DMARC
Uma política que diz aos servidores de destino o que fazer quando as verificações SPF e DKIM falham.
O DMARC une o SPF e o DKIM. É um registro DNS que define o que deve acontecer com mensagens que dizem vir do seu domínio e não passam em nenhuma das duas verificações: deixar passar, mandar para o spam ou rejeitar de vez.
Ele também pede aos servidores de destino que enviem relatórios para você. É assim que você descobre que algo está enviando e-mails em nome do seu domínio: um serviço esquecido ou alguém se passando por você.
O caminho habitual é publicar primeiro uma política só de monitoramento, ler os relatórios até reconhecer todos os remetentes legítimos e só então deixá-la mais rígida.