Как вместе работают SPF, DKIM и DMARC
SPF авторизует отправителя в SMTP-конверте; DKIM подписывает содержимое; DMARC проверяет совпадение с видимым From.
Сценарий атаки
Злоумышленник может указать From: ceo@example.com. Если SPF завершился fail и подходящей DKIM-подписи нет, p=reject предлагает совместимому получателю отклонить письмо.
Легитимный сервис
Легитимный сервис может пройти согласованный SPF или DKIM. Тогда DMARC проходит, даже если другой механизм не прошёл.
Используйте все три
SPF и DKIM дают независимые сигналы. DMARC превращает согласованный результат в правило для видимого домена.