Come si imposta DMARC senza rompere la posta?

Il DMARC rotto non perde attacchi: perde fatture e newsletter legittime. La via sicura è graduale:

• fase 1: osserva (p=none + rua=mailto:...): nessun effetto sulla posta, ma i report aggregati ti mostrano chi spedisce col tuo dominio, e scopri sempre mittenti dimenticati: il CRM, il gestionale, il modulo del sito. Qualche settimana, con un servizio che renda leggibili gli XML
• fase 2: allinea i legittimi: ogni mittente vero va messo in regola su SPF e DKIM (i servizi seri hanno la pagina "authenticated domain" apposta). Attento al limite dei 10 lookup DNS di SPF: gli include si accumulano e oltre il limite SPF fallisce in silenzio
• fase 3: stringi a tappe: p=quarantine magari con pct=25 a salire, poi p=reject quando i report sono puliti da settimane

Da lì: i report restano accesi (le anomalie nuove si vedono lì) e il monitoraggio continuo verifica che nessuno tocchi i record. Il premio finale: niente più spoofing del tuo dominio, e reputazione che sale.