شرح سجلات SPF DKIM DMARC لمنع تصنيف رسائل البريد موقعك كرسائل مزعجة (Spam)
قد ترسل رسائل موقعك بصورة طبيعية، مثل رسائل تأكيد التسجيل أو إعادة تعيين كلمة المرور أو إشعارات الطلبات، ثم تكتشف أنها تصل إلى مجلد الرسائل المزعجة أو تُرفض لدى بعض مزودي البريد. من أهم الخطوات التقنية لتحسين موثوقية البريد ضبط سجلات SPF وDKIM وDMARC في DNS بصورة صحيحة.
في هذا الدليل نشرح سجلات SPF وDKIM وDMARC، ودور كل سجل في مصادقة البريد الإلكتروني، وكيف تعمل معاً للحد من انتحال نطاق موقعك وتحسين قابلية تسليم الرسائل. كما نوضح الأخطاء الشائعة وخطة تطبيق تدريجية دون الادعاء بأن هذه السجلات وحدها تضمن وصول كل رسالة إلى صندوق الوارد.
لماذا تصل رسائل الموقع إلى Spam؟
تصنيف البريد لا يعتمد على عامل واحد. مزودو البريد يقيّمون مجموعة كبيرة من الإشارات، منها سمعة النطاق وعنوان IP، ومصادقة الرسالة، ومحتواها، وسلوك الإرسال، وشكاوى المستخدمين، ومعدل الرسائل المرتدة، وتفاعل المستلمين.
لذلك يعد SPF وDKIM وDMARC أساساً مهماً لمصادقة البريد، لكنه جزء من منظومة أوسع لتحسين قابلية التسليم.
ما المقصود بمصادقة البريد الإلكتروني؟
مصادقة البريد تساعد الخادم المستلم على التحقق من معلومات مرتبطة بمصدر الرسالة والنطاق الذي يظهر فيها. والهدف هو جعل انتحال النطاق أكثر صعوبة وتوفير إشارات موثوقة تساعد مزودي البريد على تقييم الرسائل.
تؤدي SPF وDKIM وDMARC وظائف متكاملة لكنها ليست متطابقة، ولذلك يُنصح بفهم كل واحدة قبل تعديل DNS.
ما هو سجل SPF؟
SPF اختصار لـ Sender Policy Framework. يسمح لمالك النطاق بنشر سياسة في DNS تحدد خوادم أو مصادر البريد المصرح لها بالإرسال نيابةً عن النطاق المستخدم في مسار SMTP ذي الصلة بـ SPF.
عندما يستقبل خادم البريد رسالة، يمكنه التحقق مما إذا كان مصدر الإرسال مسموحاً به وفق سياسة SPF المنشورة.
كيف يبدو سجل SPF؟
يُنشر SPF عادةً كسجل TXT. مثال توضيحي مبسط:
v=spf1 include:mail-provider.example -allهذا المثال ليس إعداداً جاهزاً للاستخدام. يجب أن تحصل على قيمة SPF الصحيحة من مزود البريد الذي تستخدمه، لأن نسخ قيمة عشوائية قد يؤدي إلى فشل مصادقة الرسائل الشرعية.
ما معنى v=spf1؟
يشير v=spf1 إلى إصدار SPF المستخدم في السجل. يبدأ سجل SPF الصحيح عادةً بهذه القيمة، ثم تأتي الآليات التي تحدد مصادر الإرسال والسياسة النهائية.
ما معنى include في SPF؟
تسمح آلية include بالرجوع إلى سياسة SPF لنطاق آخر وفق قواعد SPF. يستخدمها مزودو البريد عندما تحتاج إلى السماح لبنيتهم التحتية بإرسال رسائل باسم نطاقك.
لا تضف include لمزود لا تستخدمه، لأن كل إضافة توسع قائمة المصادر التي قد تعتبر مصرحاً لها وتزيد تعقيد السجل.
ما الفرق بين -all و~all؟
تظهر في نهاية سياسات SPF آليات تحدد كيفية التعامل المنطقي مع المصادر التي لم تطابق القواعد السابقة. -all يعبر عن فشل صريح، بينما ~all يعبر عن SoftFail.
لا تغيّر السياسة إلى إعداد أكثر تشدداً قبل التأكد من إدراج جميع خدمات الإرسال الشرعية، وإلا قد تتأثر رسائل حقيقية.
خطأ شائع: إنشاء أكثر من سجل SPF
إذا كنت تستخدم أكثر من خدمة إرسال، لا ينبغي عادةً إنشاء عدة سجلات SPF مستقلة للنطاق نفسه على أمل أن يجمعها المستلم تلقائياً. يجب بناء سياسة SPF واحدة صحيحة تتضمن مصادر الإرسال المطلوبة وفق مواصفات البروتوكول وتعليمات المزودين.
وجود إعداد SPF غير صالح قد يؤدي إلى نتائج مصادقة غير متوقعة.
حد استعلامات DNS في SPF
تفرض مواصفات SPF حدوداً على عدد عمليات البحث في DNS الناتجة عن بعض آليات التقييم. قد يؤدي تكديس عدد كبير من خدمات include والآليات الأخرى إلى تجاوز الحد وظهور PermError.
إذا كان نطاقك يستخدم عدداً كبيراً من منصات الإرسال، راجع بنية SPF بعناية بدلاً من إضافة كل خدمة بلا تخطيط.
ما هو DKIM؟
DKIM اختصار لـ DomainKeys Identified Mail. يعتمد على توقيع تشفيري يضيفه خادم الإرسال إلى الرسالة باستخدام مفتاح خاص، بينما يُنشر المفتاح العام المقابل في DNS.
يستطيع الخادم المستلم استخدام المفتاح العام للتحقق من أن التوقيع صالح وأن الأجزاء المشمولة بالتوقيع لم تتغير بطريقة تجعل التوقيع غير صالح.
هل المفتاح الخاص لـ DKIM يوضع في DNS؟
لا. الذي يُنشر في DNS هو المفتاح العام. أما المفتاح الخاص فيجب أن يبقى محمياً لدى نظام الإرسال أو مزود البريد.
نشر مفتاح DKIM الخاص أو تسريبه يضر بأمان التوقيع ويحتاج إلى تدوير المفتاح وفق إجراءات المزود.
ما هو DKIM Selector؟
يستخدم DKIM ما يسمى Selector لتحديد سجل المفتاح المطلوب داخل DNS. يسمح ذلك باستخدام أكثر من مفتاح وتدوير المفاتيح دون الحاجة إلى تغيير النطاق الرئيسي.
قد يعطيك مزود البريد اسماً شبيهاً بـ:
selector1._domainkey.example.comوالقيمة الفعلية تختلف حسب المزود والمفتاح الذي أنشأه.
كيف يبدو سجل DKIM؟
قد يُنشر كسجل TXT يحتوي على بيانات المفتاح العام، أو يطلب بعض المزودين إنشاء CNAME يشير إلى سجل تديره خدمتهم. اتبع التعليمات التي يقدمها مزود البريد تحديداً.
لا تنسخ مفتاح DKIM من نطاق آخر، فكل إعداد يجب أن يرتبط بالنطاق والخدمة والمفتاح الصحيح.
ما هو DMARC؟
DMARC اختصار لـ Domain-based Message Authentication, Reporting and Conformance. يبني على نتائج SPF وDKIM ويضيف مفهوم Alignment بين النطاق الظاهر للمستخدم في From والنطاقات المستخدمة في المصادقة.
كما يسمح لمالك النطاق بنشر سياسة توضح للمستلمين كيفية التعامل مع الرسائل التي تفشل في متطلبات DMARC، ويوفر آلية لتلقي تقارير تساعد على مراقبة مصادر الإرسال.
ما المقصود بـ Alignment في DMARC؟
نجاح SPF أو DKIM تقنياً لا يكفي وحده دائماً لنجاح DMARC. يجب أن يتحقق توافق مناسب بين نطاق From المرئي وبين النطاق الذي نجح عبر SPF أو DKIM وفق قواعد DMARC ووضع المحاذاة المستخدم.
هذه النقطة مهمة خصوصاً عند استخدام خدمات بريد وتسويق خارجية، لأنها قد تمرر SPF أو DKIM باستخدام نطاقات مختلفة ما لم يتم إعداد النطاق المخصص بصورة صحيحة.
كيف يبدو سجل DMARC؟
يُنشر DMARC عادةً كسجل TXT تحت:
_dmarc.example.comمثال مراقبة مبسط:
v=DMARC1; p=none; rua=mailto:dmarc@example.comهذا مثال تعليمي فقط. استخدم عنواناً مخصصاً يمكنه استقبال التقارير، وراجع متطلبات الخصوصية والحجم قبل تفعيل التقارير على نطاق ذي حجم إرسال كبير.
ما معنى p=none؟
سياسة p=none تستخدم عادةً للمراقبة، إذ تطلب تطبيق DMARC دون طلب عزل أو رفض الرسائل الفاشلة بناءً على السياسة.
هذه نقطة بداية مفيدة عند تطبيق DMARC لأول مرة لأنها تسمح بجمع بيانات عن مصادر الإرسال قبل الانتقال إلى سياسة أكثر تشدداً.
ما معنى p=quarantine؟
تطلب p=quarantine من المستلمين التعامل مع الرسائل التي تفشل في DMARC على أنها مشبوهة وفق تطبيق المستلم، وقد يؤدي ذلك إلى وضعها في Spam أو التعامل معها بصورة أكثر حذراً.
ما معنى p=reject؟
تطلب p=reject رفض الرسائل التي تفشل في متطلبات DMARC وفق السياسة. وهي سياسة قوية لمكافحة انتحال النطاق، لكن الانتقال إليها قبل اكتشاف كل مصادر الإرسال الشرعية قد يؤدي إلى رفض رسائل حقيقية.
أفضل طريقة للانتقال إلى سياسة DMARC قوية
ابدأ بجرد جميع مصادر البريد التي تستخدم نطاقك: استضافة الموقع، SMTP، نظام المتجر، منصة الرسائل التسويقية، نظام الدعم، الفواتير، وأي خدمات خارجية.
فعّل SPF وDKIM بصورة صحيحة لكل خدمة، ثم استخدم DMARC للمراقبة وتحليل النتائج. بعد التأكد من أن المصادر الشرعية تمر بالمصادقة والمحاذاة، يمكن الانتقال تدريجياً إلى quarantine ثم reject وفق احتياجاتك ومستوى الثقة في الإعداد.
كيف تعمل SPF وDKIM وDMARC معاً؟
يمكن تبسيط الأدوار كالتالي:
| التقنية | الوظيفة الرئيسية |
|---|---|
| SPF | التحقق من أن مصدر الإرسال مسموح به وفق سياسة النطاق المستخدمة في SPF |
| DKIM | التحقق من توقيع تشفيري مرتبط بنطاق ومفتاح منشور في DNS |
| DMARC | ربط نتائج المصادقة بنطاق From وتحديد سياسة وتقارير |
استخدام الثلاثة بصورة صحيحة يعطي مزودي البريد إشارات مصادقة أقوى ويساعد على حماية النطاق من بعض أشكال الانتحال.
هل SPF وحده يكفي؟
لا يُنصح بالاعتماد عليه وحده. توجد سيناريوهات مثل إعادة توجيه البريد قد تؤثر في SPF، بينما يمكن أن يظل DKIM صالحاً إذا لم تتغير الأجزاء الموقعة بطريقة تكسر التوقيع.
DMARC صُمم للاستفادة من SPF وDKIM مع المحاذاة، ولذلك يوفر سياسة أشمل للنطاق.
هل DKIM وحده يمنع Spam؟
DKIM يثبت صحة التوقيع وفق المفتاح المنشور، لكنه لا يعني أن محتوى الرسالة مرغوب أو أن المرسل يتمتع بسمعة جيدة. حتى الرسائل الموقعة قد تصنف كرسائل مزعجة إذا كانت سمعة الإرسال سيئة أو المحتوى والسلوك غير مناسبين.
هل DMARC يضمن وصول البريد إلى Inbox؟
لا. DMARC أداة مصادقة وسياسة لمكافحة الانتحال، وليس ضماناً للوصول إلى صندوق الوارد. قابلية التسليم تعتمد أيضاً على سمعة النطاق وIP وجودة القوائم ومعدلات الشكاوى والمحتوى وسلوك الإرسال وعوامل أخرى لدى كل مزود.
إعداد SPF لموقع WordPress
إذا كان WordPress يرسل البريد من خادم الاستضافة مباشرة، تحتاج إلى معرفة البنية الفعلية التي ترسل الرسالة. وإذا كنت تستخدم إضافة SMTP مع مزود خارجي، فإن المزود عادةً يقدم سجلات DNS المطلوبة.
لا تضف عنوان IP الخاص بخادم الويب إلى SPF إلا إذا كان هو فعلاً مصدراً شرعياً للبريد وتفهم طريقة الإرسال المستخدمة.
لماذا يُفضل استخدام SMTP موثوق لرسائل الموقع؟
دالة البريد الافتراضية على بعض الاستضافات قد لا تكون أفضل خيار لإرسال رسائل التطبيقات. استخدام خدمة بريد أو SMTP موثوقة ومهيأة للنطاق يوفر عادةً أدوات أفضل للمصادقة والسجلات ومراقبة التسليم.
لكن يجب اختيار الخدمة وفق احتياجات الموقع وسياسة الخصوصية وحجم الإرسال، وليس لمجرد وجود كلمة SMTP.
فرق مهم بين From وReturn-Path
العنوان الظاهر للمستخدم في From ليس بالضرورة النطاق نفسه المستخدم في مسار SMTP أو Return-Path. يعتمد SPF على هوية مرتبطة بمسار SMTP، بينما يركز DMARC على محاذاة المصادقة مع نطاق From المرئي.
فهم هذا الفرق يفسر لماذا قد يظهر SPF على أنه ناجح ومع ذلك لا ينجح DMARC إذا لم تتحقق المحاذاة المطلوبة.
ما هي تقارير DMARC؟
يمكن أن ترسل الجهات المستلمة تقارير مجمعة إلى العنوان المحدد في rua عندما تدعم ذلك. تحتوي التقارير على بيانات تساعدك على معرفة مصادر الإرسال ونتائج SPF وDKIM وDMARC.
التقارير غالباً بصيغة آلية وليست مصممة للقراءة اليدوية المباشرة، لذلك يمكن استخدام أدوات تحليل موثوقة أو نظام داخلي لمعالجتها.
الخصوصية عند استقبال تقارير DMARC
تعامل مع تقارير المصادقة باعتبارها بيانات تشغيلية قد تكشف معلومات عن بنية إرسال البريد. خزّنها بطريقة آمنة، وحدد من يستطيع الوصول إليها، ولا تنشرها علناً.
التحقق من سجلات DNS
بعد إضافة السجلات، يمكنك استخدام أدوات DNS للتحقق من نشرها. في أنظمة تدعم dig، مثلاً:
dig TXT example.com
dig TXT _dmarc.example.comأما DKIM فيُفحص باستخدام اسم الـ Selector الذي قدمه مزود البريد.
تذكر أن تغييرات DNS قد تحتاج إلى وقت حتى تظهر في بعض نقاط الاستعلام بسبب TTL والتخزين المؤقت.
كيف تختبر مصادقة رسالة فعلية؟
أفضل اختبار لا يقتصر على رؤية السجل في DNS. أرسل رسالة تجريبية إلى صندوق بريد تملكه ثم افحص رؤوس الرسالة ونتائج Authentication-Results، وابحث عن نتائج SPF وDKIM وDMARC.
إذا فشل أحد الاختبارات، راجع النطاق الذي تم تقييمه ومصدر الإرسال والـ Selector والمحاذاة قبل تغيير السياسات.
أخطاء SPF الشائعة
- إنشاء أكثر من سياسة SPF مستقلة للنطاق نفسه.
- نسيان خدمة شرعية ترسل البريد باسم النطاق.
- إضافة خدمات قديمة لم تعد مستخدمة.
- تجاوز حدود DNS Lookups.
- نسخ سجل من موقع آخر دون فهمه.
- استخدام سياسة صارمة قبل إكمال الجرد والاختبار.
أخطاء DKIM الشائعة
- وضع السجل تحت Selector غير صحيح.
- نشر قيمة مفتاح ناقصة بسبب طريقة إدخال DNS.
- عدم تفعيل DKIM داخل لوحة مزود البريد بعد إضافة السجل.
- استخدام مفتاح قديم بعد تدويره.
- تعديل الرسالة أثناء النقل بطريقة تكسر التوقيع في بعض السيناريوهات.
أخطاء DMARC الشائعة
- الانتقال مباشرة إلى p=reject دون مراقبة.
- عدم فهم Alignment بين From وSPF/DKIM.
- إرسال التقارير إلى صندوق لا تتم مراقبته.
- نسيان خدمات إرسال فرعية أو خارجية.
- الاعتقاد أن DMARC يعالج وحده مشكلة السمعة أو المحتوى المزعج.
سمعة النطاق وعنوان IP
حتى مع نجاح SPF وDKIM وDMARC، يمكن أن تتأثر قابلية التسليم إذا كان نطاق الإرسال أو عنوان IP ذا سمعة ضعيفة. تجنب الإرسال غير المرغوب فيه، واشترط موافقة مناسبة للرسائل التسويقية، ونظف القوائم من العناوين غير الصالحة، وراقب الارتدادات والشكاوى.
لا تستخدم قوائم بريد مشتراة
إرسال رسائل تسويقية إلى أشخاص لم يطلبوها يمكن أن يرفع معدلات الشكاوى والارتداد ويضر بسمعة نطاقك. مصادقة البريد لا تحول الرسائل غير المرغوب فيها إلى رسائل مرغوبة.
اعتمد على قوائم مبنية على موافقة واضحة، ووفر آلية إلغاء اشتراك مناسبة للرسائل التسويقية.
هل يجب أن يكون عنوان From من نطاق موقعك؟
في رسائل الموقع، استخدام عنوان مرسل ضمن نطاق تملكه وتستطيع مصادقته عادةً أسهل للإدارة من محاولة إرسال رسالة بعنوان From تابع لخدمة عامة لا تتحكم في DNS الخاص بها.
اضبط Reply-To بصورة منفصلة إذا كنت تحتاج إلى وصول الردود إلى عنوان مختلف، وفق إعدادات نظام البريد المستخدم.
خطة عملية لإعداد SPF وDKIM وDMARC
- اكتب قائمة بكل الخدمات التي ترسل بريداً باسم نطاقك.
- احذف أو عطّل خدمات الإرسال القديمة التي لم تعد تستخدمها.
- أنشئ سياسة SPF واحدة تشمل المصادر الشرعية وفق تعليمات المزودين.
- فعّل DKIM لكل منصة إرسال تدعمه وانشر السجلات المطلوبة.
- أرسل رسائل اختبار وتحقق من نجاح SPF وDKIM.
- أنشئ DMARC بسياسة مراقبة مناسبة.
- حلل التقارير وتأكد من محاذاة المصادر الشرعية.
- عالج أي خدمة تفشل في المصادقة.
- انتقل تدريجياً إلى سياسة أكثر صرامة عند التأكد من الإعداد.
- راقب السمعة والارتدادات والشكاوى باستمرار.
أسئلة شائعة حول SPF وDKIM وDMARC
أين أضيف هذه السجلات؟
تُضاف في منطقة DNS الخاصة بالنطاق، لدى مزود DNS أو شركة الاستضافة أو الجهة التي تدير Nameservers الخاصة بالنطاق. مكان إدارة الموقع نفسه ليس بالضرورة هو مكان إدارة DNS.
هل يمكن أن يكون لدي أكثر من DKIM Selector؟
نعم. يمكن استخدام Selectors متعددة لخدمات مختلفة أو لتدوير المفاتيح، بشرط أن يكون كل إعداد صحيحاً ومتوافقاً مع نظام الإرسال.
هل أحتاج DMARC إذا كان SPF وDKIM ناجحين؟
DMARC يضيف المحاذاة والسياسة والتقارير، لذلك يقدم طبقة مهمة فوق نتائج SPF وDKIM ويساعد مالك النطاق على إدارة محاولات الانتحال.
كم يستغرق ظهور سجلات DNS الجديدة؟
قد تظهر بسرعة لدى بعض الخوادم بينما تستمر قيم قديمة في ذاكرة التخزين المؤقت لدى خوادم أخرى حتى انتهاء TTL. لذلك لا تفترض أن التغيير وصل إلى الجميع فور حفظه.
هل يمكن لسجل SPF طويل جداً أن يسبب مشكلة؟
نعم، ليست المسألة طول النص فقط؛ تصميم السياسة وعدد عمليات DNS Lookup الناتجة عنها مهمان أيضاً. راجع السياسة عند استخدام عدد كبير من خدمات الإرسال.
هل نجاح SPF وDKIM يعني أن الرسالة ليست Spam؟
لا. النجاح يعني أن اختبارات المصادقة ذات الصلة مرت، لكنه لا يحكم على رغبة المستلم في الرسالة أو سمعة المرسل أو جودة المحتوى.
الخلاصة
ضبط SPF وDKIM وDMARC بصورة صحيحة من أهم الخطوات التقنية لحماية نطاق موقعك من الانتحال وتحسين إشارات الثقة التي يستخدمها مزودو البريد. يحدد SPF مصادر الإرسال المصرح بها، ويوفر DKIM توقيعاً تشفيرياً للرسائل، بينما يربط DMARC نتائج المصادقة بنطاق From ويضيف سياسات وتقارير.
ابدأ بجرد جميع خدمات الإرسال، ثم اضبط SPF وDKIM واختبرهما، وبعد ذلك فعّل DMARC للمراقبة قبل الانتقال تدريجياً إلى سياسات أكثر صرامة. وتذكر أن الوصول إلى Inbox يعتمد أيضاً على السمعة وجودة قائمة البريد والمحتوى وسلوك الإرسال، وليس على سجلات DNS وحدها.
