SPF: Too many lookups.

Zie je de melding "Too many DNS lookups"? Dan bevat je SPF-record te veel DNS-verwijzingen. Hierdoor kunnen sommige mailservers je e-mails afwijzen of als spam behandelen. 

Controleer hoeveel DNS-lookups jouw SPF-record bevat op https://mailcamp.eu/dnschecker.php  

Indien er in een SPF record teveel zogeheten 'lookups' voorkomen, moet er worden gezorgd dat dit onder de grens van 10 maximale lookups uitkomt. Als een SPF-record meer dan 10 DNS-lookups bevat, resulteert de SPF-controle in een fout (permerror). Hierdoor kunnen ontvangende mailservers SPF niet meer correct controleren, wat invloed kan hebben op de bezorging van e-mail.

Het grote voordeel van 'includes', is dat men precies kan zien waar deze voor wordt gebruikt. Immers is er aan 'include:spf.mailcamp.nl' te zien dat dit nodig is voor de aflevering van mails die via MailCamp worden verzonden. 

Bij veel organisaties worden meerdere e-maildiensten gebruikt, zoals Microsoft 365, Google Workspace, MailCamp, SendGrid of Mailchimp. Elke dienst voegt vaak één of meer DNS-lookups toe. Daardoor kan de limiet van 10 sneller worden bereikt dan je zou verwachten. 

We nemen voor dit voorbeeld het fictieve bedrijf WKposter.nl en controleren het domein met onze DNS-checker.

Daar zie je direct hoeveel DNS-lookups het huidige SPF-record bevat, voordat we de nieuwe include van MailCamp hebben toegevoegd (Huidig aantal lookups: 3). 

• Indien daar bijvoorbeeld 9 lookups in voorkomen, kan er nog zonder problemen include:spf.mailcamp.nl worden toegevoegd. Dan zit je precies op de grens.
• Als een SPF-record meer dan 10 DNS-lookups bevat, resulteert de SPF-controle in een fout ('permerror'). Hierdoor kunnen ontvangende mailservers SPF niet meer correct controleren, wat invloed kan hebben op de bezorging van e-mail. 

We hebben voor het voorbeeld expres een overschrijding van het aantal lookups gemaakt. Dat zie je dan aan de volgende melding in onze DNS checker. "Let op: Dit record veroorzaakt 11 DNS lookups. Dit is meer dan de limiet van 10". Daar moet dus één lookup uit worden verwijderd. 

In het geval dat de grens wordt overschreden, zijn er een aantal mogelijkheden om dit op te lossen. 
We beginnen met de meest gemakkelijke. 

• verwijder oude e-maildiensten die je niet meer gebruikt;
  Staat er bijvoorbeeld include:sendgrid.net tussen, maar er wordt al een poosje niet meer via Sendgrid verzonden; verwijder dan simpelweg deze include uit het SPF. Doe dit voor alles wat niet meer in gebruik is en controleer daarna opnieuw. Let op: het kan enige tijd duren voordat ze verdwenen zijn. 
• Een andere mogelijkheid is het SPF-record te flattenen. Op https://dmarcly.com/tools/spf-record-checker kan een SPF record in losse IP adressen uiteen worden getrokken. 
   

Dat ziet er dan zo uit:

Maar: zoals je kunt zien, krijg je dan een situatie waarbij er enorm veel losse IP adressen achter elkaar komen te staan, waardoor men later door de bomen het bos niet meer ziet. Want niemand weet dan nog welk IP waarbij hoort. 

Dan bestaat er nog een andere mogelijkheid; en dat is bepalen welke IP adressen zich onder welke include bevinden en deze dan los toe te voegen. Zodoende hoeft niet het gehele SPF te worden uiteengetrokken in losse IP adressen, maar slechts een deel daarvan. Daar bestaat een heel handige tool voor: https://redsift.com/tools/spf-checker 

Daar zien we inderdaad ook meteen dat we over de lookup limit heen zijn gegaan. 
Wat je hier kunt doen, is kijken welke reeks IP adressen zich onder iedere include bevinden door naar de 'SPF visualization' te gaan.  

Door te klikken op 1 van de includes, kunnen de onderliggende IP-adressen worden bekeken. Deze kunnen vervolgens, gescheiden door spaties, aan het SPF-record worden toegevoegd.

In het geval van Mandrillapp (Mailchimp), zien we dat daar nog een onderliggende include onder zit. Wanneer we daarop klikken, zien we welke IP-adressen daarbij horen. Stel; je wil deze dienst tóch in je SPF record houden, kan je die IP adressen los toevoegen. Dan kunnen we de include (welke in dit geval dus een lookup veroorzaakt), verwijderen.

Dan gaan we van: 
'v=spf1 a mx include:_spf.google.com include:sendgrid.net include:mandrillapp.com include:spf.mailcamp.nl include:spf.protection.outlook.com include:spamfilterserver.com include:_spf.exsilia.net ~all'

Naar:
'v=spf1 a mx include:_spf.google.com include:sendgrid.net ip4:198.2.128.0/24 ip4:198.2.132.0/22 ip4:198.2.136.0/23 ip4:198.2.145.0/24 ip4:198.2.186.0/23 ip4:205.201.131.0/24 ip4:205.201.134.128/25 ip4:205.201.136.0/23 ip4:205.201.139.0/24 ip4:198.2.177.0/24 ip4:198.2.178.0/23 ip4:198.2.180.0/24 include:spf.mailcamp.nl include:spf.protection.outlook.com include:spamfilterserver.com include:_spf.exsilia.net ~all'

We hebben het SPF-record aangepast en daarbij meteen de overige MailCamp DNS-records (DKIM en DMARC) toegevoegd. Dan ziet het er (in het geval van Plesk) uit als hieronder wordt weergegeven: 

(Hoe DNS records moeten worden toegevoegd, verschilt per DNS tool. Indien men hier zelf geen verstand van heeft, speel dan de informatie simpelweg door naar de hostingpartij/domeinbeheerder, die lossen het dan voor je op. Het kan tevens handig zijn om dit artikel dan mee te sturen naar de hosting/domeinbeheerder indien er zaken voorkomen als hier worden beschreven). 

Zoals je ziet, komt het SPF-record nu door de controle. De overige records zijn inmiddels ook gesynchroniseerd. Bij het DKIM-record zien we tegenwoordig tevens de melding dat deze aan de verzendserver is toegevoegd, of er al in verwerkt stond. 

Kom je, net als in bovenstaand voorbeeld door onze DNS check heen maar krijg je de melding dat "het domein succesvol is toegevoegd" in plaats van 'Domein staat correct ingesteld in MTA'; geef het dan indien mogelijk alsnog nog ongeveer vier uur voordat je de eerste verzending doet om er helemaal zeker van te zijn dat alles overal gesynchroniseerd is.