SPF y DKIM pasan por el mensaje de SPAM al usar SES y Google Mail

Desde el encabezado que publicaste, "WEBSITE-DOMAIN.org" es tu dominio, ¿correcto? Si es así, entonces este spammer está falsificando el encabezado de la dirección. Puede evitar que el encabezado falsifique con DMARC .

DMARC confirma que el encabezado del dominio de dirección está "alineado" con el dominio MAIL FROM o el dominio de firma DKIM. "Alineación" significa que los dominios coinciden exactamente (modo estricto) o es un subdominio del encabezado del dominio de dirección (modo relajado).

La implementación de DMARC puede ser un poco complicada dependiendo de su configuración específica, y es fácil bloquear accidentalmente su propio correo electrónico legítimo si no se realiza correctamente. Los detalles variarán, pero aquí está el proceso básico:

1. Crea una lista de todas las fuentes legítimas de correo electrónico de tu dominio. Mencionó SES y GSuite, pero puede haber otros que no conozca (por ejemplo, en shadow IT ).
2. Cree un registro DNS de DMARC, asegurándose de establecer la política en modo de monitoreo ("ninguno")
3. Configure todas las fuentes de correo electrónico legítimas conocidas para usar su dominio / subdominio para la firma DKIM o use su dominio / subdominio para CORREO DESDE (preferiblemente ambos, pero no es necesario), agregando / modificando registros SPF y DKIM según corresponda. La mayoría de los servicios de correo electrónico convencionales se adaptan a esto, incluidos SES y GSuite, pero desafortunadamente algunos todavía no lo hacen.
4. Comenzará a recibir informes DMARC agregados en la dirección de correo electrónico especificada en su registro DMARC. Revíselos durante al menos unas semanas para asegurarse de que no haya pasado por alto una fuente de correo electrónico legítimo de su dominio. También revise los encabezados de los correos electrónicos enviados por su compañía para confirmar que están aprobando DMARC. Verifique los encabezados de tantos servicios de recepción diferentes como sea posible, ya que no todos manejan DMARC de la misma manera (especialmente si se trata de un reenvío automático de correo electrónico)
5. Cuando esté seguro de que todos los correos electrónicos legítimos de su dominio están pasando DMARC, cambie la política DMARC especificada en el registro DNS a "cuarentena" o "rechazar"

Ese parece ser el caso.

Lamentablemente, no sé lo suficiente sobre el correo de Google y SES para decir que si se puede mejorar, me pondré en contacto con el soporte para que ambos lo averigüen. En Office 365 eso ciertamente no es un problema ya que obtiene su propio servicio de Exchange.