Defaults.Exposed › Διορθώσεις › Guides

SPF PermError: Πώς να Διορθώσετε τον «Υπερβολικό Αριθμό Αναζητήσεων DNS» Χωρίς να Διακόψετε το Email σας (2026)

Δημοσιεύτηκε 2026-07-08

Στοιχεία έως 2026-06-29 · μεθοδολογία v7. Αθροιστικά δεδομένα απογραφής σε 261 εκατομμύρια βαθμολογημένα domains. Δείτε πώς βαθμολογούμε.

Τουλάχιστον 797,263 domains υπερβαίνουν το όριο των 10 αναζητήσεων DNS του SPF, σύμφωνα με την απογραφή του Defaults.Exposed σε 261,086,232 domains — από τα 139 εκατομμύρια εκδότες SPF. Πέρα από τις δέκα αναζητήσεις, ο παραλήπτης σταματά και επιστρέφει PermError: το SPF σας είναι άκυρο, και το DMARC μετράει ένα PermError ως αποτυχία.

Η διόρθωση έχει αυστηρή σειρά, και οι περισσότεροι οδηγοί την αναστρέφουν. Μετρήστε τις πραγματικές, επιλυμένες αναζητήσεις σας· διαγράψτε νεκρά και αχρησιμοποίητα includes — αυτό μόνο διορθώνει τις περισσότερες εγγραφές· μεταφέρετε αποστολείς μεγάλου όγκου σε subdomains με δικό τους προϋπολογισμό SPF· εξαπλώστε (flatten) μόνο ως τελευταία λύση, και μόνο με αυτοματοποιημένη επαν-εξάπλωση, γιατί η στατική εξάπλωση παλιώνει και σπάει σιωπηλά την παράδοση.

Τι σημαίνει «SPF PermError: υπερβολικές αναζητήσεις DNS»;

Το RFC 7208 §4.6.4 ορίζει ανώτατο όριο 10 αναζητήσεων DNS για κάθε έλεγχο SPF. Πέρα από τις δέκα, ο παραλήπτης σταματά και επιστρέφει PermError — ολόκληρη η εγγραφή αντιμετωπίζεται ως χαλασμένη, όχι μόνο το τμήμα που υπερβαίνει τον προϋπολογισμό. Η ίδια ενότητα προσθέτει ένα δευτερεύον, λιγότερο γνωστό ανώτατο όριο: το πολύ 2 «κενές αναζητήσεις» (ερωτήματα που επιστρέφουν κανένα αποτέλεσμα ή NXDOMAIN), οπότε μερικές νεκρές καταχωρήσεις include: για ακυρωμένες υπηρεσίες μπορούν μόνες τους να ακυρώσουν το SPF σας.

Η συνέπεια είναι χειρότερη από «χωρίς SPF»: το DMARC αντιμετωπίζει ένα PermError ως αποτυχία SPF, οπότε ένα domain που σπάει το δικό του SPF είναι αδιαπίστευτο στο σκέλος SPF κάθε αξιολόγησης DMARC. Εάν το DKIM δεν έχει ρυθμιστεί ή σπάσει κατά τη μεταφορά, αυτό το email αποτυγχάνει πλέον εντελώς στο DMARC.

Ένας αριθμός απογραφής δείχνει πόσο σκληρή είναι αυτή η αποτυχία: 112,215 domains δημοσιεύουν αυστηρή εγγραφή -all που είναι άκυρη λόγω υπερβολικών αναζητήσεων — από τα 54,655,923 domains που δημοσιεύουν -all γενικά. Οι ιδιοκτήτες τους έκαναν το δύσκολο μέρος — επέλεξαν την αυστηρή κατάληξη — και ένα include παραπάνω έσβησε ολόκληρη την εγγραφή. Φαίνονται αυστηροί· είναι χαλασμένοι. Για την πλήρη εικόνα δεδομένων, δείτε την αναφορά SPF PermError.

Γιατί το SPF μου χάλασε χωρίς να αλλάξω τίποτα;

Επειδή ο προϋπολογισμός ξοδεύεται κυρίως από τις εγγραφές άλλων. Κάθε include: αξιολογείται αναδρομικά, και κάθε μηχανισμός αναζήτησης μέσα σε αυτό μετράει στις δέκα σας. Μια γραμμή στον πίνακα DNS σας μπορεί να κοστίσει τέσσερις ή πέντε αναζητήσεις μόλις επιλυθεί. Ένας πάροχος φωλιάζει άλλο ένα include, και το SPF σας «πεθαίνει» χωρίς ούτε μία αλλαγή στη zone σας.

Οι μεγάλες πλατφόρμες δεν είναι το πρόβλημα: τόσο η Google όσο και η Microsoft έχουν εξαπλώσει (flatten) το δικό τους SPF — το _spf.google.com και το spf.protection.outlook.com επεκτείνονται σε απλές λίστες IP με κόστος μηδέν εσωτερικών αναζητήσεων (επαληθευμένο έναντι ζωντανού DNS, Ιούλιος 2026). Οι πραγματικές εκρήξεις προέρχονται από αλυσίδες include πλοηγού-φιλοξενίας που φωλιάζουν αρκετά επίπεδα βαθιά, και από ειλικρινή στοίβαξη SaaS — γραμματοκιβώτιο συν newsletter συν CRM συν helpdesk, καθένα «μόνο ένα include». Κανείς δεν προσθέτει σκόπιμα την ενδέκατη αναζήτηση· φτάνει ως άθροισμα λογικών αποφάσεων. Γι’ αυτό η άκρη του γκρεμού είναι τόσο πολυσύχναστη: 2,119,539 domains βρίσκονται ακριβώς στις 9-10 επιλυμένες αναζητήσεις — περίπου 1 στα 66 όλων των εκδοτών SPF, μια χαρά σήμερα, άκυρα την ημέρα που κάποιος επικολλήσει άλλο ένα include. Η εγγραφή SPF της 99ης εκατοστιαίας μονάδας επιλύεται ήδη σε 9 αναζητήσεις. Εάν η στοίβα σας είναι βαριά σε SaaS, ο οδηγός αποτυχίας SPF για εργαλεία SaaS καλύπτει την έκδοση ανά προμηθευτή.

Ποια τμήματα εγγραφής SPF μετράνε ως αναζητήσεις DNS;

Μετρήστε το επιλυμένο σύνολο, όχι τις ορατές γραμμές. Τέσσερα includes μπορεί να είναι τέσσερις αναζητήσεις ή δεκατέσσερις.

Πώς διορθώνω τις «υπερβολικές αναζητήσεις DNS» χωρίς να διακόψω το email;

1. Εκτελέστε τη δωρεάν σάρωση πριν αγγίξετε DNS. Επιλύει την πλήρη αλυσίδα include σας και δείχνει τον πραγματικό αριθμό αναζητήσεων, ώστε να διορθώσετε το πραγματικό πρόβλημα — όχι την εγγραφή όπως εμφανίζεται στον πίνακά σας. (Εάν λέει ότι δεν έχετε καθόλου SPF, αυτή είναι διαφορετική αποτυχία — δείτε «SPF record not found».)
2. Πρώτα διαγράψτε νεκρά και αχρησιμοποίητα includes. Το εργαλείο που εγκαταλείψατε το 2023, το include του παλιού host που επέζησε μιας μετεγκατάστασης, διπλότυπα, οποιονδήποτε μηχανισμό ptr. Τα νεκρά includes είναι διπλά τοξικά: καίνε προϋπολογισμό αναζήτησης και είναι η συνηθισμένη πηγή κενών αναζητήσεων. Οι περισσότερες υπερφορτωμένες εγγραφές επανέρχονται κάτω από 10 μόνο σε αυτό το βήμα. Εάν η εγγραφή σας εξακολουθεί να φέρει τους μηχανισμούς προηγούμενου παρόχου, ακολουθήστε τον οδηγό καθαρισμού μετεγκατάστασης.
3. Ελέγξτε εάν κάθε εναπομείναν include κάνει κάτι. Οι παραλήπτες αξιολογούν το SPF έναντι του Return-Path (RFC5321.MailFrom) domain, όχι της κεφαλίδας From — και πολλά εργαλεία SaaS βάζουν το δικό τους bounce domain στο Return-Path, οπότε το include τους στην εγγραφή σας δεν κάνει τίποτα εκτός από το να ξοδεύει προϋπολογισμό. Διατηρήστε includes μόνο για υπηρεσίες που χρησιμοποιούν το domain σας ως Return-Path· για τις υπόλοιπες, ενεργοποιήστε το DKIM προσαρμοσμένου τομέα του προμηθευτή.
4. Μεταφέρετε αποστολείς μεγάλου όγκου σε subdomains. Newsletters από news.yourdomain.com, transactional email από mail.yourdomain.com. Κάθε subdomain έχει τη δική του εγγραφή SPF με φρέσκο προϋπολογισμό 10 αναζητήσεων, και ένα πρόβλημα σε μία ροή σταματά να επηρεάζει τις άλλες.
5. Μόνο τότε σκεφτείτε εξάπλωση (flatten) — και μόνο αυτοματοποιημένη εξάπλωση. Δείτε παρακάτω.
6. Εκτελέστε ξανά σάρωση για να επιβεβαιώσετε ότι βρίσκεστε άνετα κάτω από 10 — στοχεύστε σε περιθώριο, όχι ακριβώς στο 10, ή μόλις επανεντάχθηκε στα 2.1 εκατομμύρια domains στην άκρη του γκρεμού. Στη συνέχεια επεξεργαστείτε οτιδήποτε άλλο επισημαίνει η σάρωση στη σελίδα διόρθωσης SPF.

Πρέπει να εξαπλώσω (flatten) την εγγραφή SPF μου;

Η εξάπλωση αντικαθιστά includes με τα υποκείμενα μπλοκ ip4:/ip6: τους, τα οποία κοστίζουν μηδέν αναζητήσεις. Λειτουργεί — και γίνεται χειρωνακτικά, αποτελεί καθυστερημένη διακοπή παράδοσης.

Οι πάροχοι εναλλάσσουν IP αποστολής τακτικά και δεν το ανακοινώνουν σε κανέναν. Μια στατική λίστα IP είναι σωστή την ημέρα που την επικολλάτε και σιωπηλά λάθος σε μήνες — και επειδή η αποτυχία εμφανίζεται ως άλλοι άνθρωποι που δεν λαμβάνουν το email σας, το μαθαίνετε αργά. Εάν το κλάδεμα και τα subdomains σάς φέρνουν κάτω από το όριο, σταματήστε εκεί· ποτέ μην αντιγράφετε χειρωνακτικά μπλοκ IP τρίτου μέρους στην εγγραφή σας ως μόνιμη επιδιόρθωση.

Συχνές ερωτήσεις

Σημαίνει ένα SPF PermError ότι σταματά η παράδοση email μου; Όχι αμέσως — αυτό είναι που το κάνει επικίνδυνο. Το DMARC μετράει ένα PermError ως αποτυχία SPF, οπότε η παράδοση βασίζεται εξ ολοκλήρου στο DKIM· εάν το DKIM λείπει ή σπάσει κατά τη μεταφορά, αποτυγχάνετε στο DMARC. Από τους 139 εκατομμύρια εκδότες SPF στην απογραφή μας (έως 2026-06-29), τουλάχιστον 797,263 βρίσκονται σε αυτή την κατάσταση — οι περισσότεροι χωρίς να το γνωρίζουν.

Η εγγραφή μου έχει μόνο τέσσερα includes — πώς μπορεί να υπερβαίνει τις 10 αναζητήσεις; Τα includes μετριούνται αναδρομικά: ό,τι βρίσκεται μέσα σε κάθε include (και μέσα στα δικά του includes) χρεώνεται στον προϋπολογισμό σας, οπότε τέσσερις ορατές γραμμές μπορεί να επιλύονται σε δεκατέσσερις αναζητήσεις. Μετρήστε με εργαλείο επίλυσης, όχι με το μάτι — η επίλυση των αλυσίδων είναι ο τρόπος που η αναφορά PermError μας βρήκε ~100× περισσότερα χαλασμένα domains από ό,τι δείχνουν οι επιφανειακές μετρήσεις.

Τελειώνω την εγγραφή μου με -all — σίγουρα είμαι προστατευμένος; Μόνο εάν η εγγραφή αξιολογείται. Η απογραφή μας (έως 2026-06-29) βρήκε 112,215 domains των οποίων οι αυστηρές εγγραφές -all είναι άκυρες λόγω υπερβολικών αναζητήσεων. Ένας αυστηρός χαρακτηρισμός σε εγγραφή PermError δεν προστατεύει τίποτα.

Είναι το όριο 10 αναζητήσεις ανά include ή για ολόκληρη την εγγραφή; Για ολόκληρη την αξιολόγηση: το RFC 7208 §4.6.4 ορίζει ανώτατο όριο τον πλήρη έλεγχο στις 10, συν το πολύ 2 κενές αναζητήσεις. Κάθε subdomain έχει τη δική του εγγραφή και προϋπολογισμό — γι’ αυτό λειτουργεί το βήμα 4.

Τα entries ip4 και ip6 μετράνε στο όριο; Όχι — οι μηχανισμοί IP δεν κοστίζουν τίποτα, και ακριβώς γι’ αυτό η εξάπλωση μειώνει τον αριθμό.

Στείλτε στον ιδιοκτήτη την αναφορά

Εάν το διορθώνετε για πελάτη ή εργοδότη, τελειώστε τη δουλειά με αποδείξεις. Εκτελέστε ξανά τη δωρεάν σάρωση μετά τις αλλαγές σας και προωθήστε τη βαθμολογημένη αναφορά στον ιδιοκτήτη της επιχείρησης: απλή γλώσσα, με ημερομηνία, PermError εξαφανισμένο. Αυτό είναι το αντικείμενο που θα χρειαστούν για την ανανέωση ασφάλισης κυβερνοχώρου και το επόμενο ερωτηματολόγιο ασφάλειας πελατών.

Ελέγξτε δωρεάν το domain σας

Δείτε τον πραγματικό, επιλυμένο αριθμό αναζητήσεών σας — και τα πάντα για SPF, DKIM και DMARC — ιδιωτικά και μόνο για τον ιδιοκτήτη.

Ελέγξτε το domain σας → · Διόρθωση SPF → · Αποτυχία SPF για εργαλεία SaaS → · Ρύθμιση SPF στο GoDaddy → · Πώς βαθμολογούμε → · Μόνο αθροιστικά δεδομένα. Τα δεδομένα αποθηκεύονται και επεξεργάζονται στην ΕΕ.