Qué significa "Received-SPF: softfail" (y por qué el correo aún cae en spam)

Esto se ve en los encabezados y no en un rebote:

Received-SPF: softfail (domain of example.com does not
  designate 203.0.113.9 as permitted sender)

El softfail proviene de un ~all al final de tu registro SPF. Significa "este origen no está en la lista, pero no lo rechaces": los receptores aceptan el correo pero lo inclinan hacia el spam, y DMARC considerará que SPF no está alineado ni valida.

Por qué ocurre

Un origen de envío (un ESP nuevo, un servicio de soporte, una herramienta de facturación, un servidor que cambió de IP) no está incluido en tu registro SPF. El mensaje sale, el receptor verifica SPF, encuentra que la IP no está y aplica el calificador softfail.

Diagnostícalo

Ejecuta la verificación de SPF de abajo: expande cada include: y muestra el conjunto aplanado de remitentes autorizados y el total de consultas DNS. Compara la IP de envío del encabezado con ese conjunto: si falta, ese es el culpable.

Corrígelo

1. Agrega el origen que falta con su include: publicado (preferible) o un rango ip4:/ip6:.

2. Mantén el registro por debajo de 10 consultas DNS; aplana los include si estás cerca del límite.

3. Cuando todos los orígenes legítimos validen, endurece ~all a -all para rechazar a los suplantadores.

4. Recuerda que SPF se rompe con los reenvíos: combínalo con DKIM alineado para que DMARC siga validando.