DMARC 策略怎么从 none 一步步升级到 reject（强制拦截伪造）？

仅收集报告不执行。先确认所有合法发送源（主域、子公司、ESP、CRM）都正确做 SPF/DKIM，通过 aggregate 报告（RUA）看清谁在以你域名发信。

对未通过认证的邮件标脏进垃圾箱。观察 quarantine 后是否误伤合法邮件；用子域策略（sp=）覆盖未明子域。

直接拒收伪造。仅在确认无误伤、关键业务都认证就绪后启用，是防冒充的终极姿态。升级前务必处理第三方发送者认证，否则会误拦自己。