Solo cuentan los términos que provocan consultas DNS; ip4, ip6 y all no cuentan. Los registros include anidados cuentan para el mismo total, cada mecanismo mx puede resolver como máximo 10 nombres MX, y los receptores deberían permitir como máximo dos consultas vacías (nombres que no devuelven registros) (RFC 7208 §4.6.4). Como el include de cada remitente SaaS suele contener varias consultas, los dominios que usan muchos servicios alcanzan el límite enseguida.
Un permerror hace que SPF no sirva para ese mensaje, así que DMARC pasa a depender por completo de DKIM. Soluciones: eliminar los includes que no se usan, enviar desde subdominios con sus propios registros SPF, usar rangos ip4 e ip6 cuando los proveedores publiquen rangos estables, o aplanar los includes en direcciones con una herramienta automatizada que siga los cambios de los proveedores.