メカニズムとタグを分解し、DNS参照10回の上限までの余裕を数える
貼り付けたレコードの文字列そのものを検査します。DNS は引かないので、include: の先をたどることや、そのレコードが実際に公開されているかの確認はできません。
RFC 7208 は、1回のSPF評価で行う DNS 参照を10回までと定めています。include・a・mx・ptr・exists・redirect が1回ずつ消費します。ip4 と ip6 は消費しません。超えると結果は permerror になり、多くの受信側でSPFが役に立たなくなります。
いいえ。ここで数えられるのは、貼り付けたレコード自身が消費する回数だけです。include: の先のレコードもそれぞれ参照を消費するため、実際の合計はこれより必ず多くなります。DNS を引かない以上、この上限までしか分かりません。表示を「余裕の目安」として読んでください。
-all（fail）は「ここに挙げた以外は自分の送信ではない」という強い宣言で、~all（softfail）は「たぶん違うが断定しない」という緩い宣言です。運用が固まるまでは ~all にし、取りこぼしが無いことを確認してから -all にするのが一般的な進め方です。
世界中のどのIPからの送信も許可されます。SPF を設定したことにはならず、なりすましを止める効果が消えます。テストで一時的に置いたまま残っている例が多いので、見つけたら消してください。
p= はそのドメイン自身に適用するポリシー、sp= はサブドメインに適用するポリシーです。sp= を書かない場合はサブドメインにも p= が適用されます。逆に言えば、sp=none を書くとサブドメインだけ緩めることになります。
いいえ。貼り付けた文字列の構文だけを検査します。そのため include: の先をたどることも、そのレコードが実際に公開されているかを確かめることもできません。
1個までです。v=spf1 で始まる TXT レコードが同じドメインに2個以上あると permerror になります。送信元を増やすときは新しいレコードを足すのではなく、既存のレコードに include: を追加します。
RFC 7208 の 5.5 で非推奨とされています。逆引きに依存するため遅く、信頼性も低く、DNS参照も消費します。ip4 や include で置き換えてください。
指定した割合のメールにだけポリシーが適用され、残りは1段緩い扱いになります。reject へ移行する途中で影響を確かめるための仕組みで、恒久的に低い値のまま運用するものではありません。
いいえ。検査はすべてブラウザ内で完結します。入力内容がサーバへ送信・保存されることはありません。