O que é alinhamento DMARC?
Alinhamento DMARC é a regra segundo a qual uma verificação SPF ou DKIM aprovada só conta para o DMARC se o domínio dela corresponder ao endereço From visível. O alinhamento relaxado aceita qualquer domínio da mesma organização, como mail.example.com para example.com. O alinhamento estrito exige exatamente o mesmo domínio. A RFC 7489 §3.1 define os dois.
Como ler o resultado
Cole os cabeçalhos de uma mensagem como ela chegou. O verificador lê o Authentication-Results do servidor que recebeu e lista o domínio do From, o domínio do SPF (o remetente do envelope) e cada domínio d= do DKIM, cada um com seu resultado e se está alinhado no modo relaxado e no estrito. Depois dá o veredito DMARC nos dois modos e diz qual parte falhou. Nada do que você cola sai do seu navegador.
Motivos comuns para o alinhamento falhar
O SPF passa para o serviço de envio
A maioria dos serviços de envio usa o próprio domínio de bounce, então o SPF passa para o domínio deles e não para o seu. O SPF só alinha quando o Return-Path está no seu domínio, uma configuração que os serviços chamam de custom return path ou domínio MAIL FROM personalizado.
DKIM assinado com o domínio da plataforma
Uma assinatura com d= igual ao domínio da plataforma é válida e, mesmo assim, não pode passar no DMARC para o seu domínio. Publique o registro DKIM que a plataforma fornece para que ela assine como o seu domínio.
Alinhamento estrito e um subdomínio
Com adkim=s ou aspf=s, mail.example.com deixa de alinhar com example.com. A menos que você precise do modo estrito, deixe as duas tags fora do registro: o relaxado é o padrão (RFC 7489 §6.3).
O encaminhamento quebra o SPF
Uma mensagem encaminhada chega ao servidor final pelo endereço IP de quem encaminhou, então o SPF falha ali. Um DKIM alinhado sobrevive ao encaminhamento quando o conteúdo não é alterado, e é por isso que o DMARC não deve depender só do SPF.