Il Sender Policy Framework (SPF) è un protocollo critico di autenticazione della posta elettronica che previene lo spoofing dei domini pubblicando una whitelist degli indirizzi IP autorizzati a inviare. Sebbene il protocollo SPF in sé sia essenziale per la deliverability moderna, il tipo di record DNS dedicato SPF (Type 99) ha una storia incredibilmente tormentata ed è ufficialmente obsoleto.

L'ascesa e la caduta del record Type 99

Quando il protocollo SPF fu originariamente concepito (RFC 4408), l'IETF progettò un specifico record delle risorse DNS (Type 99) pensato esplicitamente per isolare i payload SPF dai dati TXT standard. La teoria era che mantenere un tipo di record dedicato avrebbe velocizzato l'analisi dei resolver. Invece il roll-out fu un massiccio fallimento: server DNS legacy, firewall e load balancer hardware non riconoscevano la nuova sintassi Type 99 e scartavano frequentemente i pacchetti, causando interruzioni massicce della posta. Riconoscendo questa incompatibilità hardware, l'IETF pubblicò la RFC 7208, che depreca ufficialmente il record Type 99. Oggi tutte le configurazioni SPF devono essere pubblicate come record TXT standard. Se un amministratore continua a distribuire un record SPF Type 99 legacy, piattaforme moderne come Microsoft Exchange e Google Workspace lo ignoreranno del tutto, causando immediati fallimenti DMARC.

Il rigido limite delle 10 query

Il punto di fallimento tecnico più rilevante per chi gestisce SPF è il rigoroso limite delle 10 query. Poiché un record SPF consente agli amministratori di annidare altre policy di dominio usando la direttiva include: (es. include:_spf.salesforce.com), un server di posta ricevente deve eseguire query DNS ricorsive per recuperare gli IP da quel provider di terze parti. Per proteggere gli MTA da loop di routing infiniti e attacchi di amplificazione DDoS mirati, il protocollo fissa il tetto a 10 query DNS ricorsive. Se un'azienda incatena troppi provider SaaS e arriva all'undicesima query, l'esecuzione si interrompe restituendo un "PermError" SPF. Questo provoca immediatamente hard bounce o la caduta in quarantena delle email in uscita legittime.

Flattening e diagnostica

Per aggirare i limiti di query, gli ingegneri di rete utilizzano strumenti di "SPF Flattening". Questi script si eseguono ogni ora, espandono tutte le direttive include: via API, eliminano gli hostnames e compilano i blocchi IPv4/IPv6 grezzi in un enorme record TXT piatto. L'uso di un verificatore diagnostico globale assicura che la sintassi sia valida, che gli include annidati non abbiano superato silenziosamente la soglia DNS e che la policy termini esplicitamente con una flag restrittiva -all (fail) o ~all (softfail) per rifiutare i payload spoofati.