DKIM وSPF وDMARC: دليل إعداد كامل

الخلاصة

1. لماذا ثلاثة سجلات. يجيب كل من SPF وDKIM وDMARC عن سؤال مختلف.
2. SPF: حدّد من يحق له الإرسال. SPF سجل TXT على نطاقك يسرد الخوادم المسموح لها بإرسال بريده.
3. DKIM: وقّع كل رسالة. يضيف DKIM توقيعاً تشفيرياً إلى كل رسالة.
4. DMARC: حدّد السياسة. يربط DMARC السجلين الآخرين معاً.
5. التوافق بكلمات بسيطة. يجتاز DMARC حين يجتاز SPF أو DKIM ويطابق النطاق الذي فُحص النطاق الموجود في عنوان From.
6. تحقق وراقب. أرسل رسالة اختبار إلى صندوق بريد تملكه واقرأ نتائج المصادقة في ترويسات النسخة المستلمة.

لماذا ثلاثة سجلات

يجيب كل من SPF وDKIM وDMARC عن سؤال مختلف. يسأل SPF: هل الخادم المرسِل مسموح له بالإرسال باسم النطاق؟ ويسأل DKIM: هل وُقّعت الرسالة من النطاق ولم تتغير في الطريق؟ ويسأل DMARC: ماذا ينبغي للمستقبِل أن يفعل حين تفشل هذه الفحوص، ثم يخبرك بذلك.

صار مزوّدو صناديق البريد يتوقعون الثلاثة معاً، خصوصاً من المرسِلين ذوي الأحجام الكبيرة. كما أن نشرها يحمي نطاقك من التزوير في محاولات التصيّد.

SPF: حدّد من يحق له الإرسال

SPF سجل TXT على نطاقك يسرد الخوادم المسموح لها بإرسال بريده. انشر سجل SPF واحداً لكل نطاق وضمّنه القيمة الظاهرة في لوحة MigoSMTP. تُشير النهاية ~all إلى أن المرسِلين الآخرين مشبوهون؛ وينتقل بعض الفرق لاحقاً إلى -all حين يتأكدون من إدراج كل مرسِل مشروع.

v=spf1 include:YOUR_SPF_HOST ~all

أبقِ السجل دون عشرة استعلامات DNS. يُحتسب كل include ضمن الحد، فأزل المزوّدين الذين لم تعد تستخدمهم. ووجود سجلَّي SPF منفصلين على نطاق واحد خطأ ويتسبب في فشل SPF.

DKIM: وقّع كل رسالة

يضيف DKIM توقيعاً تشفيرياً إلى كل رسالة. يتحقق المستقبِل منه مقابل مفتاح عام تنشره في DNS تحت اسم محدِّد (selector). يزودك MigoSMTP بالسجلات الدقيقة لإضافتها، وهي عادةً سجل CNAME أو TXT واحد أو أكثر.

SELECTOR._domainkey.example.com  CNAME  YOUR_DKIM_TARGET

أضف السجلات تماماً كما تظهر في لوحتك، ثم تحقق. استخدم محدِّداً منفصلاً لكل خدمة إرسال حتى تتمكن من تدوير إحداها أو إزالتها دون المساس بالأخرى.

DMARC: حدّد السياسة

يربط DMARC السجلين الآخرين معاً. فهو يخبر المستقبِلين بما يفعلونه حين تفشل رسالة في توافق SPF وDKIM كليهما مع نطاق From الظاهر لديك، وإلى أين يرسلون التقارير عن ذلك.

_dmarc.example.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

ابدأ عند p=none مع تفعيل التقارير، واقرأ التقارير لاكتشاف كل مرسِل مشروع، وسدّ الثغرات، ثم انتقل إلى quarantine وأخيراً reject. فالانتقال مباشرة إلى reject قد يحجب بريدك المشروع.

التوافق بكلمات بسيطة

يجتاز DMARC حين يجتاز SPF أو DKIM ويطابق النطاق الذي فُحص النطاق الموجود في عنوان From. وبالنسبة إلى DKIM، هو النطاق الموجود في التوقيع. أما بالنسبة إلى SPF، فهو نطاق مرسِل المظروف (envelope sender)، لا عنوان From.

ولهذا فإن الإرسال من نطاقك الخاص، مع توقيع DKIM لذلك النطاق، أكثر متانة من الاعتماد على نطاق مشترك. وإذا فشلت فحوص DMARC رغم اجتياز SPF وDKIM، فالتوافق هو السبب المعتاد.

التحقق والمراقبة

أرسل رسالة اختبار إلى صندوق بريد تملكه واقرأ نتائج المصادقة في ترويسات النسخة المستلمة. ينبغي أن ترى spf=pass وdkim=pass وdmarc=pass. ويمكنك أيضاً الاستعلام عن سجلاتك مباشرة.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short CNAME SELECTOR._domainkey.example.com

واصل المراقبة. فتغييرات DNS التي تُجرى لأدوات أخرى قد تكسر سجلاتك دون إنذار، وتظهر مرسِلات جديدة مع الوقت. راجع تقارير DMARC بانتظام.

أخطاء شائعة

نشر سجلَّي SPF، وتجاوز عشرة استعلامات DNS، وإضافة سجل DMARC على اسم المضيف الخطأ، وترك مزوّد DNS يقسّم قيم TXT الطويلة أو يغيّرها، ونسيان النطاقات الفرعية التي ترسل بريداً أيضاً.

إذا فشل التحقق، فشغّل أداة فحص المصادقة على النطاق لترى ما يراه بقية الإنترنت، وانتظر حتى تنتشر تغييرات DNS قبل أن تعيد المحاولة.

مزيد من القراءة والمصادر

• RFC 7208: إطار سياسة المرسِل (SPF)
• RFC 6376: توقيعات DomainKeys Identified Mail ‏(DKIM)
• RFC 7489: DMARC
• Google: إرشادات مرسِلي البريد

نفّذها في MigoSMTP: مقالات مركز المساعدة

• توثيق نطاق إرسال في MigoSMTP: SPF وDKIM وDMARC
• تدوير مفاتيح DKIM والمحدِّدات وطول المفتاح
• التحقق من نطاق الإرسال: سجلات DNS والانتشار

أدلة وأدوات ذات صلة

• دليل الإحماء: ارفع حجم عنوان IP جديد بأمان.
• دليل مزوّدي صناديق البريد: ما الذي يفحصه كل مزوّد.
• مولّد DMARC: أنشئ سجلك.