Der Eintrag liegt unter _dmarc.example.com, zum Beispiel v=DMARC1; p=reject; rua=mailto:dmarc@example.com; adkim=s. Eine Nachricht besteht, wenn SPF für eine Envelope-Domain besteht, die zur Domain in From ausgerichtet ist, oder wenn eine DKIM-Signatur für eine ausgerichtete Domain in d= erfolgreich geprüft wird. Die Richtlinien p (die Domain), sp (Subdomains) und np (nicht existierende Subdomains) nehmen none, quarantine oder reject an; rua und ruf fordern Aggregate Reports und Failure Reports an, die inzwischen in RFC 9990 und RFC 9991 spezifiziert sind.
RFC 9989 löste RFC 7489 (2015, Status Informational) und die PSD-Erweiterung RFC 9091 ab und brachte DMARC auf den Standards Track. Entfernt wurden die Tags pct, rf und ri, hinzu kamen np, psd und t (Testmodus: Empfänger sollen eine Stufe milder vorgehen, als die angegebene Richtlinie vorsieht), und statt der Public Suffix List bestimmt nun ein DNS-Tree-Walk mit höchstens acht Abfragen die Organisationsdomain. Bestehende Einträge mit v=DMARC1 funktionieren weiter.
Gmail, Yahoo und Microsoft verlangen von Massenabsendern mindestens p=none, BIMI verlangt quarantine oder reject. Der übliche Weg: zuerst p=none mit Reports, dann jeden legitimen Versandweg korrigieren, danach die Richtlinie durchsetzen.