O alinhamento é a única coisa que importa

A verificação SPF é feita no MAIL FROM (envelope/Return-Path). A verificação DKIM é feita na tag d= da assinatura. O DMARC exige que pelo menos um deles corresponda ao domínio do cabeçalho From: visível.

Regra prática: para alinhamento DMARC completo, defina:

• Return-Path como um subdomínio que você controla (bounce.example.com) e que esteja autorizado no seu SPF.
• d= na assinatura DKIM como o seu domínio raiz ou organizacional (example.com).

O KumoMTA controla o Return-Path via:

kumo.on('smtp_server_message_received', function(msg)
  msg:set_meta('queue', msg:recipient():host())
  msg:set_meta('routing_domain', msg:recipient():host())
  -- Use VERP for bounce attribution
  local vrp = 'bounce+' .. msg:id() .. '@bounce.example.com'
  msg:set_meta('return_path', vrp)
end)

Publique:

example.com         IN TXT "v=spf1 include:_spf.example.com -all"
_spf.example.com    IN TXT "v=spf1 ip4:198.51.100.0/29 -all"
bounce.example.com  IN TXT "v=spf1 ip4:198.51.100.0/29 -all"

example.com         IN TXT "v=DMARC1; p=reject; rua=mailto:dmarc@example.com; sp=reject;"

Sem alinhamento, você falha no DMARC mesmo com SPF+DKIM aprovados. Este é o erro de configuração nº 1 de remetentes novos.