L’enregistrement se trouve à _dmarc.example.com, par exemple v=DMARC1; p=reject; rua=mailto:dmarc@example.com; adkim=s. Un message réussit la vérification DMARC lorsque SPF réussit pour un domaine d’enveloppe aligné avec le domaine From, ou lorsqu’une signature DKIM est vérifiée pour un domaine d= aligné. Les politiques p (le domaine), sp (les sous-domaines) et np (les sous-domaines inexistants) prennent la valeur none, quarantine ou reject ; rua et ruf demandent des rapports agrégés et des rapports d’échec, désormais spécifiés dans la RFC 9990 et la RFC 9991.
La RFC 9989 a remplacé la RFC 7489 (2015), de statut informatif, ainsi que l’extension PSD de la RFC 9091, et a placé DMARC sur la voie de la normalisation (standards track). Elle a supprimé les balises pct, rf et ri, ajouté np, psd et t (le mode test, qui demande aux destinataires d’appliquer un niveau de moins que la politique déclarée) et remplacé la Public Suffix List par un parcours de l’arborescence DNS d’au plus huit requêtes pour trouver le domaine organisationnel. Les enregistrements v=DMARC1 existants continuent de fonctionner.
Gmail, Yahoo et Microsoft exigent au moins p=none des expéditeurs en masse, et BIMI exige quarantine ou reject. Le déploiement habituel commence par p=none avec des rapports, se poursuit par la correction de chaque flux légitime et se termine par l’application d’une politique restrictive.