إعداد DMARC: سجلات DNS والمحاذاة وتقييم السياسة

إعداد DMARC جزء أساسي من إدارة البريد على نطاقك. قد يساعد في الحد من انتحال النطاق مباشرة، لكنه لا يمنع كل أشكال الانتحال ولا يضمن وصول الفواتير إلى الوارد. إذا ظهرت مشكلات في Gmail أو تصنيف الرسائل، فافحص بيئة الإرسال كاملة.

ينطبق ذلك على صندوق بريد واحد وعلى إدارة نطاقات العملاء. إذا كنت لا تزال تختار مكونات بريد العمل، فابدأ بدليل البريد الإلكتروني للشركات الصغيرة ثم راجع إعدادات DNS والمصادقة.

الخطوات واضحة، لكن تطبيق سياسة غير مدروسة قد يؤثر في الرسائل المشروعة، خصوصا مع SPF وDKIM وإعادة التوجيه وخدمات الإرسال الخارجية. يشرح هذا الدليل سجل البداية ومعاني الوسوم وتقييم الانتقال إلى سياسة أشد والأخطاء الشائعة.

ما وظيفة إعداد DMARC؟

تنشر سجلا من نوع TXT في _dmarc.yourdomain.com لتطلب من الخوادم المستقبلة معالجة معينة للرسائل التي لا تستوفي DMARC. يتطلب النجاح اجتياز SPF أو DKIM مع محاذاة النطاق المستخدم في المصادقة لنطاق From الظاهر.

لا يحل DMARC محل SPF أو DKIM. وفقا لـ RFC 7489، يكفي نجاح إحدى الآليتين مع المحاذاة المطلوبة. نجاح المصادقة وحده دون محاذاة لا يكفي.

تطلب Google من المرسلين عموما SPF أو DKIM، وتضع متطلبات إضافية للمرسلين بكميات كبيرة تشمل كليهما وDMARC. راجع الشروط والمحاذاة المطلوبة في إرشادات مرسلي البريد الإلكتروني.

يحدد DMARC نتيجة مصادقة مرتبطة بالنطاق والمعالجة التي تطلبها عند الفشل. لا يثبت سلامة محتوى الرسالة، ويظل قرار القبول والتصفية بيد الجهة المستقبلة.

سجل DNS الذي تبدأ به

ابدأ عادة بـ p=none، واحصر مصادر الإرسال وراجع التقارير قبل تشديد السياسة. لا تطلب المراقبة تقييدا خاصا بـ DMARC، لكنها لا تلغي التصفية المحلية. قد يؤثر البدء المبكر بالرفض في إعادة تعيين كلمات المرور والفواتير ورسائل النماذج.

المثال التالي ينشر عند المضيف _dmarc. يستخدم محاذاة صارمة اختيارية، وليست أفضل إعداد ابتدائي لكل بيئة:

v=DMARC1; p=none; rua=mailto:dmarc@example.com; adkim=s; aspf=s; pct=100

يمكن استبدال adkim=s وaspf=s بالمحاذاة المرنة إذا كانت أنسب لبنية نطاقاتك. السجل التالي بديل للسابق، وليس سجلا إضافيا ينشر معه:

v=DMARC1; p=none; rua=mailto:dmarc@example.com; adkim=r; aspf=r; pct=100

تسمح المحاذاة المرنة بالنطاق التنظيمي نفسه، لا بأي علاقة عشوائية بين نطاق رئيسي وفرعي. تحقق من النطاق التنظيمي المعني لمصادر الإرسال.

قد تساعد لوحة النطاقات في TrekMail على التحقق من وجود السجلات وإعدادها. راجع سجلات DNS المطلوبة وإضافة نطاق والتحقق من حالة DNS. مثال الوثائق الذي يستخدم p=quarantine ليس بالضرورة مناسبا لنطاق عامل لم تراجع تدفقاته بعد؛ البدء بالمراقبة مناسب عادة لهذه الحالة.

وسوم DMARC المهمة

ركز أولا على السياسة والتقارير والمحاذاة. استخدم الخيارات الإضافية حين تفهم أثرها على مصادر الإرسال الفعلية.

يحدد p المعالجة المطلوبة، ويطلب rua التقارير. لا تشمل التقارير كل المستقبِلين ولا تضمن حصر جميع المصادر، لذا استكملها بالسجلات والاختبارات. قد تتطلب الوجهة الخارجية تفويضا عبر DNS، مع مراعاة الخصوصية وضوابط الوصول.

يشرح RFC 7489 وسم pct بوصفه وسيلة لطلب التطبيق التدريجي، لكن الدعم والتنفيذ يختلفان بين المستقبِلين. القيمة 100 مع none لا تحول المراقبة إلى تقييد. النسبة طلب وليست ضمانا لتوزيع المعالجة الفعلي.

خطوات إعداد DMARC

تحقق من SPF وDKIM، ثم انشر سياسة المراقبة وراجع التقارير والرسائل الفعلية قبل تقييم تشديد السياسة. لا تكتف بفحص DNS.

1. احصر خدمات البريد وCRM والفوترة والدعم والنماذج والتسويق التي تستخدم نطاقك.
2. تحقق من SPF لنطاقات مرسل المغلف المستخدمة فعليا والمصادر المصرح لها. لا تضف كل خدمة آليا إلى السجل نفسه.
3. فعّل DKIM حيث تدعمه الخدمة، واختبر صحة التوقيع والمحاذاة، بما في ذلك مسارات إعادة التوجيه.
4. انشر سياسة المراقبة باستخدام p=none.
5. راجع التقارير مثلا لمدة 2 إلى 4 أسابيع كإرشاد أولي. قد تحتاج التدفقات النادرة أو الدورية إلى رصد أطول أو اختبارات مستقلة.
6. قيّم p=quarantine بعد مراجعة التدفقات المشروعة والمخاطر.
7. قيّم p=reject بعد التحقق الكافي من المصادر والاختبارات والاستعداد للتراجع.

فحوص مفيدة من سطر الأوامر:

dig TXT _dmarc.example.com +short

dig TXT example.com +short

dig TXT dkim._domainkey.example.com +short

الإعداد التالي توضيحي. استخدم تفويضات SPF الخاصة بمرسليك الفعليين والمحدد الصحيح ومفتاح DKIM العام الكامل. نص المفتاح المختصر غير صالح للاستخدام:

; SPF
example.com.  IN TXT  "v=spf1 include:spf.trekmail.net include:_spf.google.com -all"

; DKIM
dkim._domainkey.example.com. IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."

; DMARC
_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com; adkim=r; aspf=r; pct=100"

للإعداد الجديد، اقرأ إنشاء بريد على نطاقك. وعند الانتقال من مزود آخر، يوضح دليل ترحيل IMAP في TrekMail نطاق نسخ بيانات الصناديق المدعومة. النسخ لا يغير MX أو مصادقة الإرسال تلقائيا، بينما يقيّم DMARC المصادقة ومحاذاة النطاق.

متى ينجح DMARC ومتى يفشل؟

ينجح DMARC إذا نجحت SPF أو DKIM مع المحاذاة المطلوبة. يفشل حين لا تحقق أي منهما الشرطين معا. لذلك قد تنجح المصادقة دون أن ينجح DMARC إذا كانت غير محاذية.

يفترض الجدول أن المحاذاة تشير إلى آلية المصادقة الناجحة:

إعادة التوجيه مثال شائع: قد يفشل SPF الأصلي لأن الخادم المتصل تغير. يمكن أن يبقى DKIM صالحا إذا حفظت البيانات الموقعة وفق قواعد الصياغة القياسية وكان التوقيع محاذيا. اختبر المسار الفعلي.

ترسل من billing@example.com ثم يعيد العميل توجيه الرسالة إلى Gmail. قد يفشل SPF بسبب تغير الخادم، لكن إذا ظل التوقيع بـ d=example.com صالحا ومحاذيا، فيمكن أن ينجح DMARC.

لا تتعامل مع كل فشل SPF بالطريقة نفسها. قد يكون فشل SPF مع DKIM صالح ومحاذ من خصائص مسار إعادة التوجيه. نجاح DKIM دون تحقق من المحاذاة لا يكفي للحكم.

اقرأ أيضا إعادة توجيه البريد الإلكتروني. قد تساعد SRS أو ARC ضمن شروطها، لكنها لا تضمن نجاح DMARC أو التسليم في كل مسار.

الانتقال من none إلى quarantine ثم reject

يساعد التدرج على تقييم الآثار والأخطاء الخفية. قد يحد تشديد السياسة من انتحال النطاق مباشرة، لكنه قد يؤثر في رسائل مشروعة أيضا. يحتفظ المستقبِل بإمكانية تطبيق قراره المحلي.

خيارات السياسة المعتادة:

1. p=none: لا طلب لتقييد خاص بـ DMARC؛ مراقبة وتحليل حيث تتوفر البيانات.
2. p=quarantine: طلب معاملة الرسالة باعتبارها مشبوهة، دون ضمان نقلها إلى مجلد معين.
3. p=reject: طلب رفض الرسالة، مع احتمال وجود استثناءات محلية.

المراحل التالية بدائل متتابعة. انشر سياسة واحدة في كل مرة، ولا تدرج تعليقات المثال في قيمة TXT الفعلية:

; Phase 1
v=DMARC1; p=none; rua=mailto:dmarc@example.com; adkim=r; aspf=r; pct=100

; Phase 2
v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=r; aspf=r; pct=100

; Phase 3
v=DMARC1; p=reject; rua=mailto:dmarc@example.com; adkim=r; aspf=r; pct=100

استخدم sp= لتحديد سياسة موروثة مختلفة للنطاقات الفرعية. وفقا لـ RFC 7489، عند الرجوع إلى سياسة النطاق التنظيمي وغياب sp تطبق السياسة الرئيسية. قد يتقدم سجل DMARC الخاص بالنطاق الفرعي إن وجد؛ تحقق من طريقة اكتشاف السياسة لكل نطاق.

أخطاء إعداد DMARC الشائعة

قد يكون السبب نقص تفويضات SPF أو خللا في DKIM أو اسم مضيف DNS غير صحيح أو إعداد From غير مناسب في أداة خارجية. أصلح السبب الذي تثبته الفحوص.

قد يوقع المزود رسائل العنوان البديل بنطاقه، فلا تكون DKIM محاذية لنطاقك رغم نجاحها. ويمكن أن ينجح DMARC إذا نجحت SPF المحاذية. راجع العنوان البديل على النطاق أم صندوق بريد لفهم الفرق.

قد تكشف شاشة حالة DNS في TrekMail مشكلات الإعداد. راجع تفاصيل التحذير واختبر رسائل فعلية؛ حالة اللوحة لا تثبت صحة كل عمليات المصادقة أو التسليم.

إدارة أكثر ترابطا مع TrekMail

قد يزيد توزيع الاستضافة وقواعد إعادة التوجيه على ثلاثة مزودي SMTP مختلفين صعوبة التحقيق. يمكن أن يجمع TrekMail النطاقات والصناديق وفحوص DNS وإعادة التوجيه والترحيل في بيئة إدارة واحدة.

قد يفيد ذلك المسؤول المستقل، وتزداد أهمية اتساق الإجراءات لدى وكالة تدير خمسين نطاقا للعملاء. يتوقف الوفر الفعلي على سير العمل، وليس على المنصة وحدها.

يبدأ سعر Starter المذكور هنا من $3.50 شهريا. توصف Nano بأنها خيار مجاني دون بطاقة يدعم حتى 10 نطاقات مع SMTP يوفره المستخدم. قد تشمل الخطط المدفوعة SMTP مدارًا وتجربة مجانية لمدة 14 يوما تتطلب بطاقة ائتمان، وفقا لشروط العرض. تحقق من الأسعار والميزات والشروط الحالية في أسعار TrekMail.

قائمة التحقق النهائية لإعداد DMARC

الإعداد الجيد يتجاوز نشر TXT: يحتاج إلى مصادقة ناجحة ومحاذية وحصر المصادر وتغيير السياسة بصورة منضبطة. قد يقلل انتحال النطاق مباشرة، لكنه لا يضمن سلامة المحتوى أو منع كل الانتحال أو التسليم.

1. احصر مصادر الإرسال التي تستخدم نطاقك.
2. احتفظ بسجل SPF واحد لكل نطاق مغلف معني، والتزم بحد عشر آليات ومعدلات تستدعي DNS، بما في ذلك التقييم المتداخل.
3. فعّل DKIM واختبره حيث يكون مدعوما.
4. ابدأ عادة بسجل للمراقبة.
5. راجع التجميعات مثلا لمدة 2 إلى 4 أسابيع كإرشاد أولي، واختبر التدفقات النادرة والشهرية والفصلية أيضا.
6. قيّم quarantine بعد دراسة الرسائل المشروعة.
7. قيّم reject بعد اختبارات كافية مع مراقبة وخطة للتراجع.

هذه عملية إدارة مستمرة، لا مهمة تنتهي بمجرد وضع علامة في قائمة.

قد يوفر TrekMail نطاقات متعددة ومساحة مشتركة وترحيل IMAP وفحوص DNS بحسب الخطة. تحقق من الخيار المجاني وشروط الأسعار الحالية على trekmail.net. وللإرسال المدار، راجع الخطط.

الهدف إدارة مخاطر انتحال النطاق ورفض الرسائل المشروعة دون قصد. يدعم DMARC ذلك، لكنه لا يغني عن بقية أعمال إدارة البريد.