SPF i DKIM poden passar i DMARC fallar perquè DMARC avalua l’alineació amb el domini visible del From. No n’hi ha prou que signatura o IP siguin vàlides: almenys un identificador autenticat s’ha d’alinear amb el domini que veu el destinatari.
Llegeix Authentication-Results real
Usa un missatge rebut i registra header.from, smtp.mailfrom, DKIM d= i resultat DMARC. No dedueixis alineació només des de DNS.
Comprova alineació SPF
SPF pot passar amb un return-path del proveïdor però no alinear-se amb el From visible.
Comprova alineació DKIM
Una signatura vàlida pot usar domini del proveïdor. Assegura que almenys un d= que passa està alineat segons mode estricte/relaxat.
Tingues en compte reenviaments
El forwarding pot trencar SPF i conservar DKIM. ARC aporta context, però no substitueix una configuració sana.
Revisa política de subdomini
sp= i regles del domini organitzatiu poden fer que un subdomini es comporti diferent.
Repeteix després de propagació
Envia per la mateixa ruta i compara headers. Un check verd del panell val menys que un missatge real rebut.
Compara amb la guia de DKIM i la guia SPF per a diversos remitents.
Construeix una matriu d’alineació per a un missatge
Posa el domini From visible al costat del resultat SPF i smtp.mailfrom, després DKIM i d=, i finalment DMARC. Marca quin identificador autenticat és el que realment alinea. Aquesta matriu evita l’error habitual de veure dos PASS i assumir que DMARC ha de passar encara que tots dos pertanyin a dominis diferents del que veu el destinatari.