La alineación es lo único que importa

La verificación SPF se hace sobre MAIL FROM (sobre/Return-Path). La verificación DKIM se hace sobre la etiqueta d= de la firma. DMARC exige que al menos una de las dos coincida con el dominio del encabezado From: visible.

Regla práctica: para una alineación DMARC completa, configura:

• Return-Path con un subdominio que controles (bounce.example.com) y que esté autorizado en tu SPF.
• d= en la firma DKIM con tu dominio raíz u organizacional (example.com).

KumoMTA controla el Return-Path con:

kumo.on('smtp_server_message_received', function(msg)
  msg:set_meta('queue', msg:recipient():host())
  msg:set_meta('routing_domain', msg:recipient():host())
  -- Use VERP for bounce attribution
  local vrp = 'bounce+' .. msg:id() .. '@bounce.example.com'
  msg:set_meta('return_path', vrp)
end)

Publica:

example.com         IN TXT "v=spf1 include:_spf.example.com -all"
_spf.example.com    IN TXT "v=spf1 ip4:198.51.100.0/29 -all"
bounce.example.com  IN TXT "v=spf1 ip4:198.51.100.0/29 -all"

example.com         IN TXT "v=DMARC1; p=reject; rua=mailto:dmarc@example.com; sp=reject;"

Sin alineación, fallas DMARC aunque SPF y DKIM pasen. Es el error de configuración número 1 de los remitentes nuevos.