Alignment ist das Einzige, was zählt

Die SPF-Prüfung bezieht sich auf MAIL FROM (Envelope/Return-Path). Die DKIM-Prüfung bezieht sich auf das Tag d= in der Signatur. DMARC verlangt, dass mindestens eines davon zur Domain im sichtbaren From:-Header passt.

Praktische Regel: Für vollständiges DMARC-Alignment setzen Sie:

• Return-Path auf eine Subdomain, die Sie kontrollieren (bounce.example.com) und die in Ihrem SPF autorisiert ist.
• d= in der DKIM-Signatur auf Ihre Haupt- bzw. Organisationsdomain (example.com).

KumoMTA steuert den Return-Path über:

kumo.on('smtp_server_message_received', function(msg)
  msg:set_meta('queue', msg:recipient():host())
  msg:set_meta('routing_domain', msg:recipient():host())
  -- Use VERP for bounce attribution
  local vrp = 'bounce+' .. msg:id() .. '@bounce.example.com'
  msg:set_meta('return_path', vrp)
end)

Veröffentlichen:

example.com         IN TXT "v=spf1 include:_spf.example.com -all"
_spf.example.com    IN TXT "v=spf1 ip4:198.51.100.0/29 -all"
bounce.example.com  IN TXT "v=spf1 ip4:198.51.100.0/29 -all"

example.com         IN TXT "v=DMARC1; p=reject; rua=mailto:dmarc@example.com; sp=reject;"

Ohne Alignment scheitern Sie an DMARC, selbst wenn SPF+DKIM bestehen. Das ist die häufigste Fehlkonfiguration bei neuen Absendern.