool funktioniert, lesen Sie unter Hosted DMARC und SPF.