Beperkingen SPF-records: Begrijpen van SPF-limieten in e-mailverificatie

Uw SPF-record kan uw e-mailbezorgbaarheid ongemerkt ondermijnen, en dat zou u nooit weten door er alleen maar naar te kijken.

SPF, of Sender Policy Framework, is een van de fundamentele e-mailverificatieprotocollen die worden gebruikt om domeinspoofing en phishingaanvallen te voorkomen. Maar elke keer dat u een nieuwe e-mailserviceprovider, marketingplatform of tool van een derde partij toevoegt, groeit uw SPF-record en daarmee ook het aantal DNS-lookups dat nodig is om het te verifiëren.

Deze gids geeft een overzicht van de SPF-beperkingen die u moet kennen, legt uit waarom er een limiet van 10 DNS-lookups bestaat en laat u zien hoe u SPF-fouten kunt opsporen, verhelpen en voorkomen voordat ze de reputatie van uw domein schaden.

Wat is SPF en hoe werkt het?

SPF is een e-mailverificatieprotocol dat is ontworpen om uw domein te beschermen tegen e-mailspoofing. Het werkt door aan te geven welke mailservers bevoegd zijn om e-mails namens uw domein te verzenden, en het biedt ontvangende servers een manier om te controleren of een inkomend bericht legitiem is.

Hoe SPF-authenticatie werkt

Het SPF-record is een DNS TXT-record dat wordt gebruikt voor het uitvoeren van het e-mailverificatieproces.

Wanneer u een SPF-record voor uw domein publiceert, vertelt u in feite aan de wereld welke IP-adressen en mailservers e-mails mogen verzenden met uw domeinnaam. Dit is wat er gebeurt wanneer een e-mail wordt verzonden:

• De ontvangende server controleert het retouradres van de afzender en zoekt het SPF-record voor dat domein op.
• De server evalueert het SPF-record om te bepalen of het IP-adres van de afzender overeenkomt met de geautoriseerde IP-adressen in de lijst.
• Als het IP-adres van de afzender overeenkomt, doorstaat de e-mail de SPF-controle.
• Als deze niet overeenkomen, voldoet de e-mail niet aan de SPF- verificatie en verwerkt de ontvangende server deze op basis van het SPF-beleid en de DMARC-configuratie van het domein. DMARC-configuratie

SPF stelt de server van de ontvanger in staat om te controleren of de e-mail daadwerkelijk afkomstig is van de bron die wordt vermeld. Dit maakt het een cruciale eerste verdedigingslinie tegen spoofing en een belangrijk onderdeel van het bereiken van DMARC-compliance.

Wat is de SPF 10 DNS-lookuplimiet?

De SPF-specificatie legt een strikte limiet op aan het aantal DNS-lookups dat tijdens één controle mag plaatsvinden.

Een SPF-beleid mag niet meer dan 10 termen bevatten die aanvullende DNS-lookups vereisen om te worden geëvalueerd. Dit omvat alle lookups die worden geactiveerd door mechanismen zoals 'include', 'a', 'mx', 'ptr' en de 'redirect'-modificator.

Wat telt mee voor de limiet

SPF-records gebruiken een combinatie van mechanismen en modifiers om te bepalen welke servers bevoegd zijn om e-mails voor uw domein te verzenden.

Voor sommige hiervan moet de ontvangende mailserver extra DNS query's moet uitvoeren om ze op te lossen, en elke query telt mee voor de limiet van 10 DNS-lookups. De mechanismen en modificatoren die DNS-lookups vereisen, zijn onder andere:

• include — activeert een zoekopdracht naar het SPF-record van een ander domein, plus eventuele geneste zoekopdrachten daarbinnen
• a — vereist een DNS-query om de A- of AAAA-records voor het opgegeven domein op te lossen
• mx — vereist een DNS-query om het MX-record op te lossen, gevolgd door aanvullende queries om de IP-adressen van elke vermelde mailserver op te lossen
• ptr — vereist een DNS ptr-query om een omgekeerde zoekopdracht uit te voeren en wordt sterk afgeraden vanwege de onbetrouwbaarheid en de kans op meerdere extra zoekopdrachten.
• redirect — activeert een zoekopdracht naar het SPF-record van het omgeleide domein
• bestaat — vereist een DNS-query om te controleren of een specifiek domein wordt omgezet

Als het SPF-record veel mechanismen bevat, met name geneste includes, kan het snel de limiet van 10 DNS-lookups overschrijden.

Wat telt niet mee voor de limiet

De volgende mechanismen en elementen tellen niet mee voor de limiet van 10 zoekopdrachten:

• ip4 en ip6 — deze specificeren rechtstreeks geautoriseerde IP-adressen, waardoor geen aanvullende DNS-resolutie nodig is.
• alles — het catch-all-mechanisme aan het einde van het record vereist geen opzoeking
• De eerste DNS-query voor het SPF-beleidsrecord zelf — de DNS-query om het SPF TXT-record op te halen uit de DNS van het domein telt niet mee voor de limiet
• v=spf1 — de versietag die het record identificeert als SPF

Het gebruik van ip4- of ip6-mechanismen in SPF-records vereist geen extra lookups en kan helpen om binnen de limiet te blijven. Daarom is het vervangen van lookup-intensieve mechanismen door directe IP-referenties een van de meest effectieve optimalisatiestrategieën.

Waarom bestaat de SPF 10-zoeklimiet?

De limiet van 10 DNS-lookups lijkt misschien restrictief, vooral voor organisaties die meerdere e-mailserviceproviders gebruiken, maar deze limiet is ingesteld om belangrijke redenen op het gebied van beveiliging en prestaties.

Denial-of-service-aanvallen voorkomen

De limiet van 10 extra zoekopdrachten is ingesteld om onredelijke belasting van het DNS te voorkomen en Denial-of-Service (DoS)-aanvallen te voorkomen.

Zonder deze limiet zou een aanvaller een SPF-record kunnen maken met honderden geneste includes, waardoor elke ontvangende mailserver die een e-mail van dat domein verwerkt, gedwongen wordt om een enorm aantal DNS-query's uit te voeren. Dit zou DNS-servers kunnen overbelasten en de prestaties op het internet kunnen verslechteren.

Zorgen voor tijdige verwerking van e-mails

Elke DNS-lookup tijdens een SPF-controle zorgt voor extra vertraging in het e-mailbezorgingsproces. Als SPF-records onbeperkt zouden mogen worden opgezocht, zou de tijd die nodig is voor SPF-verificatie aanzienlijk kunnen toenemen, wat zou leiden tot time-outs bij DNS-query's en tijdelijke problemen met de DNS-server.

De limiet van 10 zoekopdrachten zorgt ervoor dat SPF-controles snel en betrouwbaar kunnen worden uitgevoerd zonder dat er knelpunten ontstaan in de bezorging van e-mails.

DNS-stabiliteit handhaven

DNS-infrastructuur is een gedeelde bron. Het toestaan van onbeperkte lookups tijdens SPF-authenticatie zou een buitensporige belasting vormen voor recursieve resolvers en gezaghebbende naamservers, met name voor afzenders met grote volumes.

De limiet beschermt het bredere DNS-ecosysteem door het aantal SPF-gerelateerde query's beheersbaar te houden.

Wat gebeurt er als u de SPF-zoeklimiet overschrijdt?

Het overschrijden van de SPF-lookup-limiet leidt niet alleen tot een kleine waarschuwing. Het veroorzaakt een ernstige storing die direct van invloed kan zijn op het al dan niet bereiken van de inbox van uw ontvangers.

SPF PermError en verificatiefout

Wanneer de SPF-implementatie op de ontvangende e-mailserver meer dan 10 DNS-querymechanismen of modifiers in het SPF-record van het domein van de afzender tegenkomt, retourneert deze "SPF PermError: too many DNS lookups" (SPF PermError: te veel DNS-lookups).

Volgens de SPF-specificatie moet een ontvanger die tijdens het evalueren van het SPF-beleid de DNS-lookup-limiet overschrijdt, de SPF-verificatie voor dat bericht afwijzen met een permerror.

Dit betekent dat de e-mail niet simpelweg een 'zachte' foutmelding of neutraal resultaat krijgt. Hij krijgt een permanente foutmelding die de ontvangende server laat weten dat het SPF-record helemaal niet kan worden geëvalueerd.

Impact op DMARC en de afleverbaarheid van e-mails

Als uw DMARC-beleid is ingesteld op quarantaine of weigeren, kunnen e-mails die een SPF PermError activeren naar spam worden verzonden of volledig worden geblokkeerd.

Het overschrijden van de SPF-lookup-limiet heeft invloed op de afleverbaarheid van e-mails, omdat de kans kleiner wordt dat e-mails in de primaire inbox van de beoogde ontvangers terechtkomen. Na verloop van tijd kunnen herhaalde SPF-fouten ook de reputatie van uw domein schaden, waardoor het zelfs voor legitieme e-mails moeilijker wordt om afgeleverd te worden.

Andere oorzaken van SPF PermError

Hoewel het overschrijden van de limiet van 10 DNS-lookups de meest voorkomende oorzaak is van SPF PermError, is dit niet de enige oorzaak. Een SPF PermError kan ook optreden wanneer:

• Het SPF-record bevat syntaxfouten waardoor het niet correct kan worden geïnterpreteerd.
• Er worden meerdere SPF -records gepubliceerd voor één domein, wat in strijd is met de SPF-specificatie.
• Het record maakt gebruik van verouderde of niet-ondersteunde mechanismen.
• Circular omvat het creëren van een oneindige lus in de opzoekketen

Al deze problemen kunnen leiden tot SPF-fouten en niet-bezorgde e-mails. Het is daarom belangrijk om uw volledige SPF-configuratie regelmatig te controleren.

Hoe u kunt controleren of uw SPF-record de limiet overschrijdt

Om problemen met de afleverbaarheid op te lossen, moet je eerst nagaan of je SPF-record de limiet van 10 DNS-lookups overschrijdt. Er zijn verschillende manieren om een SPF-recordcontrole uit te voeren en je huidige lookup-teller te verifiëren.

Gebruik een SPF-diagnosetool

Met behulp van een SPF-diagnosetool kunt u controleren of een SPF-record geldig is en correct functioneert. Deze tools analyseren uw SPF-record, tellen alle DNS-lookups, inclusief geneste inclusies, en markeren eventuele fouten of waarschuwingen.

Met de gratis SPF-recordchecker van PowerDMARC kunt u direct uw totale aantal zoekopdrachten zien, vaststellen welke mechanismen de meeste zoekopdrachten verbruiken en verkeerde configuraties opsporen voordat ze leveringsproblemen veroorzaken.

Uw SPF-record handmatig traceren

Als u uw SPF-record liever zelf inspecteert, kunt u de DNS-lookups handmatig tellen door elk mechanisme in het record door te lopen.

Begin met het SPF TXT-record van uw domein en tel elk 'include', 'a', 'mx', 'ptr', 'redirect' en 'exists'-mechanisme. Zoek vervolgens voor elke 'include' het SPF-record van het domein waarnaar wordt verwezen op en tel ook de mechanismen die een opzoeking veroorzaken.

Geneste inclusies tellen snel op, waardoor organisaties die meerdere e-mailserviceproviders gebruiken vaak zonder het te beseffen de limiet overschrijden.

Controleer de SPF-validatie in de loop van de tijd

SPF-records zijn niet statisch. Wanneer u e-mailserviceproviders toevoegt of verwijdert, hostingomgevingen wijzigt of uw e-mailinfrastructuur bijwerkt, verandert ook uw SPF-record. Het wordt aanbevolen om SPF-records te valideren nadat u wijzigingen hebt aangebracht, om te zorgen dat u voldoet aan de limiet van 10 lookups.

Door continue monitoring in te stellen via het platform van PowerDMARC krijgt u continu inzicht in uw SPF-configuratie en wordt u gewaarschuwd wanneer wijzigingen ervoor zorgen dat uw record de limiet overschrijdt.

Hoe u uw SPF-record kunt repareren en optimaliseren

Als uw SPF-record de limiet van 10 DNS-lookups overschrijdt of nadert, zijn er verschillende praktische stappen die u kunt nemen om het aantal lookups te verminderen zonder dat dit ten koste gaat van de e-mailverificatie.

Verwijder ongebruikte of onnodige services

De meest eenvoudige optimalisatie is om uw SPF-record te controleren en alle mechanismen te verwijderen die verwijzen naar diensten die u niet langer gebruikt.

Na verloop van tijd voegen organisaties e-mailserviceproviders, marketingplatforms en tools van derden toe aan hun SPF-record, maar vergeten ze deze te verwijderen wanneer ze niet langer actief zijn.

Om het aantal vereiste zoekopdrachten te verminderen, moeten organisaties ongebruikte services uit hun SPF-record verwijderen. Dit betekent ook dat standaard SPF-waarden die tijdens de eerste installatie zijn toegevoegd, maar momenteel geen doel dienen, moeten worden verwijderd.

Vervang zoekintensieve mechanismen door ip4 of ip6

Elk 'include', 'a' en 'mx'-mechanisme vereist ten minste één DNS-lookup. Vervang deze waar mogelijk door ip4- of ip6-mechanismen die de geautoriseerde IP-adressen rechtstreeks specificeren. Het gebruik van ip4- of ip6-mechanismen in SPF-records vereist geen extra lookups en kan helpen om de lookup-limiet te blijven naleven.

Als het SPF-record van een e-mailserviceprovider bijvoorbeeld verwijst naar een bekende reeks statische IP-adressen, kunt u die IP's rechtstreeks vermelden in plaats van een 'include' te gebruiken die meerdere DNS-lookups activeert.

Vermijd het ptr-mechanisme

Het gebruik van het ptr-mechanisme wordt sterk afgeraden, omdat dit kan leiden tot een toename van het aantal vereiste opzoekingen, wat kan leiden tot permerror-problemen.

Het ptr-mechanisme voert een omgekeerde DNS-lookup uit voor elk IP-adres dat verbinding maakt, wat zowel traag als onbetrouwbaar is. De SPF-specificatie zelf raadt het gebruik ervan af. Als uw SPF-record momenteel een ptr-mechanisme bevat, verwijder dit dan en vervang het door directe IP-verwijzingen.

Minimaliseer het gebruik van het mx-mechanisme

Door het mx-mechanisme in SPF-records te vermijden, kunt u binnen de limiet van 10 DNS-lookups blijven. Het mx-mechanisme lost eerst het MX-record van het domein op en voert vervolgens aanvullende lookups uit om het IP-adres van elke vermelde mailserver op te lossen.

Als uw domein meerdere MX-records heeft, kan één enkel "mx"-mechanisme meerdere lookups verbruiken. Vervang dit waar mogelijk door ip4- of ip6-vermeldingen voor uw mailservers.

Consolideren inclusief verklaringen

Als uw SPF-record meerdere 'include'-mechanismen bevat die naar gerelateerde diensten verwijzen, controleer dan of deze kunnen worden samengevoegd.

Sommige e-mailserviceproviders delen overlappende infrastructuur, wat betekent dat u mogelijk redundante zoekopdrachten uitvoert. Controleer elke opname om te bepalen of deze nog steeds nodig is en of de onderliggende IP-adressen rechtstreeks kunnen worden geraadpleegd.

Valideer na elke wijziging

Het valideren van SPF-records na het aanbrengen van wijzigingen is essentieel om te voldoen aan de limiet van 10 lookups.

Zelfs een kleine wijziging, zoals het toevoegen van een enkele nieuwe "include" voor een marketingplatform, kan ervoor zorgen dat uw record de limiet overschrijdt als dit geneste lookups activeert. Controleer uw record na elke update met een SPF-diagnosetool om te bevestigen dat het nog steeds geldig is.

SPF-recordflattening: wat het is en wanneer u het moet gebruiken

SPF-record flattening is een techniek die wordt gebruikt om SPF-records te optimaliseren en zo de limiet van 10 DNS-lookups voor SPF te omzeilen. Het is een van de meest besproken oplossingen voor organisaties met complexe e-mailinfrastructuren, maar er zijn ook nadelen aan verbonden die belangrijk zijn om te begrijpen.

Hoe SPF-record flattening werkt

SPF-record flattening vervangt mechanismen die lookups veroorzaken in een SPF-record door hun overeenkomstige IP-adressen of CIDR-bereiken, waardoor het aantal DNS-query's dat nodig is om het SPF-record te verifiëren, wordt verminderd.

In plaats van een verwijzing zoals "include:emailprovider.com" op te nemen die een of meer DNS-lookups activeert, lost u die verwijzing op naar de onderliggende IP-adressen en vermeldt u deze rechtstreeks in uw record met behulp van ip4- of ip6-mechanismen.

Als bijvoorbeeld "include:emailprovider.com" wordt omgezet naar drie IP-adressen, vervangt flattening de include-instructie door die drie ip4-vermeldingen. De SPF-controle geeft nu hetzelfde resultaat zonder dat er aanvullende DNS-query's voor die provider nodig zijn.

Wanneer afvlakken helpt

Door een SPF-record af te vlakken, kan het aantal DNS-querymechanismen en modificatoren worden teruggebracht tot minder dan 10. Dit is met name handig wanneer:

• Uw domein verstuurt e-mails via veel externe diensten en het aantal inclusies alleen al overschrijdt 10.
• Je hebt ongebruikte diensten al verwijderd en waar mogelijk geconsolideerd, maar zit nog steeds boven de limiet.
• U hebt een snelle manier nodig om uw administratie in orde te brengen terwijl u een optimalisatiestrategie voor de langere termijn plant.

De risico's van handmatig vlakmaken

Hoewel SPF-record flattening het probleem van de opzoeklimiet oplost, brengt het een onderhoudsuitdaging met zich mee. De onderliggende IP-adressen van uw e-mailserviceproviders kunnen zonder voorafgaande kennisgeving worden gewijzigd.

Als een provider IP-adressen toevoegt, verwijdert of wisselt en uw platte record nog steeds naar de oude verwijst, zullen legitieme e-mails die vanaf de nieuwe IP's worden verzonden, de SPF-controle niet doorstaan.

Het handmatig onderhouden van een afgevlakte SPF-record vereist constante monitoring om ervoor te zorgen dat de vermelde IP-adressen actueel blijven. Daarom wordt handmatig afvlakken over het algemeen niet aanbevolen als langetermijnoplossing voor organisaties met dynamische e-mailinfrastructuren.

Andere beperkingen van SPF-records die u moet kennen

De limiet van 10 DNS-lookups is de bekendste SPF-beperking, maar het is niet de enige. Domeineigenaren moeten zich bewust zijn van deze aanvullende SPF-recordbeperkingen om onverwachte authenticatiefouten te voorkomen.

Slechts één SPF-record per domein

De SPF-specificatie vereist dat elk domein slechts één SPF TXT-record publiceert.

Als het SPF-record meerdere SPF-records voor een domein bevat, kan dit leiden tot een SPF PermError, waardoor de ontvangende server de e-mail kan weigeren of verkeerd verwerken. Als u extra afzenders wilt autoriseren, voeg deze dan toe aan uw bestaande SPF-record in plaats van een tweede record aan te maken.

SPF controleert het retourpad, niet het afzenderadres.

SPF verifieert het domein in het retouradres, niet het voor mensen leesbare veld 'Van' dat de ontvanger ziet. Dit betekent dat een aanvaller het adres 'Van' kan vervalsen en toch door SPF komt door een ander retouradresdomein te gebruiken.

DMARC vult deze leemte op door een overeenkomst of afstemming te vereisen tussen het voor mensen leesbare domein in het veld 'Van' en het domein dat door SPF is geauthenticeerd.

De limiet van 255 tekens

Hoewel een SPF-record in totaal meer dan 255 tekens kan bevatten, kan een enkel DNS TXT-record tekenreeks beperkt tot 255 tekens. Langere SPF-records moeten worden opgesplitst in meerdere tekenreeksen binnen hetzelfde TXT-record.

De meeste DNS-providers behandelen dit automatisch, maar verkeerd geconfigureerde splitsingen kunnen parseerfouten veroorzaken.

Limiet voor het opzoeken van ongeldige gegevens

Naast de limiet van 10 DNS-lookups beperkt de SPF-specificatie ook het aantal 'ongeldige lookups', dit zijn DNS-query's die geen records retourneren (een leeg antwoord of een NXDOMAIN-respons).

Het overschrijden van deze limiet, die doorgaans twee ongeldige zoekopdrachten is, kan ook een SPF PermError veroorzaken.

Geen bescherming voor doorgestuurde e-mails

Wanneer een e-mail wordt doorgestuurd, verandert het verzendende IP-adres in het IP-adres van de doorsturingsserver, dat waarschijnlijk niet in het SPF-record van de oorspronkelijke afzender staat vermeld. Hierdoor voldoet de doorgestuurde e-mail niet aan de SPF-controles, ook al was deze oorspronkelijk legitiem.

Houd uw SPF-record geoptimaliseerd met PowerDMARC

SPF is essentieel voor e-mailverificatie, maar de ingebouwde beperkingen ervan kunnen uw e-mailbezorgbaarheid ongemerkt ondermijnen als u er geen aandacht aan besteedt. Een enkele extra 'include' of een over het hoofd gezien verouderd mechanisme kan ervoor zorgen dat uw record de limiet van 10 DNS-lookups overschrijdt, waardoor SPF-fouten ontstaan die verhinderen dat legitieme e-mails uw ontvangers bereiken.

PowerDMARC maakt SPF-beheer eenvoudig.

Met geautomatiseerde SPF-afvlakking, realtime lookup-monitoring, directe foutmeldingen en een volledige reeks tools voor SPF, DKIM, DMARCen BIMI helpt PowerDMARC u om binnen de opzoeklimiet te blijven en te allen tijde een schone authenticatieconfiguratie te behouden.

Laat SPF-beperkingen uw e-mailbezorgbaarheid niet ongemerkt schaden. Neem vandaag nog contact met ons op vandaag nog!

Veelgestelde Vragen

1. Wat gebeurt er als mijn SPF-record de limiet van 10 DNS-lookups overschrijdt?

Wanneer uw SPF-record de limiet van 10 DNS-lookups overschrijdt, retourneert de ontvangende mailserver een 'Permerror'-resultaat. Hierdoor mislukt de SPF-authenticatie, wat ertoe kan leiden dat uw legitieme e-mails worden geweigerd, als spam worden gemarkeerd of met een verminderde reputatie worden afgeleverd.

2. Hoe kan ik controleren hoeveel DNS-lookups mijn SPF-record gebruikt?

U kunt online SPF-validatietools zoals de gratis SPF-checker van PowerDMARC gebruiken om uw record te analyseren en DNS-lookups te tellen. Deze tools laten u precies zien welke mechanismen lookups veroorzaken en helpen u optimalisatiemogelijkheden te identificeren. U kunt ook handmatig uw SPF-record doorlopen en elk 'include', 'a', 'mx' en 'ptr'-mechanisme tellen.

3. Wat zijn de beste praktijken voor het onderhouden van een SPF-record binnen de opzoeklimiet?

Best practices zijn onder meer: uw SPF-record regelmatig controleren om ongebruikte services te verwijderen, waar mogelijk IP-adressen gebruiken in plaats van includes, de 'a'- en 'mx'-mechanismen vermijden tenzij dit noodzakelijk is, meerdere e-mailservices consolideren, SPF-flattening implementeren voor complexe configuraties en uw SPF-record monitoren zodat u wordt gewaarschuwd bij veranderingen in het aantal lookups.

• Over
• Laatste berichten

Ahona Rudra

Expert domein- en e-mailbeveiliging bij PowerDMARC

Ahona is marketingmanager bij PowerDMARC en heeft meer dan vijf jaar ervaring met het schrijven over cybersecurity, gespecialiseerd in domein- en e-mailbeveiliging. Ahona heeft een masterdiploma in journalistiek en communicatie, en heeft sinds 2019 haar carrière in de beveiligingssector verder uitgebouwd.

Laatste berichten van Ahona Rudra (Bekijk alle berichten)

• DMARC MSP-casestudy: hoe Digital Infinity IT Group het DMARC- en DKIM-beheer voor klanten heeft gestroomlijnd met PowerDMARC - 21 april 2026
• Wat is DANE? Uitleg over DNS-gebaseerde authenticatie van benoemde entiteiten (2026) - 20 april 2026
• VPN-beveiliging voor beginners: aanbevolen werkwijzen om je privacy te beschermen - 14 april 2026