Was bedeutet PermError bei SPF?

Worum es geht

Beim Auswerten darf ein SPF-Eintrag höchstens zehn DNS-Abfragen auslösen. Gezählt werden include, a, mx, ptr, exists und redirect, und zwar über alle Ebenen: Jede Einbindung bringt die Abfragen ihrer eigenen Einbindungen mit. Der Eintrag von Microsoft 365 kostet allein schon mehrere.

Was daraus folgt

Wird die Grenze überschritten, antwortet der Empfänger mit PermError. SPF gilt dann als nicht bestanden, für alle Absender gleichzeitig. Der Eintrag sieht dabei völlig richtig aus, denn jeder einzelne Anbieter steht korrekt darin.

Was zu tun ist

1. Entfernen Sie Anbieter, die Sie nicht mehr benutzen. Das ist die häufigste Ursache und die schnellste Abhilfe.
2. Ersetzen Sie einzelne Einbindungen durch die IP-Bereiche dahinter, denn ip4 und ip6 kosten keine Abfrage.
3. Verlagern Sie Versand aus Werkzeugen auf eine eigene Unterdomäne, etwa rechnung.ihredomain.de, die ihren eigenen SPF-Eintrag bekommt.
4. Verzichten Sie auf a und mx, wenn Ihr Mailserver ohnehin über eine Einbindung abgedeckt ist.