As tags adkim e aspf escolhem o modo, e as duas têm o relaxado (r) como padrão. No alinhamento relaxado, mail.example.com se alinha com example.com; no estrito (s), só domínios idênticos se alinham. A RFC 9989 determina o domínio organizacional com um percurso da árvore DNS (DNS tree walk) em vez da Public Suffix List.
A falha mais comum vem de remetentes terceirizados: uma plataforma de newsletter que assina com o próprio d= e usa o próprio domínio de retorno (bounce) passa no SPF e no DKIM, mas falha no DMARC porque nenhum dos dois se alinha com o seu From. A correção é uma chave DKIM personalizada para o seu domínio (muitas vezes delegada por CNAME) ou um subdomínio de return-path personalizado. Basta que um dos dois passe de forma alinhada, e o DKIM sobrevive ao encaminhamento melhor que o SPF.