adkim und aspf wählen den Modus, beide standardmäßig relaxed (r). Beim Alignment im Modus relaxed ist mail.example.com zu example.com ausgerichtet; im Modus strict (s) sind nur identische Domains ausgerichtet. RFC 9989 bestimmt die Organisationsdomain per DNS-Tree-Walk statt über die Public Suffix List.
Der typische Fehlerfall sind Drittanbieter als Absender: Eine Newsletter-Plattform, die mit ihrem eigenen d= signiert und ihre eigene Bounce-Domain verwendet, besteht SPF und DKIM, scheitert aber an DMARC, weil keines von beiden zu deinem From ausgerichtet ist. Abhilfe schafft ein eigener DKIM-Schlüssel für deine Domain (oft per CNAME delegiert) oder eine eigene Subdomain für den Return-Path. Es reicht, wenn eine der beiden Prüfungen ausgerichtet besteht, und DKIM übersteht Weiterleitungen besser als SPF.