SPF und DKIM liefern je ein Prüfergebnis, mehr nicht. DMARC ergänzt das Fehlende: die Ansage an den Empfänger, was er mit einer Nachricht tun soll, die durchfällt — und die Bedingung, dass der sichtbare Absender zu der geprüften Domain passt.
Drei Stufen stehen zur Wahl: nichts tun und nur berichten, in den Spam-Ordner legen, oder gar nicht erst annehmen.
Der eigentliche Gewinn sind die Berichte. Sie zeigen, wer im Namen Ihrer Domain versendet — die eigenen Systeme, die vergessenen und die fremden. Viele Betriebe finden dabei zuerst einen Dienst, von dem niemand mehr wusste, dass er noch Post verschickt.
Deshalb fängt man nicht mit der schärfsten Stufe an. Erst berichten lassen, dann nachtragen, was fehlt, dann verschärfen. Wer sofort auf Ablehnen stellt, sperrt im Zweifel die eigene Buchhaltung aus.