Alignment is het enige wat telt

De SPF-check gaat over MAIL FROM (envelope/Return-Path). De DKIM-check gaat over de d=-tag in de handtekening. DMARC dwingt af dat minstens één daarvan overeenkomt met het zichtbare domein in de From:-header.

Praktische regel: voor volledige DMARC-alignment stel je in:

• Return-Path op een subdomein dat je beheert (bounce.example.com) en dat in je SPF-record geautoriseerd is.
• d= in de DKIM-handtekening op je hoofddomein of organisatiedomein (example.com).

KumoMTA regelt het Return-Path via:

kumo.on('smtp_server_message_received', function(msg)
  msg:set_meta('queue', msg:recipient():host())
  msg:set_meta('routing_domain', msg:recipient():host())
  -- Use VERP for bounce attribution
  local vrp = 'bounce+' .. msg:id() .. '@bounce.example.com'
  msg:set_meta('return_path', vrp)
end)

Publiceer:

example.com         IN TXT "v=spf1 include:_spf.example.com -all"
_spf.example.com    IN TXT "v=spf1 ip4:198.51.100.0/29 -all"
bounce.example.com  IN TXT "v=spf1 ip4:198.51.100.0/29 -all"

example.com         IN TXT "v=DMARC1; p=reject; rua=mailto:dmarc@example.com; sp=reject;"

Zonder alignment faal je voor DMARC, zelfs als SPF en DKIM slagen. Dit is de meest gemaakte configuratiefout bij nieuwe verzenders.