SPF y DKIM pueden pasar y DMARC fallar porque DMARC evalúa la alineación con el dominio visible del From. No basta con que firma o IP sean válidas: al menos un identificador autenticado debe alinearse con el dominio que ve el destinatario.
Lee Authentication-Results real
Usa un mensaje recibido y registra header.from, smtp.mailfrom, DKIM d= y resultado DMARC. No deduzcas alineación solo desde DNS.
Comprueba alineación SPF
SPF puede pasar con un return-path del proveedor pero no alinearse con el From visible.
Comprueba alineación DKIM
Una firma válida puede usar dominio del proveedor. Asegura que al menos un d= que pasa está alineado según modo estricto/relajado.
Ten en cuenta reenvíos
El forwarding puede romper SPF y conservar DKIM. ARC aporta contexto, pero no sustituye una configuración sana.
Revisa política de subdominio
sp= y reglas del dominio organizativo pueden hacer que un subdominio se comporte distinto.
Repite tras propagación
Envía por la misma ruta y compara headers. Un check verde del panel vale menos que un mensaje real recibido.
Compara con la guía de DKIM y la guía SPF para varios remitentes.
Construye una matriz de alineación para un mensaje
Coloca el dominio From visible junto al resultado SPF y smtp.mailfrom, después DKIM y d=, y finalmente DMARC. Marca qué identificador autenticado es el que realmente alinea. Esta matriz evita el error habitual de ver dos PASS y asumir que DMARC debe pasar aunque ambos pertenezcan a dominios distintos del que ve el destinatario.