DMARC ломают не «из-за DNS», а из-за кривой политики и отсутствия alignment

DMARC работает только когда SPF или DKIM совпадают с доменом в From. Если письмо уходит с одного домена, а подпись стоит от другого — отчёт есть, защиты нет. Для арбитража это особенно больно: сабдомен для трекинга, отдельный SMTP, чужой рендер-сервис — и уже половина потока не проходит проверку.

Базовый порядок такой:
— сначала ставим SPF на все легитимные отправители;
— потом включаем DKIM с одним стабильным селектором;
— только после этого поднимаем DMARC с p=none и собираем отчёты;
— когда видите, что легитимный трафик проходит, переходите на quarantine, потом на reject.

Три типовые ошибки:
— в SPF слишком много include, запись упирается в лимит и начинает сыпаться;
— DKIM подписывает не тот домен или рвётся после прокси/редиректа;
— DMARC сразу ставят в reject, а потом ловят пропажу писем в Gmail и Outlook. 📩

Если у вас несколько ESP, держите для каждого понятный набор: свой Return-Path, свой DKIM, свой трекинг-домен. И отдельно проверяйте, чтобы бренд-домен и домен отправки не расходились на уровне выравнивания.

Рабочая схема простая: сначала visibility, потом enforcement. Сначала убедитесь, что вся легитимка проходит SPF/DKIM alignment, и только после этого ужесточайте политику.