Hoe check je of een IP in je SPF staat
Op de vraag "mag dit IP-adres namens mijn domein posten?" antwoord je niet uit de SPF-tekst zelf — die tekst is een keten. Een include kan verwijzen naar nog een include, een redirect naar een andere tekst, en pas aan het eind van die keten staat of het adres erdoor mag. En die keten heeft een limiet: RFC 7208 geeft tien navragen, meer niet.
De SPF-naberekening volgt de hele keten via onze resolver en geeft exact het antwoord dat een ontvanger zou geven: pass, fail, softfail, neutral — of een van de foutvormen permerror en temperror, genoemd zoals RFC 7208 ze definieert. Een keten die het limiet raakt, eindigt daar als limiet, niet als gok.
Dit artikel laat zien waarom "die SMTP-server komt door mijn SPF heen" vaak iets anders betekent dan je dacht, en hoe je de drie lagen (mail-from, HELO, mechanismen) uit elkaar houdt.
De tekst is een keten, geen lijst
`v=spf1 ip4:... include:_spf.service.com include:servers.example.net -all` — wat er direct in je TXT staat is één deel van het verhaal. Elke include vraagt een nieuwe TXT op bij een ander domein, en elk daarvan kan weer een include bevatten. Wat een ontvanger evalueert is de hele keten, en wat jij schrijft is alleen het bovenste velletje.
Het lookup-limiet is geen suggestie
Tien navragen — mechanismen die DNS-navragen vereisen (include, redirect, a, mx, ptr) — dan is de ruimte op. Een SPF die daaroverheen gaat, faalt niet met "no" maar met permerror: de ontvanger behandelt de hele controle dan als fout. De naberekening toont de keten met haar teller, dus je ziet wáár de tiende vraag valt.
Mail-from en HELO zijn aparte checks
Een SMTP-gesprek vraagt twee keer: eerst naar de HELO/EHLO-identiteit van de verbindende server, daarna naar het mail-from-adres. Beide kunnen door eigen SPF-teksten gedekt zijn, en een server die bij de ene check door komt en bij de andere niet, is een klassieke halfzet. Geef de naberekening beide domeinen en beide adressen en vergelijk de uitkomsten.
Na de check: wie staat er eigenlijk op je lijst?
Als het adres doorkomt, is de volgende vraag wie er allemaal doorkomen: partijen die je ooit hebt opgenomen en bent vergeten. De DNS-opzoeker toont je SPF-tekst direct uit de TXT-laag, en SPF, DKIM en DMARC uitgelegd zet de tekst weer in het grotere geheel — want een SPF die alles toestaat is technisch correct en praktisch een lege muur.