أمثلة على سجل SPF لـ Google Workspace وMicrosoft 365 وخدمة الإرسال لديك

الخلاصة

1. سجل واحد وعدة مرسِلين. إذا كان بريد موظفيك يعمل لدى مزوّد وبريد تطبيقاتك يمر عبر خدمة إرسال، فيجب تفويض الاثنين في سجل SPF نفسه.
2. Google Workspace فقط. توثّق Google القيمة include:_spf.google.com لـ Workspace.
3. Microsoft 365 فقط. توثّق Microsoft القيمة include:spf.protection.outlook.com لـ Exchange Online.
4. Google Workspace مع خدمة إرسال. أضف include الخاص بخدمة الإرسال بجانب include الخاص بـ Google.
5. Microsoft 365 مع خدمة إرسال. تنطبق الفكرة نفسها.
6. إضافة خادمك الخاص بعنوان IP. إذا كنت تشغّل خادمًا يرسل بريدًا، مثل تطبيق ويب أو خادم بريد قديم، فأدرج عنوانه بـ ip4.

سجل واحد وعدة مرسِلين

إذا كان بريد موظفيك يعمل لدى مزوّد وبريد تطبيقاتك يمر عبر خدمة إرسال، فيجب تفويض الاثنين في سجل SPF نفسه. يضيف كل منهما include، وتُبقي v=spf1 واحدة في البداية وall واحدة في النهاية.

تستخدم الأمثلة أدناه قيم include التي تنشرها Google وMicrosoft. يغيّر المزوّدون هذه القيم أحيانًا، لذا تأكد من وثائقهم الحالية قبل النشر.

Google Workspace فقط

توثّق Google القيمة include:_spf.google.com لـ Workspace. النطاق الذي يرسل عبر Google فقط ينشر هذا السجل.

v=spf1 include:_spf.google.com ~all

وهذه أيضًا نقطة البداية الصحيحة إذا كنت تستخدم Gmail مع نطاقك الخاص.

Microsoft 365 فقط

توثّق Microsoft القيمة include:spf.protection.outlook.com لـ Exchange Online. النطاق الذي يرسل عبر Microsoft 365 فقط ينشر هذا.

v=spf1 include:spf.protection.outlook.com ~all

إذا كنت تستخدم المزوّدين معًا أثناء عملية انتقال، فادمجهما كما هو موضح لاحقًا، وأزل القديم عند انتهاء الانتقال.

Google Workspace مع خدمة إرسال

أضف include الخاص بخدمة الإرسال بجانب include الخاص بـ Google. أبقِ سجلًا واحدًا، مع وضع الـ include كليهما قبل الخاتمة.

v=spf1 include:_spf.google.com include:YOUR_SPF_HOST ~all

استبدل YOUR_SPF_HOST بالقيمة الموجودة في لوحة تحكم MigoSMTP، أو بقيمة أي خدمة تستخدمها.

Microsoft 365 مع خدمة إرسال

تنطبق الفكرة نفسها. include اثنان وسجل واحد.

v=spf1 include:spf.protection.outlook.com include:YOUR_SPF_HOST ~all

صادق على خدمة الإرسال بـ DKIM أيضًا، حتى ينجح DMARC بتوقيع DKIM عندما لا يتطابق SPF.

إضافة خادمك الخاص بعنوان IP

إذا كنت تشغّل خادمًا يرسل بريدًا، مثل تطبيق ويب أو خادم بريد قديم، فأدرج عنوانه بـ ip4. ويمكنك إضافة نطاق عناوين بصيغة CIDR.

v=spf1 include:_spf.google.com ip4:203.0.113.10 include:YOUR_SPF_HOST ~all

استخدم فقط العناوين التي تتحكم بها، وأزلها عند إيقاف الخادم.

مزوّدو صناديق البريد الآخرون

ينشر مزوّدون آخرون، مثل Zoho، قيم include الخاصة بهم، وبعضهم لديه قيم مختلفة لمراكز بيانات مختلفة. انسخ دائمًا القيمة من صفحة المساعدة الخاصة بالمزوّد لمنطقتك، وليس من مدونة.

النمط لا يتغير: سجل واحد، وinclude واحد لكل مرسِل، وخاتمة واحدة.

تحقق من عدد عمليات البحث

كل include يُحسب عملية بحث، وقد يحتوي include المزوّد نفسه على includes أخرى. يستخدم سجلا Google وMicrosoft عدة عمليات بحث داخليًا، لذا فإن دمجهما مع بضع خدمات قد يبلغ حد العشر عمليات أسرع مما تتوقع.

تحسب أداتنا المجانية ومعظم أدوات اختبار SPF عمليات البحث نيابةً عنك. وإذا اقتربت من الحد، فاحذف المرسِلين الذين لم تعد تستخدمهم، وفكّر في إرسال أنواع مختلفة من البريد من نطاقات فرعية مختلفة، لكل منها سجله الخاص.

الإرسال من نطاق فرعي

يرسل كثير من الفرق البريد التسويقي أو المعاملاتي من نطاق فرعي مثل mail.yourdomain.com. للنطاق الفرعي سجل SPF خاص به منفصل عن الجذر، مما يُبقي كل سجل قصيرًا ويُبقي الجذر نظيفًا.

تذكّر أن DMARC ينطبق على النطاقات الفرعية أيضًا، فتحقق من التطابق لبريد النطاق الفرعي.

البحث عن سجل من سطر الأوامر

يمكنك قراءة سجل SPF لأي نطاق باستعلام DNS. على Linux وmacOS استخدم dig، وعلى Windows استخدم nslookup. كلاهما يعرض سجلات TXT في الجذر، وسجل SPF يبدأ بـ v=spf1.

dig +short TXT yourdomain.com

إذا رأيت سجلين يبدآن بـ v=spf1 فادمجهما. وإذا لم ترَ أي سجل فانشر واحدًا. أعد تشغيل الاستعلام بعد كل تغيير، لأن لوحة DNS لديك قد تعرض قيمة لم تنتشر بعد.

مثال محسوب لعدد عمليات البحث

افترض أن سجلًا يحتوي على include:_spf.google.com وinclude:YOUR_SPF_HOST وip4:203.0.113.10. الـ ip4 لا يكلّف شيئًا. وكل include يكلّف عملية بحث واحدة، إضافة إلى ما يوجد داخل سجل ذلك المزوّد من عمليات بحث. فالمزوّد الذي يحتوي سجله على ثلاثة includes أخرى يكلّف إذن أربع عمليات في المجموع.

اجمع الإجماليات لكل include. إذا وصلت إلى عشر أو أقل فأنت بخير. وإذا تجاوزت العشر، يفشل SPF للجميع، لذا قلّص المرسِلين أو انقل بعض البريد إلى نطاق فرعي قبل النشر.

تغيير المزوّدين دون انقطاع

عندما تنتقل من خدمة إرسال إلى أخرى، أبقِ include القديم في السجل أثناء إضافة الجديد، وأرسل جزءًا صغيرًا عبر الخدمة الجديدة، ولا تزل include القديم إلا عندما لا ترسل الخدمة القديمة أي شيء.

إزالته مبكرًا جدًا تعني أن أي رسالة لا تزال تمر عبر الخدمة القديمة ستفشل في SPF. وتغطي أدلة الترحيل لدينا أسلوب التداخل نفسه للـ DNS والمفاتيح والقوالب.

عندما لا يكفي SPF

يفحص SPF مرسِل المغلف (envelope sender) فقط ويتعطل عند إعادة التوجيه، لذلك تنظر الجهات المستقبِلة أيضًا في DKIM وDMARC. السجل الذي ينجح في SPF لكن بلا توقيع DKIM ولا سجل DMARC مصادَق عليه جزئيًا فقط.

اضبط الثلاثة. يوضح دليل DMARC لدينا كيف تنشر سجلًا بأمان وتقرأ التقارير.

مراجع ومصادر إضافية

• RFC 7208: إطار سياسة المرسِل (SPF)
• Google Workspace: تعريف سجل SPF الخاص بك
• Microsoft: إعداد SPF للمساعدة في منع انتحال الهوية

طبّقه في MigoSMTP: مقالات مركز المساعدة

• إصلاح permerror في SPF وحد 10 عمليات بحث
• مصادقة نطاق إرسال في MigoSMTP: SPF وDKIM وDMARC
• التحقق من نطاق الإرسال: سجلات DNS والانتشار

أدلة وأدوات ذات صلة

• فاحص سجل SPF: ابحث عن سجل واحسب عمليات بحث DNS فيه.
• مولّد سجل SPF: أنشئ سجلًا من مرسِليك.
• كيف تضبط DMARC: ابدأ بـ p=none وانتقل إلى reject بأمان.