Déployez DMARC en trois phases. Ne sautez jamais directement à p=reject.
Phase 1 : surveiller (semaines 1 à 4)
v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com; fo=1;
Collectez les rapports agrégés. La surveillance DMARC de MailVitals les analyse automatiquement ; sinon, utilisez le parseur de Postmark ou de DMARC.org.
Phase 2 : quarantaine (semaines 5 à 8)
v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@yourdomain.com;
Mettez en quarantaine 25 % du mail en échec. Lisez les rapports pour repérer les expéditeurs inattendus. Le plus souvent, c'est une plateforme marketing à qui il manque SPF/DKIM.
Phase 3 : rejet (semaine 9 et au-delà)
v=DMARC1; p=reject; rua=mailto:dmarc@yourdomain.com; ruf=mailto:dmarc@yourdomain.com;
Une fois les rapports agrégés propres pendant 14 jours, passez à p=reject. Restez-y pour toujours.
Politique des sous-domaines : ajoutez sp=reject pour empêcher les attaquants d'utiliser vos sous-domaines inutilisés.
Connectez-vous pour garder une trace de ce que vous avez lu.