如何解释此 DMARC SPF 失败？

我的日常 DMARC 包含以下记录。 有人可以解释一下 SPF 失败吗？

我的域上的所有外观均已正确设置，并且记录中的 spf 验证也通过了。我有点疑惑。

 <record>
    <row>
      <source_ip>AN-IP-ADDRESS</source_ip>
      <count>1</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>fail</spf>         WHY??????  WHAT CAUSES THIS TO FAIL HERE?
      </policy_evaluated>
    </row>
    <identifiers>
      <envelope_to>A-DOMAIN</envelope_to>
      <envelope_from>A-DOMAIN_ALLOWED-TO-SEND-MAILS</envelope_from>
      <header_from>MY-DOMAIN</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>MY-DOMAIN</domain>
        <selector>smtpapi</selector>
        <result>pass</result>
      </dkim>
      <spf>
        <domain>A-DOMAIN_ALLOWED-TO-SEND-MAILS</domain>
        <scope>mfrom</scope>
        <result>pass</result>
      </spf>
    </auth_results>
  </record>

报告中的政策记录如下：

  <policy_published>
    <domain>MY-DOMAIN</domain>
    <adkim>r</adkim>
    <aspf>r</aspf>
    <p>quarantine</p>
    <sp>none</sp>
    <pct>100</pct>
    <fo>1:d:s</fo>
  </policy_published>

这看起来像是对齐失败。 DMARC 的目的是验证标头发件人地址 https://explained-from-first-principles.com/email/#domain-based-message-authentication-reporting-and-conformance:

如果消息的域是真实的，则该消息被认为是真实的From地址 [<header_from>] 匹配 SPF 验证的域MAIL FROM地址 [<envelope_from>] 或有效 DKIM 签名的域。

换句话说，SPF 的成功A-DOMAIN_ALLOWED-TO-SEND-MAILS， 但是由于A-DOMAIN_ALLOWED-TO-SEND-MAILS and MY-DOMAIN没有相同的组织域 https://explained-from-first-principles.com/email/#organizational-domain，宽松的 DMARC 对齐失败。看here https://explained-from-first-principles.com/email/#aggregate-reports另一个例子。如果电子邮件是从电子邮件服务提供商 (ESP) https://en.wikipedia.org/wiki/Email_service_provider_(marketing)，你的配置可能没问题。 ESP 在以下位置使用其域<envelope_from>地址以便他们能够处理退回邮件 https://explained-from-first-principles.com/email/#bounce-messages为你。另一方面，如果电子邮件是从您的邮箱提供商 https://en.wikipedia.org/wiki/Mailbox_provider，邮箱提供商应使用MY-DOMAIN in the <envelope_from>地址。