ما هي SPF وDKIM وDMARC؟ شرح بسيط لأصحاب الشركات

SPF وDKIM وDMARC ثلاثة سجلات تضيفها في إعدادات نطاق شركتك، وتثبت للجهات المستقبِلة أن رسائلك صادرة منك فعلاً. يحدد SPF الخوادم المسموح لها بالإرسال باسم نطاقك، ويضع DKIM توقيعاً رقمياً على كل رسالة، ويخبر DMARC المستقبِل بما يفعله إذا وصلته رسالة مزيفة تحمل اسمك. وبدون هذه السجلات الثلاثة تزيد فرص وصول رسائلك إلى مجلد الرسائل غير المرغوب فيها، وتسهل على المحتالين انتحال بريد شركتك.

لماذا يحتاج نطاق شركتك إلى هذه السجلات؟

البريد الإلكتروني صُمّم في الأصل دون آلية للتحقق من هوية المرسل. أي شخص يستطيع تقنياً أن يكتب في خانة المرسل عنواناً مثل accounts@company.com، حتى لو لم يكن يملك هذا النطاق. لهذا يستغل المحتالون أسماء الشركات لإرسال فواتير مزيفة أو طلبات تحويل أموال إلى العملاء والموردين.

تخيل شركة تجارية في القاهرة تتعامل مع عشرات الموردين. إذا وصل أحدهم بريد يبدو أنه من قسم الحسابات يطلب تغيير رقم الحساب البنكي، فكيف يعرف أنه حقيقي؟ هنا تأتي السجلات الثلاثة. وهي تُكتب في إعدادات DNS، وهو النظام الذي يربط اسم النطاق بالخوادم والخدمات، ويمكن تشبيهه بدليل هاتف عام للإنترنت.

ويمكن تبسيط فكرة كل سجل بتشبيه من عالم البريد التقليدي:

SPF يشبه قائمة المندوبين المعتمدين لدى شركتك. أي رسالة يحملها مندوب غير مدرج في القائمة تثير الشك.
DKIM يشبه الختم المختوم على الظرف. إذا وصل الظرف والختم سليم، فالمحتوى لم يُعبث به في الطريق.
DMARC يشبه سياسة مكتوبة تقول للمستلم: إذا وصلك ظرف باسمنا دون مندوب معتمد أو ختم سليم، فافعل كذا.

سجل SPF: قائمة الخوادم المسموح لها بالإرسال

SPF اختصار لعبارة Sender Policy Framework، وهو سجل من نوع TXT، أي سجل نصي يُضاف إلى النطاق. يبدو مثلاً هكذا:

v=spf1 include:amazonses.com ~all

ومعناه ببساطة: هذا سجل SPF، والخوادم التابعة لخدمة Amazon SES مسموح لها بالإرسال باسم النطاق، وأي خادم آخر يُعامل بحذر.

الفرق بين ~all و-all

نهاية السجل تحدد ما يحدث للرسائل القادمة من خوادم غير مدرجة:

~all (فشل مخفف): الرسالة مشبوهة، لكن لا تُرفض مباشرة. يأخذها المستقبِل في الحسبان مع إشارات أخرى.
-all (فشل صارم): الرسالة من خادم غير مصرح له، ويمكن رفضها.

يُفضّل البدء بـ ~all حتى تتأكد أن كل الخدمات التي ترسل باسمك مدرجة في السجل، مثل نظام الفواتير أو موقع الشركة. بعد ذلك يمكن الانتقال إلى -all بثقة.

قاعدة السجل الواحد

يجب أن يكون للنطاق سجل SPF واحد فقط. إذا أضفت سجلين يبدأ كل منهما بـ v=spf1، فقد يعتبر المستقبِل السجل غير صالح، فتفشل رسائلك في الفحص. وهذا خطأ شائع عند الانتقال بين مزودي البريد، إذ يضيف صاحب النطاق سجلاً جديداً وينسى حذف القديم. الحل هو دمج كل الخدمات في سجل واحد يحتوي على أكثر من include.

سجل DKIM: الختم الرقمي على كل رسالة

DKIM اختصار لعبارة DomainKeys Identified Mail. عند إرسال كل رسالة يضيف خادم الإرسال توقيعاً مشفراً في ترويستها، وهي الجزء المخفي الذي يحمل بيانات الرسالة التقنية. وينشر النطاق المفتاح العام في DNS، فيستخدمه المستقبِل للتحقق من التوقيع.

إذا تطابق التوقيع، يعرف المستقبِل أمرين: أن الرسالة صادرة عن جهة يأذن لها النطاق، وأن محتواها لم يتغير بعد الإرسال. وإذا عدّل أحد نص الرسالة أو مرفقاتها في الطريق، يفشل التوقيع.

في بريد مزون يتولى Amazon SES توقيع الرسائل، ويكفي أن تضيف ثلاثة سجلات من نوع CNAME تظهر لك في لوحة التحكم. وسجل CNAME هو سجل يحيل اسماً فرعياً إلى عنوان آخر، فتبقى المفاتيح محدّثة دون تدخل منك.

سجل DMARC: سياسة التعامل مع الرسائل المزيفة

DMARC اختصار لعبارة Domain-based Message Authentication, Reporting and Conformance. يُضاف كسجل TXT على الاسم _dmarc.company.com، ويبدو مثلاً هكذا:

v=DMARC1; p=none; rua=mailto:dmarc@company.com

الجزء p هو السياسة، والجزء rua هو العنوان الذي تصله تقارير دورية من الجهات المستقبِلة، تبين الرسائل التي أُرسلت باسم نطاقك ونتيجة فحصها.

ما معنى المطابقة (Alignment)؟

لا يكفي أن ينجح SPF أو DKIM. يشترط DMARC أن يطابق النطاق الذي نجح في الفحص النطاق الظاهر في خانة المرسل. فإذا ظهر للقارئ أن المرسل company.com، يجب أن يكون التوقيع أو عنوان الإرجاع التقني تابعاً للنطاق نفسه أو لنطاق فرعي منه.

لهذا يضبط بريد مزون عنوان إرجاع مخصصاً على نطاق فرعي مثل bounce.company.com، فيتطابق SPF مع نطاقك الأساسي بدل أن يظهر نطاق المزود.

خطة التدرج: من none إلى reject

p=none: مرحلة المراقبة. لا يتغير شيء في التسليم، لكن تصلك التقارير. ابدأ بها لمدة أسابيع.
p=quarantine: الرسائل التي تفشل تذهب إلى مجلد الرسائل غير المرغوب فيها. انتقل إليها بعد أن تتأكد من التقارير أن رسائلك الحقيقية كلها تنجح.
p=reject: الرسائل التي تفشل تُرفض تماماً. هذه أقوى حماية من انتحال اسم شركتك.

القفز مباشرة إلى reject قد يحجب رسائل حقيقية من خدمة نسيت إضافتها، لذلك التدرج أسلم.

مقارنة سريعة بين السجلات الثلاثة

السجل	التشبيه	نوع سجل DNS	السؤال الذي يجيب عنه
SPF	قائمة المندوبين المعتمدين	TXT على النطاق	هل الخادم المرسل مسموح له؟
DKIM	الختم على الظرف	CNAME أو TXT	هل الرسالة سليمة وموقعة من النطاق؟
DMARC	سياسة التعامل مع المزيف	TXT على `_dmarc`	ماذا نفعل إذا فشل الفحص؟

لماذا أصبحت Gmail وYahoo تهتمان بها منذ 2024؟

منذ 2024 بدأت Gmail وYahoo تشترطان على الجهات التي ترسل كميات كبيرة من الرسائل أن تضبط SPF وDKIM وDMARC، وأصبحتا أكثر تشدداً مع الرسائل غير الموثقة عموماً. ومع أن شركتك قد لا ترسل رسائل جماعية، فإن هذا التوجه رفع المعيار للجميع. الرسالة التي تفتقد هذه السجلات صارت أقرب إلى الرفض أو إلى مجلد الرسائل غير المرغوب فيها.

إذا كانت رسائلك تختفي عند العملاء، فاقرأ أيضاً مقالنا عن أسباب وصول رسائل الشركة إلى مجلد السبام. وهذه السجلات جزء أساسي من حماية شركتك من رسائل التصيد.

كيف تتحقق من سجلات نطاقك؟

افحص ترويسة رسالة مستلمة: أرسل رسالة من بريد شركتك إلى حساب Gmail، ثم افتح خيار عرض الرسالة الأصلية (Show original). ستجد نتائج مثل SPF: PASS وDKIM: PASS وDMARC: PASS.
استعلم عن السجلات مباشرة: من جهاز الكمبيوتر يمكنك كتابة الأمر nslookup -type=txt company.com لرؤية سجل SPF، وnslookup -type=txt _dmarc.company.com لرؤية سجل DMARC.
تأكد من عدم وجود سجل SPF مكرر: إذا ظهر أكثر من سطر يبدأ بـ v=spf1، فادمجهما في سجل واحد.
راجع تقارير DMARC: التقارير التي تصل إلى عنوان rua تكشف أي خدمة ترسل باسمك دون إعداد صحيح.

في بريد مزون تظهر لك سجلات SPF وDKIM وDMARC وعنوان الإرجاع المخصص جاهزة في لوحة التحكم. تنسخها إلى مزود النطاق، سواء كان Cloudflare أو غيره، ثم تفحصها المنصة تلقائياً وتبين لك حالة كل سجل. ويمكنك الاطلاع على الباقات في صفحة الأسعار.

أسئلة شائعة

هل أحتاج إلى السجلات الثلاثة أم يكفي واحد منها؟

تحتاج إليها معاً. SPF وDKIM يثبتان مصدر الرسالة وسلامتها، وDMARC يربطهما بنطاقك الظاهر ويحدد ما يحدث عند الفشل. غياب أي منها يضعف الحماية ويؤثر في وصول الرسائل.

هل يمكن أن يكون لنطاقي سجلا SPF إذا استخدمت خدمتين للإرسال؟

لا. يجب أن يكون هناك سجل SPF واحد فقط، يحتوي على include لكل خدمة ترسل باسمك. السجلان المنفصلان يجعلان الفحص يفشل.

هل يؤثر ضبط DMARC على `reject` في رسائلي الحقيقية؟

قد يؤثر إذا كانت هناك خدمة ترسل باسمك دون إعداد SPF أو DKIM صحيح. لذلك ابدأ بـ p=none وراجع التقارير، ثم انتقل تدريجياً إلى quarantine ثم reject.

كم يستغرق ظهور السجلات بعد إضافتها؟

يعتمد ذلك على قيمة TTL، وهي المدة التي تحتفظ فيها الخوادم بنسخة مؤقتة من السجل. غالباً تظهر التغييرات خلال دقائق إلى ساعات قليلة، وقد تستغرق أحياناً وقتاً أطول.

جرّب بريد مزون: بريد رسمي على نطاق شركتك مع SPF وDKIM وDMARC مضبوطة وتفحصها المنصة تلقائياً، حتى تصل رسائلك إلى عملائك بثقة. ابدأ الآن أو تحدث معنا عبر واتساب.