Error SPF: demasiadas consultas DNS (permerror)

Qué significa

Tu registro SPF es una lista de remitentes autorizados. Algunos elementos de esa lista, como include:, a, mx y redirect=, obligan al servidor receptor a consultar más registros DNS. Cada include puede contener a su vez otros includes.

Las reglas de SPF fijan un límite estricto: 10 consultas en total. Por encima, los receptores se detienen y devuelven un «permerror», que significa «error permanente». Tu SPF se considera entonces roto.

Por qué importa

Un SPF roto es casi tan malo como no tener SPF. Tus emails reales pueden fallar en SPF, lo que también puede hacer fallar DMARC, y acaban en spam o rechazados. Suele pasar poco a poco: cada vez que añades una herramienta nueva (newsletter, CRM, soporte), añades un include, hasta que un día pasas de 10.

Cómo comprobarlo

Delivmail lo comprueba por ti de dos formas:

• Envía un email de prueba: en la página de inicio, copia tu dirección de prueba única, envíale un email normal desde el buzón que quieres comprobar y abre el informe. La línea SPF muestra «permerror» cuando se supera el límite.
• Usa el Escáner de dominio: escribe tu dominio en /domain-scanner para leer tus registros DNS sin enviar nada.

El Escáner de dominio también muestra cuántas consultas usa tu registro, por ejemplo «12/10 consultas DNS».

Cómo solucionarlo

1. Quita los servicios que ya no usas. Las herramientas de newsletter antiguas y los hostings anteriores son los culpables más habituales.
2. Quita los duplicados. El mismo include escrito dos veces cuenta dos veces.
3. Quita a y mx si no hacen falta. Solo sirven si el servidor de tu web o tu servidor de correo entrante también envían emails. Con Google Workspace o Microsoft 365, el include ya lo cubre.
4. Sustitúyelos por direcciones IP cuando puedas. Las entradas ip4: e ip6: no cuestan ninguna consulta. Hazlo solo con servidores que controles y cuyas direcciones IP no cambien.
5. Pasa algunos remitentes a un subdominio. Los emails de marketing pueden enviarse desde news.yourdomain.com, con su propio registro SPF y sus propias 10 consultas.

Ejemplo

Antes (demasiadas consultas):

v=spf1 a mx include:_spf.google.com include:spf.protection.outlook.com include:servers.mcsv.net include:sendgrid.net include:mail.zendesk.com include:spf.oldtool.example ~all

Después (la empresa dejó Microsoft 365 y la herramienta antigua, y su correo lo gestiona Google):

v=spf1 include:_spf.google.com include:servers.mcsv.net include:sendgrid.net include:mail.zendesk.com ~all

Unas palabras sobre el «SPF flattening»

Algunas herramientas ofrecen «aplanar» tu SPF sustituyendo los includes por largas listas de direcciones IP. Funciona, pero si tu proveedor cambia sus direcciones IP, tu SPF se vuelve incorrecto sin avisar. Prueba antes los pasos de arriba.

Otras causas de permerror

• Una errata, como v=spf1 escrito v=spf, o un include: sin valor.
• Dos registros SPF en el mismo dominio (consulta la guía sobre varios registros SPF).

Comprueba que está solucionado

Los cambios de DNS no son instantáneos. La mayoría se ven en pocos minutos, pero algunos proveedores tardan hasta 24 o 48 horas.

Vuelve a pasar el Escáner de dominio: el número de consultas debería ser 10 o menos y el registro debería ser válido. Después envía un email de prueba desde la página de inicio y confirma que SPF se supera.