SPF prüft, von welchem Server eine Nachricht kam. DKIM prüft etwas anderes: ob sie aus Ihrer Domain stammt und ob unterwegs jemand etwas daran geändert hat.
Beim Versand rechnet der Server aus dem Inhalt eine Signatur und hängt sie an. Dafür braucht er einen Schlüssel, den nur er hat; das Gegenstück dazu steht öffentlich im DNS. Der Empfänger rechnet nach und vergleicht.
Das Bild dazu ist ein Siegel auf dem Umschlag. Wer den Brief öffnet und etwas austauscht, bekommt das Siegel nicht unversehrt wieder zu.
Daraus folgt eine Eigenheit, die manchen überrascht: Alles, was eine Nachricht unterwegs verändert, bricht die Signatur — eine automatische Weiterleitung etwa oder ein Werkzeug, das jeder Mail eine Fußzeile anhängt. Das ist kein Fehler von DKIM, sondern genau seine Aufgabe. Die Ursache liegt dann bei dem, was dazwischen steht.