Esta informação foi retirada de Laura em Artigo do Word to Wise . Aqui a declaração dela
A via is presented to the user when you have a DKIM pass and the domain in the d= does not match the domain in the visible from address. In this case the interface shows via the d= domain.
A via is presented to the user when you have a SPF pass, no valid DKIM (either a fail or no signature at all) and the domain in the return path is different than the domain in the visible from address. In this case the interface shows via the SPF domain.
Aqui a tabela que representa a informação
Então, com base nisso, sua conclusão foi verdadeira. Via to
foi adicionado quando o DKIM / SPF passou, mas diferente com From header
.