如何在 Microsoft 365 中发布并逐步收紧 DMARC 策略？

建议先把发件域的 DMARC 记录设为 p=none 并附 rua= 报告邮箱，观察微软与对端汇总的认证报告，确认合法流量均能通过 SPF/DKIM 对齐。

确认无误后依次推进到 p=quarantine（可疑邮件进垃圾箱/隔离）再到 p=reject（直接拒收伪造邮件）。收紧过程应分阶段，避免误伤合法转发或第三方代发。

即使发件域尚未发布 DMARC，EOP 也提供基于目录的欺骗防护（防组织内显示的假冒）；但要让全网接收方都执行拒绝，仍需你自己在 DNS 发布 DMARC 策略并逐步收紧。