adkim et aspf choisissent le mode, relaxed (r) par défaut pour les deux. En alignement relaxed, mail.example.com est aligné avec example.com ; en mode strict (s), seuls des domaines identiques sont alignés. La RFC 9989 détermine le domaine organisationnel par un parcours de l’arborescence DNS (DNS tree walk) au lieu de la Public Suffix List.
L’échec classique vient des expéditeurs tiers : une plateforme de newsletter qui signe avec son propre d= et utilise son propre domaine de rebond réussit les vérifications SPF et DKIM, mais échoue à DMARC, car aucun des deux n’est aligné avec votre From. La solution est une clé DKIM personnalisée pour votre domaine (souvent déléguée par CNAME) ou un sous-domaine de return-path personnalisé. Une seule réussite alignée suffit, et DKIM résiste mieux au transfert que SPF.