إنشاء سجل DMARC: إعداد DNS والتقارير والسياسة

قد تقرر إنشاء سجل DMARC بعد رسائل منتحلة أو تحذيرات Gmail أو طلب تعديل DNS من مزود. اختلاف نتائج SPF وDKIM بين الرسائل يستحق التحقيق. إذا كنت تبني البيئة بعد، فراجع دليل بريد العمل لتنسيق النطاق والصناديق وDNS.

وجود السجل لا يعني أنه يعمل كما تقصد. قد يكون المضيف خاطئا أو السياسة غير مناسبة أو التقارير بلا وجهة صالحة أو المحاذاة مفقودة. ولا يضمن DMARC الوصول إلى الوارد أو منع كل أشكال الانتحال.

يوضح الدليل إنشاء السجل والوسوم المهمة والقيمة في _dmarc.yourdomain.com وتقييم الانتقال من المراقبة إلى التقييد.

ما الذي تنشره في سجل DMARC؟

انشر TXT في _dmarc.yourdomain.com يبدأ بـ v=DMARC1 ويتضمن سياسة صالحة مثل p=none أو p=quarantine أو p=reject. يطلب DMARC معالجة البريد الذي لا تنجح فيه أي من SPF وDKIM مع محاذاة From المطلوبة.

مثال صالح بالحد الأدنى:

Host/Name: _dmarc
Type: TXT
Value: v=DMARC1; p=none;

ينشر سياسة دون طلب تقييد خاص بـ DMARC، لكنه لا يطلب تقارير تجميعية. تبقى التصفية المحلية ممكنة، وليس هذا إعداد تقارير كاملا.

مثال يشمل طلب التقارير:

Host/Name: _dmarc
Type: TXT
Value: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com; adkim=r; aspf=r; pct=100

بعد تحقق كاف يمكنك استبدال السياسة الحالية مثلا بما يلي:

Host/Name: _dmarc
Type: TXT
Value: v=DMARC1; p=quarantine; rua=mailto:dmarc@yourdomain.com; adkim=r; aspf=r; pct=100

وفقا لـ RFC 7489، يجب أن يأتي v أولا وأن يوجد p. قد لا يستخدم السجل غير الصالح كما تقصد. راجع التفاصيل في RFC 7489.

أين تنشئ سجل DMARC في DNS؟

لا ينشر في جذر النطاق، بل عند _dmarc. لنطاق example.com يكون هدف البحث _dmarc.example.com. الاسم الآخر لا يوفر السياسة المقصودة.

لا تضع القيمة عند @. إدخال _dmarc.example.com كاملا أو _dmarc فقط يعتمد على لوحة DNS وما إذا كانت تضيف اسم المنطقة تلقائيا. تحقق من الاسم النهائي الكامل.

بعد النشر، تحقق من خارج اللوحة أيضا:

dig txt _dmarc.example.com +short
nslookup -q=txt _dmarc.example.com

ينبغي وجود سجل سياسة DMARC واحد يبدأ بـ v=DMARC1. سجلات TXT الأخرى ليست تعارضات تلقائيا، وأجزاء النص المتعددة داخل سجل واحد تتصل لتشكل قيمة واحدة.

في TrekMail، تحقق من القيم المناسبة لإعدادك الفعلي. راجع إضافة نطاق وسجلات DNS المطلوبة والتحقق من حالة DNS. لا يغني فحص اللوحة عن اختبار جميع مسارات الإرسال الفعلية.

وسوم سجل DMARC

ابدأ بـ v وp وrua عند الحاجة إلى التقارير. تضبط وسوم المحاذاة شروط التقييم، ولا تستخدم الخيارات الإضافية قبل فهم أثرها.

قد يكون السجل مع p=none دون rua صالحا، لكنه لا يطلب التقارير التجميعية. تبقى السجلات والاختبارات المستقلة ممكنة. التقارير تحتاج إلى إدارة الخصوصية والوصول، وقد تحتاج الوجهة الخارجية إلى تفويض DNS.

اختيار السياسة المناسبة

ابدأ عادة بـ p=none إذا لم تراجع كل التدفقات. قيّم p=quarantine بعد الإصلاح والاختبار، ولا تقيّم p=reject إلا بعد تحقيق كاف يشمل البريد المجهول والتدفقات المشروعة النادرة.

تضع Google متطلبات SPF وDKIM ومحاذاة From المعنية للمرسلين بكميات كبيرة. يكفي لـ DMARC نجاح مصادقة محاذية واحدة. تحقق من شروط فئة الإرسال في الأسئلة الشائعة لإرشادات مرسلي Google دون افتراض متطلبات مستقبلية.

لا تعتبر DMARC مجرد علامة تحقق. قد يستخدم CRM نطاقك في From ونطاقات المزود للتوقيع والارتداد، فتنجح المصادقة ولا توجد مصادقة ناجحة ومحاذية لـ DMARC.

إنشاء السجل خطوة بخطوة

احصر المصادر وانشر سياسة مراقبة، ثم قيّم التقييد بالتقارير والسجلات والاختبارات الفعلية. فترة هادئة من التقارير لا تثبت تغطية كل التدفقات.

1. احصر Google Workspace وMicrosoft 365 والدعم وCRM والنماذج والفوترة والنشرات.
2. تحقق من SPF صالح وDKIM مختبر للمرسلين الفعليين؛ DMARC لا يحل محلهما.
3. أنشئ وجهة يديرها مسؤول مثل dmarc@yourdomain.com أو خدمة تقارير مناسبة.
4. ابدأ عادة بـ p=none.
5. حقق في التقارير المستلمة مع السجلات وحصر المصادر.
6. أصلح أخطاء المصادقة والمحاذاة مع From لدى الخدمات المعنية.
7. قيّم p=quarantine مع مراقبة وخطة للتراجع.
8. قيّم p=reject بعد اختبار كاف، بما فيه الإرسال النادر المهم.

مثال مراقبة توضيحي لبيئة في 2026:

Host/Name: _dmarc
Type: TXT
Value: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com; adkim=r; aspf=r; pct=100

راجع إعادة توجيه بريد النطاق إلى Gmail. قد يفشل SPF الأصلي، ولا يساعد DKIM إلا بتوقيع صالح ومحاذ وبيانات موقعة محفوظة وفق الصياغة القياسية. قد تدعم ARC قرار المستقبِل المحلي، لكنها لا تحول فشل DMARC إلى نجاح مصادقة.

أخطاء إنشاء السجل الشائعة

راجع أسماء المضيفين والسياسات المكررة وعناوين التقارير والمصادقة الأساسية، واختبر السجل من خارج بيئة الإدارة.

انتبه إلى الآتي:

1. النشر في الجذر بدلا من _dmarc.
عند @ لا يعثر على سياسة DMARC المقصودة.

2. استخدام أكثر من سجل سياسة DMARC.
يشرح RFC 7489 أن تعدد سجلات السياسة يوقف المعالجة. أجزاء النص داخل سجل واحد أمر مختلف.

3. البدء مباشرة بـ p=reject.
قد يرفض بريد استعادة الحساب أو الفواتير أو الدعم من خدمة نسيتها.

4. توجيه rua إلى وجهة غير صالحة.
قد يمنع ذلك الاستلام؛ غياب التقارير لا يثبت أن المستقبِلين أرسلوها بالفعل.

5. توقع أن يصلح DMARC إعادة التوجيه.
يحتاج إلى SPF أو DKIM ناجح ومحاذ. اختبر بقاء توقيع DKIM صالح ومحاذ على المسار الفعلي.

تستخدم تأكيدات الطلبات والدعم والتسويق ثلاثة مزودي SMTP. تنشر p=reject دون اختبارهم، فينجح مسار ويفشل اثنان؛ قد يرفض بريد العملاء عند تطبيق السياسة. تتأثر النتيجة أيضا بقرار المستقبِل.

للبيئة الجديدة، يشرح إنشاء بريد على نطاقك أعمال DNS والصناديق المحيطة بالمصادقة.

إدارة DMARC عبر نطاقات كثيرة

قد تسبب الجداول وقيم الطلبات القديمة ارتباكا. تساعد لوحة مشتركة وسجلات مخصصة لكل نطاق على تنظيم التحقيق، لكن تحقق DNS والإرسال الفعلي يظل ضروريا.

قد يقدم TrekMail نطاقات متعددة ومساحة مشتركة وصناديق IMAP وترحيلا وcatch-all وإعادة توجيه وSMTP خاصا أو مدارًا بحسب الشروط. توصف Nano بأنها مجانية حتى 10 نطاقات مع SMTP يوفره المستخدم؛ السعر الابتدائي المدفوع المذكور $3.50 شهريا. تحقق من الميزات والشروط الحالية في أسعار TrekMail.

قد تنظم البيئة المشتركة التحقيق الموزع على خمسة مزودين وعشرين علامة تبويب. لا تثبت وحدها صحة مصادقة كل تدفق أو وفرا محددا.

الفحص الأخير قبل التقييد

تحقق من مصادقة ناجحة ومحاذية للمصادر المشروعة، ووجهة تقارير صالحة، وسجل سياسة DMARC واحد في _dmarc. لا يصلح DMARC أخطاء SPF أو DKIM نيابة عنهما.

راجع هذه القائمة:

1. سجل سياسة DMARC واحد فقط.
2. المضيف _dmarc وفقا لقواعد لوحة DNS.
3. القيمة تبدأ بـ v=DMARC1; p=....
4. rua يشير إلى وجهة مدارة مع تفويض وخصوصية مناسبين.
5. سجل SPF واحد لكل نطاق مغلف معني ضمن حدود الآليات والمعدلات المستدعية لـ DNS، بما في ذلك التقييم المتداخل.
6. DKIM مضبوط ومختبر حيث يكون مدعوما.
7. الاستعلام الخارجي يظهر السياسة المقصودة.
8. ابدأ عادة بـ none ما لم تكن المصادر والمسارات المعنية قد اختبرت بما يكفي.

قد يجمع TrekMail النطاقات وصناديق IMAP وحالة DNS واختيار SMTP والترحيل. ينسخ IMAP الرسائل المدعومة، بينما يحتاج انتقال MX وبيانات التطبيقات إلى عمل مستقل. تحقق من الخيارات الحالية على trekmail.net واستمر في فحص البريد بعد التغييرات.