Es zählen nur Terme, die DNS-Abfragen auslösen; ip4, ip6 und all zählen nicht. Verschachtelte Einträge per include zählen zur selben Summe, jeder Mechanismus mx darf höchstens 10 MX-Namen auflösen, und Empfänger sollten höchstens zwei Void Lookups zulassen (Namen, für die keine Einträge zurückkommen) (RFC 7208 §4.6.4). Da das include eines SaaS-Absenders oft mehrere Lookups enthält, stoßen Domains, die viele Dienste nutzen, schnell an das Limit.
Ein permerror macht SPF für diese Nachricht unbrauchbar, sodass DMARC dann ganz von DKIM abhängt. Abhilfe: Entferne ungenutzte Includes, versende von Subdomains mit eigenen SPF-Einträgen, nutze Bereiche mit ip4 und ip6, wo Anbieter stabile Bereiche veröffentlichen, oder löse Includes in Adressen auf (Flattening), mit einem automatisierten Tool, das Änderungen der Anbieter verfolgt.