Só contam os termos que geram consultas DNS; ip4, ip6 e all, não. Registros include aninhados contam para o mesmo total, cada mecanismo mx pode resolver no máximo 10 nomes MX e convém que os receptores permitam no máximo duas consultas vazias, isto é, nomes que não retornam registros (RFC 7208 §4.6.4). Como o include de cada remetente SaaS costuma conter várias consultas, domínios que usam muitos serviços atingem o limite rapidamente.
Um permerror torna o SPF inutilizável para aquela mensagem, e o DMARC passa a depender inteiramente do DKIM. Soluções: remover includes não usados, enviar a partir de subdomínios com registros SPF próprios, usar faixas ip4 e ip6 quando os provedores publicam faixas estáveis ou achatar os includes em endereços (flattening) com uma ferramenta automatizada que acompanhe as mudanças dos provedores.