شرح SPF وDKIM وDMARC: أوقف انتحال نطاقك وأوصل رسائلك إلى صندوق الوارد

• يسرد SPF الخوادم المسموح لها بإرسال البريد باسم نطاقك.
• يوقّع DKIM كل رسالة، ويُنشر المفتاح العام اللازم للتحقق في DNS.
• يخبر DMARC المستلمين بما يجب فعله عند فشل SPF وDKIM ويرسل إليك تقارير. ولا ينجح إلا إذا تطابق النطاق في عنوان «من» الظاهر.
• ابدأ بـp=none، واقرأ التقارير، ثم انتقل إلى quarantine ثم reject عندما ينجح جميع المرسلين الشرعيين.

منذ فبراير 2024 يشترط Gmail وYahoo على كل مرسل وجود SPF أو DKIM. أما المرسلون بالجملة (وفق Google: أكثر من 5000 رسالة يوميًا إلى عناوين Gmail) فيحتاجون إلى SPF وDKIM وسجل DMARC (يكفي p=none)، ونطاق «من» متوافق مع SPF أو DKIM، وإلغاء اشتراك بنقرة واحدة في الرسائل التسويقية، ومعدل شكاوى أقل من 0.3%.

حتى لو كنت ترسل القليل، فإن غياب هذه السجلات يجعل انتحال نطاقك في رسائل التصيّد سهلًا، ويقلّل ثقة المستلمين في البريد الصادر من مثل هذه النطاقات.

SPF سجل TXT واحد على نطاقك يبدأ بـv=spf1، ويسرد المرسلين المسموح لهم، وينتهي بقاعدة لكل من سواهم. يضيف include: قائمة مزوّد ما، ويضيف ip4:/ip6: خوادمك الخاصة، ويسمح mx بخوادم MX الخاصة بالنطاق.

• انشر سجل SPF واحدًا فقط. وجود سجلَّي v=spf1 يجعل SPF يفشل (permerror)، فادمجهما في سجل واحد.
• يمكن لـSPF إجراء 10 استعلامات DNS كحد أقصى (يُحتسب كل include وa وmx وexists وredirect، بما فيها المتداخلة). عند تجاوز الحد يفشل SPF؛ فاحذف الـinclude غير المستخدمة.
• يطلب -all (fail) رفض المرسلين غير المدرجين، ويطلب ~all (softfail) معاملتهم كمشبوهين. مع وجود DMARC يُعد ~all خيارًا شائعًا وآمنًا.
• يتحقق SPF من مرسل المغلّف (Return-Path) لا من عنوان «من» الذي يراه الناس، ويتعطل عند إعادة توجيه البريد. لذلك تحتاج إلى DKIM أيضًا.

يوقّع الخادم المرسِل الترويسات ونص الرسالة بمفتاح خاص، ويجلب المستلم المفتاح العام من selector._domainkey.example.com ويتحقق من التوقيع. المحدِّد (selector) اسم يختاره مزوّدك (google وselector1 وs1 وk1…)، فيحصل كل خدمة على مفتاحها الخاص.

فعّل DKIM في كل خدمة ترسل عبرها (مزوّد البريد، أداة النشرات، نظام CRM، المتجر الإلكتروني) وانشر السجل الذي تعطيك إياه، وهو عادةً TXT أو CNAME. استخدم مفاتيح بطول 2048 بت متى أمكن. يصمد DKIM أمام إعادة التوجيه، ما يجعله النصف الأكثر موثوقية لـDMARC.

يوجد DMARC في _dmarc.example.com. تجتاز الرسالة DMARC عندما ينجح SPF أو DKIM ويتطابق النطاق الذي نجح له (يكون متوافقًا) مع النطاق في عنوان «من». المزوّد الذي يوقّع بنطاقه الخاص لا يفيدك حتى تُعدّ DKIM لنطاقك.

يطلب rua=mailto: من المستلمين إرسال تقارير مجمّعة يومية (XML) تبيّن الخوادم التي أرسلت بريدًا باسم نطاقك وما إذا نجحت. بهذه التقارير تكتشف المرسلين المنسيين قبل تشديد السياسة.

• اسرد كل ما يرسل بريدًا باسم نطاقك: صناديق البريد، ونماذج الموقع، والنشرات، والفوترة، ونظام الدعم.
• انشر سجل SPF واحدًا يشملها جميعًا، وفعّل DKIM في كل منها.
• أضف v=DMARC1; p=none; rua=mailto:… واقرأ التقارير لمدة أسبوعين إلى أربعة أسابيع.
• أصلح كل مرسل شرعي يفشل، ثم انتقل إلى p=quarantine (تدريجيًا بـpct= إن شئت)، ولاحقًا إلى p=reject.
• يجب على النطاقات التي لا ترسل بريدًا أبدًا أن تنشر v=spf1 -all وv=DMARC1; p=reject حتى لا يستطيع أحد انتحالها.

• يجعل MTA-STS وTLS-RPT الخوادم الأخرى تسلّم بريدك عبر TLS موثّق فقط وتبلّغ عن المشكلات.
• يعرض BIMI شعارك بجانب رسائلك في صناديق البريد الداعمة، ويتطلب DMARC بسياسة quarantine أو reject.

تقرأ أداة فحص أمان البريد سجلات MX وSPF (مع عدد استعلامات DNS) وDKIM للمحدِّدات الشائعة أو محدِّدك الخاص وDMARC وMTA-STS وTLS-RPT وBIMI، وتشير إلى المشكلات التي تجدها. أعد تشغيلها بعد كل تغيير في DNS؛ فحسب قيمة TTL قد يستغرق ظهور السجلات الجديدة من بضع دقائق إلى ساعة.