Microsoft 365の場合：SPF v=spf1 include:spf.protection.outlook.com -all を公開し、Defenderポータルでセレクタ selector1 と selector2（CNAMEとして公開）でDKIMを有効化し、_dmarc に p=none から p=reject までのDMARCレコードを追加します。
Microsoftのincludeは spf.protection.outlook.com です。きれいなレコードは v=spf1 include:spf.protection.outlook.com -all。必要なら他の送信者を同じレコードに追加します。
Microsoft Defenderポータル（メールとコラボレーション → ポリシー → メール認証設定 → DKIM）でDKIMを有効化します。Microsoftは2つのローテーションするセレクタ selector1 と selector2 を使い、…_domainkey.<tenant>.onmicrosoft.com を指すCNAMEレコードとして公開します。
_dmarc に v=DMARC1; p=none; rua=mailto:[email protected] を公開し、監視してから適用します。
これは CNAME なので、それに従います。
$ dig CNAME selector1._domainkey.yourdomain.com +short今すぐDMARCレコードを確認
無料のDMARCチェッカーを開く →あなたがDNSを編集せずにMicrosoftが基盤の鍵をローテーションできるようにするためです。Microsoft管理のレコードを指す2つのCNAME（selector1/selector2）を公開します。
Microsoft自身の推奨は、すべての送信者が掲載済みと確信できたら -all（ハードフェイル）です。まだ統合中なら ~all から始めます。
