Seul l'alignement compte

Le contrôle SPF porte sur MAIL FROM (enveloppe/Return-Path). Le contrôle DKIM porte sur la balise d= de la signature. DMARC exige qu'au moins l'un des deux corresponde au domaine de l'en-tête From: visible.

Règle pratique : pour un alignement DMARC complet, configurez :

• Return-Path sur un sous-domaine que vous contrôlez (bounce.example.com) et qui est autorisé dans votre SPF.
• d= dans la signature DKIM sur votre domaine racine ou organisationnel (example.com).

KumoMTA contrôle le Return-Path ainsi :

kumo.on('smtp_server_message_received', function(msg)
  msg:set_meta('queue', msg:recipient():host())
  msg:set_meta('routing_domain', msg:recipient():host())
  -- Use VERP for bounce attribution
  local vrp = 'bounce+' .. msg:id() .. '@bounce.example.com'
  msg:set_meta('return_path', vrp)
end)

Publiez :

example.com         IN TXT "v=spf1 include:_spf.example.com -all"
_spf.example.com    IN TXT "v=spf1 ip4:198.51.100.0/29 -all"
bounce.example.com  IN TXT "v=spf1 ip4:198.51.100.0/29 -all"

example.com         IN TXT "v=DMARC1; p=reject; rua=mailto:dmarc@example.com; sp=reject;"

Sans alignement, vous échouez à DMARC même si SPF et DKIM passent. C'est l'erreur de configuration n° 1 chez les nouveaux expéditeurs.