Seuls les termes qui provoquent des requêtes DNS comptent ; ip4, ip6 et all ne comptent pas. Les enregistrements include imbriqués comptent dans le même total, chaque mécanisme mx peut résoudre au plus 10 noms MX, et les destinataires devraient tolérer au plus deux recherches vides (des noms qui ne renvoient aucun enregistrement) (RFC 7208 §4.6.4). Comme l’include de chaque expéditeur SaaS contient souvent plusieurs requêtes, les domaines qui utilisent de nombreux services atteignent vite la limite.
Un permerror rend SPF inutilisable pour ce message, et DMARC dépend alors entièrement de DKIM. Remèdes : supprimez les include inutilisés, envoyez depuis des sous-domaines dotés de leurs propres enregistrements SPF, utilisez des plages ip4 et ip6 quand les fournisseurs en publient de stables, ou aplatissez les include en adresses avec un outil automatisé qui suit les changements des fournisseurs.