Запись — это TXT-запись по имени _dmarc.вашдомен. Письмо проходит DMARC, если проходит SPF или DKIM и прошедший проверку домен согласован с доменом в видимом заголовке From. Согласование (alignment) и есть суть: оно привязывает технические проверки к адресу, который получатель действительно видит и который имитирует фишинг.
Тег p= задаёт политику: none (только наблюдение), quarantine (считать подозрительным, обычно папка «Спам») или reject. rua= называет ящик для агрегированных отчётов, которые получатели ежедневно присылают в виде XML-сводок о том, кто отправляет почту с вашим доменом. sp= задаёт отдельную политику для поддоменов, а adkim и aspf переключают согласование между мягким (relaxed) и строгим (strict).
Обычный путь: начать с p=none, читать отчёты, пока каждый легитимный отправитель не станет проходить проверку с согласованием, затем перейти на quarantine и наконец на reject. Крупные почтовые сервисы теперь ожидают от массовых отправителей наличия DMARC-записи. Политика reject — это указание получателям, а не гарантия: каждый получатель сам решает, как её применять.
Пример
_dmarc.example.com. 3600 IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s; aspf=r"