Sans enregistrement DMARC, n’importe qui peut envoyer un e-mail avec le domaine de l’entreprise dans l’adresse d’expédition. Max conseille de ne jamais commencer par reject : une policy p=none ne change rien à la livraison et fait arriver les rapports agrégés. Une fois les expéditeurs légitimes corrigés, on passe en quarantine par paliers de 25 %, puis en reject. Il rappelle que Microsoft 365 n’envoie pas de rapports forensic et que les domaines onmicrosoft.com inutilisés doivent passer en reject tout de suite.