A coexistência de SPF e DKIM é especificada em algum lugar (supondo a ausência do DMARC)?
Quero colocar apenas meus próprios IPs no SPF e permitir que terceiros enviem e-mails em nome do meu domínio usando o DKIM.
O que acontece com o e-mail que tem uma assinatura DKIM válida, mas falha na verificação de SPF (SPF FAIL)?
Depende inteiramente de como um determinado destinatário configurou seu servidor de e-mail. O meu recusaria imediatamente por causa da falha do SPF, assumindo que você tem -all no final do seu registro (como você certamente deveria). O servidor de e-mail de outra pessoa pode fazer algo completamente diferente.
SPF e DKIM são dois sistemas completamente separados; você não pode compensar uma falha em uma por uma acomodação na outra.
Você pode controlar o que acontecerá nesse caso com um padrão de e-mail chamado DMARC .
Ele oferece a opção de especificar se você deseja que ambas as verificações sejam reprovadas antes que a mensagem seja marcada como spam. Claro que isso tem que ser suportado pelo servidor de recebimento de email, mas quase todos os principais serviços e a maioria dos softwares MTA o suportam, então é uma aposta segura.