نظرة سريعة. مضيف السجل: _dmarc.yourdomain.com (TXT) · ابدأ بـ: p=none مع عنوان rua · الارتقاء: quarantine ثم reject على مراحل · سجل واحد: سجلان يُبطلان كليهما
الخلاصة المختصرة
- ماذا يفعل DMARC. DMARC اختصار Domain-based Message Authentication, Reporting and Conformance.
- قبل أن تبدأ. ينجح DMARC عندما ينجح SPF أو DKIM ويطابق النطاقُ الذي نجح النطاقَ الموجود في عنوان From، أي يتواءم معه.
- الخطوة 1: انشر سجلًا في وضع المراقبة. DMARC سجل TXT عند _dmarc.yourdomain.com.
- الخطوة 2: اقرأ التقارير المجمّعة. يرسل المستقبِلون تقارير XML يومية إلى عنوان rua.
- مثال تطبيقي على قراءة تقرير. تخيّل أن تقريرًا يعرض ثلاثة مصادر لنطاقك.
- DMARC مع مزوّدي صناديق البريد الشائعين. إذا كان بريد موظفيك يعمل على Google Workspace أو Microsoft 365، فلكل مزوّد خطواته الخاصة لتفعيل توقيع DKIM لنطاقك وقيمة include الخاصة به في SPF.
ماذا يفعل DMARC
DMARC اختصار Domain-based Message Authentication, Reporting and Conformance. وهو يبني على فحصين أقدم. يحدد SPF الخوادم المسموح لها بالإرسال باسم نطاقك، ويضيف DKIM توقيعًا يثبت أن الرسالة لم تُعدَّل. ويضيف DMARC أمرين: قاعدة تحدد ما يجب أن يفعله المستقبِلون عندما لا يتواءم الفحصان كلاهما مع نطاق From الظاهر، ووسيلة يرسل بها المستقبِلون تقارير إليك.
بدون DMARC يستطيع أي شخص وضع نطاقك في سطر From، وليس لدى المستقبِلين أي تعليمات منك حول ما يجب فعله. أما معه فيمكنك رؤية إساءة الاستخدام، وعندما تكون مستعدًا تطلب من المستقبِلين رفضها.
قبل أن تبدأ
ينجح DMARC عندما ينجح SPF أو DKIM ويطابق النطاقُ الذي نجح النطاقَ الموجود في عنوان From، أي يتواءم معه. لذلك يجب أن يكون SPF وDKIM يعملان بالفعل لكل خدمة ترسل باسم نطاقك: خدمة الإرسال لديك، ومزوّد بريد المكتب، وCRM، ومكتب الدعم، وأي أداة فوترة.
أعدّ قائمة بكل واحدة منها. فالمُرسِلون المنسيون هم السبب الأكثر شيوعًا لتعطيل البريد الشرعي عند تطبيق DMARC. تعرض أداة الفحص المجانية لدينا ما هو منشور اليوم.
الخطوة 1: انشر سجلًا في وضع المراقبة
DMARC سجل TXT عند _dmarc.yourdomain.com. ابدأ بالسياسة p=none، وهي تطلب من المستقبِلين عدم اتخاذ أي إجراء مع إرسال التقارير إليك. استبدل العنوان بصندوق بريد تقرؤه فعلًا، أو بخدمة تقارير.
v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.comبعض لوحات DNS تضيف اسم النطاق نيابةً عنك، فتدخل _dmarc فقط كمضيف. وبعضها يحتاج الاسم الكامل. وإذا كانت لوحتك تزيل علامات الاقتباس أو تقسّم القيم الطويلة، فتحقق من النتيجة بأداة استعلام بدلًا من الوثوق بما تعرضه الشاشة.
الخطوة 2: اقرأ التقارير المجمّعة
يرسل المستقبِلون تقارير XML يومية إلى عنوان rua. يسرد كل تقرير عناوين IP التي أرسلت بريدًا يدّعي أنه من نطاقك، وعدد الرسائل، وهل نجح SPF وDKIM وتواءما. من الصعب قراءة XML الخام، لذا يستخدم معظم الفرق عارض تقارير مجانيًا أو مدفوعًا.
ابحث عن أمرين. مُرسِلون شرعيون يفشلون في المواءمة وعليك إصلاحهم، ومصادر لا تعرفها قد تكون انتحالًا. امنح الأمر من أسبوعين إلى أربعة أسابيع حتى تظهر المُرسِلات الشهرية أيضًا، مثل دورات الفوترة.
مثال تطبيقي على قراءة تقرير
تخيّل أن تقريرًا يعرض ثلاثة مصادر لنطاقك. الأول خدمة الإرسال لديك: 40,000 رسالة، نجح SPF وDKIM كلاهما وتواءما. والثاني مزوّد بريد المكتب: 600 رسالة، نجح DKIM وتواءم. والثالث خادم غير مألوف في بلد آخر: 900 رسالة، فشل الفحصان كلاهما.
الأولان لا يحتاجان إلى أي إجراء. أما الثالث فهو إما أداة نسيتها وإما شخص ينتحل هويتك. اعرف أيهما قبل أن تشدد السياسة. فإذا كانت أداة منسية فأصلح مصادقتها. وإذا لم تكن لك فهذه بالضبط الحركة التي صُمم p=reject لإيقافها.
DMARC مع مزوّدي صناديق البريد الشائعين
إذا كان بريد موظفيك يعمل على Google Workspace أو Microsoft 365، فلكل مزوّد خطواته الخاصة لتفعيل توقيع DKIM لنطاقك وقيمة include الخاصة به في SPF. نفّذ ذلك أولًا ثم انشر DMARC. يدير كثير من الشركات الصغيرة في الهند DNS عبر لوحة مسجّل نطاقات مثل GoDaddy أو BigRock أو Hostinger، أو عبر Cloudflare، وسجل TXT يعمل بالطريقة نفسها في كل منها.
أيًّا كانت الجهة، أضف سجل DMARC مرة واحدة فقط، وتحقق منه بالاستعلام بعد بضع دقائق. قد يستغرق انتشار تغييرات DNS وقتًا، وبعض اللوحات تخزّن مؤقتًا لساعات.
الخطوة 3: أصلح ما يفشل
لكل مُرسِل شرعي يفشل، قرّر هل تصلح SPF أو DKIM أو كليهما. فأداة خارجية ترسل من نطاقها الخاص تحتاج إلى توقيع DKIM مخصص لنطاقك. وخادم منسي يحتاج إلى إضافته إلى SPF مع البقاء ضمن حد عشرة استعلامات DNS.
قد يفشل SPF في البريد المُعاد توجيهه لأن خادم الجهة المعيدة للتوجيه غير موجود في سجلك. وغالبًا ما ينجو DKIM من إعادة التوجيه، وهذا سبب وجيه للتأكد من أن كل مُرسِل يوقّع.
الخطوة 4: انتقل إلى quarantine ثم reject
عندما تُظهر التقارير نجاح بريدك الشرعي، شدّد السياسة على مراحل. تطلب p=quarantine من المستقبِلين التعامل مع الرسائل الفاشلة على أنها مشبوهة، وعادةً بوضعها في البريد غير الهام. وتطلب p=reject منهم رفض الرسالة. وتتيح لك علامة pct تطبيق السياسة على جزء من البريد أولًا.
v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc-reports@yourdomain.comانتقل خطوة واحدة في كل مرة وراقب التقارير أسبوعين تقريبًا في كل مرحلة. لا جائزة على بلوغ reject بسرعة، وقد يؤدي تغيير متعجل إلى حظر الفواتير ورسائل إعادة تعيين كلمات المرور.
النطاقات الفرعية وعلامات أخرى
ينطبق سجل DMARC على النطاقات الفرعية أيضًا ما لم تضف علامة sp. وإذا كنت ترسل بريدًا تسويقيًا من نطاق فرعي، فيمكنك نشر سجل منفصل هناك. وتتحكم علامتا adkim وaspf في صرامة المواءمة. فالمواءمة المرنة (relaxed)، وهي الافتراضية، تتيح لنطاق فرعي أن يطابق النطاق التنظيمي. ومعظم المُرسِلين ينبغي أن يتركوا العلامتين كما هما.
قد ترى علامة ruf للتقارير الجنائية. قليل من المستقبِلين يرسلونها، وقد تتضمن محتوى الرسائل، لذلك لا تستخدمها معظم المؤسسات.
أخطاء ينبغي تجنبها
نشر سجلي DMARC على نطاق واحد يُبطل كليهما، فاحتفظ بسجل واحد فقط. لا تقفز إلى p=reject في اليوم الأول. لا توجّه التقارير إلى صندوق بريد لا يقرؤه أحد. ولا تعتبر DMARC حلًّا لقابلية التسليم بمفرده: فهو يثبت من أنت، لا أن بريدك مرغوب فيه. وما زالت جودة القائمة ومعدلات الشكاوى هي التي تحدد وصولك إلى صندوق الوارد.
يتوقع مزوّدو صناديق البريد الكبار الآن أن يعتمد المُرسِلون بالجملة SPF وDKIM وDMARC، لذا يستحق الأمر العناء حتى لو كان حجمك متواضعًا. ويوضح دليلنا عن متطلبات مزوّدي صناديق البريد ما يطلبه كل منهم.
مزيد من القراءة والمصادر
- RFC 7489: DMARC
- RFC 7208: إطار سياسة المُرسِل (SPF)
- RFC 6376: توقيعات DomainKeys Identified Mail (DKIM)
- Google: إرشادات المُرسِلين للبريد الإلكتروني
- Yahoo: أفضل ممارسات المُرسِلين
طبّقه في MigoSMTP: مقالات مركز المساعدة
- اقرأ تقارير DMARC وانتقل إلى p=reject
- نطاقات مسار الارتجاع والتتبع المخصصة
- مصادقة نطاق الإرسال في MigoSMTP: SPF وDKIM وDMARC
أدلة وأدوات ذات صلة
- مولّد سجل DMARC: أنشئ سجلًا يمكنك لصقه في DNS.
- افحص SPF وDKIM وDMARC: اختبر سجلات نطاقك.
- متطلبات مزوّدي صناديق البريد: ما يتوقعه Gmail وOutlook وYahoo.
غير متأكد من صحة سجلاتك؟ استخدم أداة الفحص المجانية، أو أرسل إلينا ترويسة وسنساعدك على قراءتها.
الأسئلة الشائعة
ماذا يفعل DMARC؟
يتيح DMARC لمالك النطاق إخبار الخوادم المستقبِلة بما يجب فعله بالرسائل التي تفشل في مواءمة SPF وDKIM، ويطلب منها إرسال تقارير عن ذلك. وهو يحمي نطاقك من استخدامه في عناوين From مزوّرة.
هل أبدأ بـ p=none؟
نعم. سياسة p=none لا تتخذ أي إجراء بحق الرسائل الفاشلة لكنها تجمع التقارير، فتتمكن من العثور على كل مُرسِل شرعي وإصلاحه قبل الانتقال إلى quarantine ثم reject.
هل يمكنني نشر سجلي DMARC؟
لا. انشر سجل DMARC واحدًا فقط من نوع TXT عند _dmarc.yourdomain. وجود سجلين يجعل السياسة غير صالحة، وقد يتجاهلهما المستقبِلون معًا.
كم من الوقت يلزم قبل أن أنتقل إلى reject؟
يعتمد ذلك على عدد الأنظمة التي ترسل باسم نطاقك. يقضي كثير من الفرق عدة أسابيع في قراءة التقارير وإصلاح المُرسِلين قبل الارتقاء، ويفعلون ذلك على مراحل لا دفعة واحدة.