Режим задают теги adkim и aspf, по умолчанию у обоих relaxed (r). При выравнивании relaxed домен mail.example.com выровнен с example.com; в режиме strict (s) выровнены только совпадающие домены. RFC 9989 определяет организационный домен обходом дерева DNS, а не по Public Suffix List.
Чаще всего проблемы возникают со сторонними отправителями: платформа рассылок, которая подписывает письма своим d= и использует свой домен для возвратов (bounce), проходит SPF и DKIM, но не проходит DMARC, потому что ни один из этих доменов не выровнен с вашим From. Решение — собственный ключ DKIM для вашего домена (его часто делегируют через CNAME) или собственный поддомен для return-path. Достаточно одной успешной проверки с выравниванием, а DKIM переживает пересылку лучше, чем SPF.