DMARC ломается не на DNS, а на трёх типовых ошибках в связке SPF/DKIM

DMARC ломается не на DNS, а на трёх типовых ошибках в связке SPF/DKIM

Если письма уходят, но часть доменов начинает резать доставку, первым делом проверь: совпадает ли From с доменом подписи, есть ли выравнивание по DKIM и не собирается ли SPF из трёх разных сервисов в один “мутный” include-спагетти. Сам DMARC не чинит доставку — он только решает, пропускать ли письмо, если аутентификация не совпала.

Чаще всего валятся на этом:
• SPF включили, но письма отправляет ещё и CRM, и транзакционный сервис, и cold-рассылка
• DKIM есть, но подписывает не тот домен или не тот subdomain
• DMARC поставили сразу в p=reject, не проверив, кто реально шлёт с домена

Рабочий порядок такой: сначала собери все источники отправки, потом настрой SPF и DKIM так, чтобы хотя бы один механизм проходил с alignment, затем поставь DMARC в p=none и смотри отчёты. Когда видишь, что лишних отправителей нет, можно двигаться к quarantine, а не прыгать сразу в жёсткий reject.

Если нужен домен для холодного outreach или монетизации базы, DMARC — это не “формальность для IT”, а фильтр от случайного самострела. Сначала инвентаризация отправителей, потом выравнивание, потом политика.