Implante o DMARC em três fases. Nunca pule direto para p=reject.
Fase 1: monitorar (semanas 1 a 4)
v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com; fo=1;
Colete os relatórios agregados. O monitoramento de DMARC do MailVitals os interpreta automaticamente; caso contrário, use o parser do Postmark ou do DMARC.org.
Fase 2: quarentena (semanas 5 a 8)
v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@yourdomain.com;
Coloque em quarentena 25% dos e-mails que falham. Leia os relatórios em busca de remetentes inesperados. Normalmente é uma plataforma de marketing que precisa de SPF/DKIM configurados.
Fase 3: rejeitar (semana 9 em diante)
v=DMARC1; p=reject; rua=mailto:dmarc@yourdomain.com; ruf=mailto:dmarc@yourdomain.com;
Quando os relatórios agregados estiverem limpos por 14 dias, passe para p=reject. E fique nele para sempre.
Política de subdomínios: adicione sp=reject para impedir que atacantes usem subdomínios não utilizados.
Entre para acompanhar o que você já leu.