Учитываются только элементы записи, которые вызывают DNS-запросы; ip4, ip6 и all не учитываются. Вложенные записи include идут в тот же общий счёт, каждый механизм mx может разрешить не более 10 имён MX, а получателям следует допускать не более двух пустых запросов (имён, для которых не возвращается ни одной записи) (RFC 7208, § 4.6.4). Поскольку include каждого отправителя из числа SaaS-сервисов часто сам содержит несколько запросов, домены, которые пользуются многими сервисами, быстро упираются в ограничение.
Из-за permerror SPF для этого письма становится непригодным, и DMARC тогда полностью зависит от DKIM. Что делать: удалите неиспользуемые include, отправляйте почту с поддоменов с собственными SPF-записями, используйте диапазоны ip4 и ip6 там, где провайдеры публикуют стабильные диапазоны, или разверните include в адреса с помощью автоматического инструмента, который отслеживает изменения у провайдеров.