Como você usa o include, seu SPF será redirecionado para o SPF do domínio "incluído". SPF para spf.messagelabs.com é
"v=spf1 include:nets1.spf.messagelabs.com include:nets2.spf.messagelabs.com ~all"
~ tudo é a razão, porque você tem softfail em vez de hardfail.