Pues bien, resulta que hay un protocolo llamado DMARC (Autenticación de Mensajes Basada en Dominios, Informes y Conformidad por sus siglas en inglés) que define qué debe hacer una destinataria cuando recibe un correo supuestamente tuyo pero que falló tanto el SPF como el DKIM.
Y los grandes proveedores se han aliado para obligar a que todo el mundo tenga una política DMARC activa ⚠️