DMARC p=none: как безопасно перейти на quarantine и reject

Что не так

p=none — режим наблюдения: получатели присылают отчёты, но письма с подделанным From доставляются как обычно. Gmail и Yahoo требуют DMARC от массовых отправителей, но защиту даёт только quarantine или reject.

План перехода

1. Включите отчёты, если их нет: rua=mailto:dmarc@example.com. Без них вы не узнаете, кто шлёт от вашего имени.
2. 2–4 недели читайте отчёты. Найдите все легитимные источники (почта, CRM, рассылки, тикет-система) и убедитесь, что у каждого проходит SPF или DKIM с выравниванием по домену From.
3. Поэтапно ужесточайте:

_dmarc.example.com. TXT "v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@example.com"
; через неделю без проблем — pct=100, затем:
_dmarc.example.com. TXT "v=DMARC1; p=reject; rua=mailto:dmarc@example.com"

4. Поддомены наследуют политику; если на них нет почты — добавьте sp=reject.

Частые ошибки

• Включить reject, не проверив сторонние сервисы, — отвалится, например, почта из CRM.
• Пересылка (форвардинг) ломает SPF; поэтому важно, чтобы у всех источников был DKIM.

Проверка — Email DNS Checker, блок DMARC.