شرح SPF وDKIM وDMARC: لماذا تُرفض رسائل البريد الإلكتروني

ثلاث آليات بمسؤوليات مختلفة

ينشر SPF الأنظمة المسموح لها بالإرسال نيابةً عن نطاق، ويُفحص مقابل نطاق Envelope-From التقني. يضيف DKIM توقيعاً تشفيرياً يُنشر مفتاحه العام في DNS. يربط DMARC المصادقة بنطاق From الظاهر، وينشر سياسة مطلوبة للتعامل مع الإخفاقات.

تجتاز الرسالة DMARC عندما ينجح SPF أو DKIM على الأقل ويتحاذى النطاق المصادَق عليه مع نطاق المرسل الظاهر. تمنع المحاذاة المهاجم من استخدام مرسل ظاهر غير ذي صلة لمجرد تحكمه في نطاق إرسال آخر اجتاز المصادقة.

قراءة سجلات DNS التوضيحية التالية

توضح سجلات example.com هذه الصياغة، وليست إعدادات تُنسخ دون تفكير. مفتاح DKIM المختصر ليس مفتاحاً صالحاً للعمل. يجب أن تتطابق السجلات الفعلية مع الخدمات والمفاتيح المصرح بها للنطاق.

• SPF: example.com. IN TXT "v=spf1 ip4:192.0.2.10 include:_spf.google.com ~all"
• DKIM: default._domainkey.example.com. IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."
• DMARC: _dmarc.example.com. IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"
• تطلب p=none المراقبة دون سياسة حجر أو رفض مستندة إلى DMARC؛ وتطلب p=quarantine التعامل مع الرسالة بوصفها مشبوهة؛ وتطلب p=reject الرفض.

لا تضبطوا reject دون فحص المرسلين

يبدأ التطبيق المنضبط عادةً بإعداد p=none وصندوق بريد للتقارير. تكشف التقارير المصادر المشروعة وأنظمة النشرات البريدية المنسية وإساءة الاستخدام. صحّحوا المصادر وإعداد DKIM، ثم طبّقوا quarantine أو reject تدريجياً، بما في ذلك نسبة محدودة عند الاقتضاء. لا تشدّدوا السياسة إلا بعد تحقق محاذاة موثوقة للرسائل المشروعة.

انشروا سجل SPF واحداً لكل نطاق والتزموا بحد عمليات استعلام DNS. سلاسل include الطويلة خطر تشغيلي. استخدموا مفاتيح DKIM قوية بما يكفي وخطّطوا لتدويرها. تحتاج النطاقات الفرعية وإعادة التوجيه والمرسلون الخارجيون إلى تصميم مدروس، لا تغييرات DNS منفصلة. تعدد سجلات SPF وعبارات include الخاطئة وغياب المحاذاة أخطاء شائعة.

تدعم المصادقة الثقة، لكنها ليست مرشحاً للبريد المزعج

تعزز SPF وDKIM وDMARC أساس ثقة المستلم. تعمل المصادقة إلى جانب أنماط إرسال متسقة وقوائم محدّثة ومعدلات شكاوى منخفضة. اجتياز الفحوص لا يضمن الوصول إلى صندوق الوارد، بينما قد يعطّل الإعداد الخاطئ البريد المشروع بشدة.

راقبوا تغييرات DNS وتوقيعات DKIM وتقارير DMARC. ينبغي ألا تدخل خدمة إرسال جديدة التشغيل الفعلي إلا بعد اختبار نطاق المرسل وReturn-Path وDKIM والرسائل المرتدة. التوقيع غير الصحيح أو الغائب يتطلب تحقيقاً في سياقه، بدلاً من افتراض أن كل رسالة دون DKIM قد عُدّلت بالضرورة.