¿Qué es la alineación DMARC?
La alineación DMARC es la regla según la cual una verificación SPF o DKIM que pasa solo cuenta para DMARC si su dominio coincide con la dirección From visible. La alineación relajada acepta cualquier dominio de la misma organización, como mail.example.com para example.com. La alineación estricta exige el dominio exacto. El RFC 7489 §3.1 define ambas.
Cómo leer el resultado
Pega los encabezados de un mensaje tal como llegó. El verificador lee los Authentication-Results del servidor receptor y lista el dominio From, el dominio SPF (el remitente del sobre) y cada dominio DKIM d=, cada uno con su resultado y si se alinea con alineación relajada y estricta. Luego da el veredicto DMARC de ambas formas y dice qué parte falló. Nada de lo que pegas sale de tu navegador.
Motivos comunes por los que falla la alineación
SPF pasa para el servicio de envío
La mayoría de los servicios de envío usan su propio dominio de rebotes, así que SPF pasa para el suyo y no para el tuyo. SPF solo se alinea cuando el Return-Path está en tu dominio, una opción que los servicios llaman custom return path o dominio MAIL FROM personalizado.
DKIM firmado con el dominio de la plataforma
Una firma con d= igual al dominio de la plataforma se verifica, y aun así no puede pasar DMARC para el tuyo. Publica el registro DKIM que te da la plataforma para que firme como tu dominio.
Alineación estricta y un subdominio
Con adkim=s o aspf=s, mail.example.com deja de alinearse con example.com. Salvo que necesites la estricta, deja ambas etiquetas fuera del registro: la relajada es la opción por defecto (RFC 7489 §6.3).
El reenvío rompe SPF
Un mensaje reenviado llega al servidor final desde la dirección IP del reenviador, así que SPF falla ahí. Un DKIM alineado sobrevive al reenvío cuando el contenido no se modifica, y por eso DMARC no debería depender solo de SPF.