adkim y aspf eligen el modo; en ambos, el valor predeterminado es el relajado (r). Con la alineación relajada, mail.example.com se alinea con example.com; con la estricta (s), solo se alinean los dominios idénticos. El RFC 9989 determina el dominio organizativo mediante un recorrido del árbol DNS en lugar de la Public Suffix List.
El fallo habitual son los remitentes externos: una plataforma de boletines que firma con su propio d= y usa su propio dominio de rebotes supera SPF y DKIM, pero no DMARC, porque ninguno de los dos está alineado con tu From. La solución es una clave DKIM propia para tu dominio (a menudo delegada mediante CNAME) o un subdominio de return-path propio. Basta con un solo resultado superado y alineado, y DKIM sobrevive al reenvío mejor que SPF.