Limitation des requêtes DNS sur le SPF

Modifié le Jeu, 14 Sept., 2023 à 6:46 H

Pourquoi j'obtiens l'erreur SPF "PermError: Too Many DNS Lookups" ?

Dans le but d'être rapide et économe en ressource, le SPF a une limitation technique concernant le nombre de mécanismes (include, a, mx) qui nécessite une nouvelle requête DNS pour forger la liste d’adresses IP complète. Cette limite du nombre maximum de requêtes DNS est de 10.

Important

Il y a un effet cascade si un include comporte lui même d'autres include/a/mx, ce qui augmente d'autant le nombre de requêtes DNS effectuées.

Au delà de cette limite, chaque antispam pourra juger le SPF en erreur et mettre vos emails en spam.
Le comportement de chaque antispam peut être différent :

erreur permanente pour l'entrée SPF complète
erreur permanente pour toutes les IP du SPF au délà de la limite des 10 premières requêtes
tolère un limitation plus haute (cas très rare)

Face à ces comportements, il faut rester sous la limite pour s'assurer de la bonne délivrabilité des emails légitimes.

Astuce

La séparation des usages (messagerie humaine, transactionnel, marketing, ...) peut se faire avec des sous-domaines pour obtenir des SPF spécifiques moins fournis.

Les mécanismes qui n'ajoutent pas de requêtes supplémentaires sont ip4, ip6 et all.

Remarque

Vous pouvez vérifier votre nombre de requêtes DNS du SPF avec notre testeur gratuit : https://check.merox.io

Exemple :

SPF déclenchant au moins 3 requêtes DNS :

v=spf1 mx a include:spf.domain.com ip4:1.1.1.1 ip4:2.2.2.2 -all

SPF déclenchant au moins 11 requêtes DNS :

v=spf1 mx a include:spf.domain.com mx:domain.com include:spf2.domain.com mx:test.net a:test.net include:test.net a:test.org include:test.org include:spf1.test.org -all

source : rfc7208#section-4.6.4