Donc, en résumé, quand on transfère un mail (au niveau du serveur, via alias), il n'y a actuellement aucun moyen d'être conforme spf et dmarc en même temps.

spf nécessite de modifier l'adresse envelope sender (via srs, Sender Rewriting Scheme), pour que le mail vienne du bon domaine (spf vérifie le enveloppe sender, pas le from)

et dmarc voit que l'adresse enveloppe sender n'est pas la même que celle du from, ce qui est un fail pour lui.