لكل من يُرسل نطاقه رسائل بريد إلكتروني
DMARC وSPF وDKIM — هل يستطيع أحد إرسال بريد باسمك؟
ثلاثة سجلات تحدد ما إذا كان بإمكان شخص غريب وضع نطاقك في حقل المرسل لرسالة مقنعة. وثغرة في أي واحد منها هي ما يجعل انتحال الهوية ممكنًا.
نتائج الفحص والتطبيق باللغة الإنجليزية حالياً.
SPF وDKIM وDMARC هي السجلات الثلاثة التي تحدد ما إذا كان بإمكان أحد إرسال بريد إلكتروني يبدو صادرًا من نطاقك. وهي تعمل معًا، وثغرة في أي واحد منها هي ما يجعل الانتحال المقنع ممكنًا. تشرح هذه الصفحة دور كل منها، وأنماط الإخفاق الشائعة، وكيفية سدّها دون تعطيل بريدك.
ما الذي تفعله السجلات الثلاثة فعلًا
تجيب عن ثلاثة أسئلة مختلفة، ولهذا فإن نشر سجل واحد فقط يترك ثغرة. يحدد SPF الخوادم المسموح لها بالإرسال باسم نطاقك. ويضيف DKIM توقيعًا يثبت أن الرسالة مُصرَّح بها ولم تُعدَّل. ويربط DMARC الاثنين بالعنوان الذي يراه المستلم فعلًا، ويخبر الأنظمة المستقبِلة بما يجب فعله عند فشل الفحوصات.
- SPF — قائمة المرسلين المسموح لهم
- DKIM — سجلات مفاتيح التوقيع المنشورة؛ ولا يفحص الفحصُ تواقيع الرسائل
- DMARC — السياسة المطبّقة عندما لا يتوافق SPF وDKIM
لماذا سياسة DMARC هي الجزء المهم
يمكن لسجل DMARC أن يطلب من الأنظمة المستقبِلة ألّا تفعل شيئًا، أو أن تتعامل مع حالات الفشل بريبة، أو أن ترفضها رفضًا تامًا. ونشر سجل لا يطلب شيئًا أمر شائع، وكثيرًا ما يُظن خطأً أنه حماية: فالسجل موجود، وربما تصل التقارير، ومع ذلك لا يُوقَف أي شيء فعليًا. والسياسة المنشورة الأقوى تطلب تعاملًا أكثر صرامة من الجهات المستقبِلة، لكنها لا تضمن منع الانتحال. وقد يؤدي تغيير السياسة بسرعة مفرطة إلى تعطيل البريد المشروع.
- سياسة المراقبة فقط لا تحمي أحدًا بمفردها — إنها نقطة بداية، لا نهاية
- تقدّم على مراحل، مع متابعة التقارير لرصد مرسلين كنت قد نسيتهم
- النشرات الإخبارية، وأنظمة التذاكر، وأنظمة CRM، وأدوات الرواتب، كلها ترسل باسمك وكلها يجب أن تجتاز الفحوصات
أنماط الإخفاق التي توقع الناس
معظم مشكلات مصادقة البريد الإلكتروني ليست غريبة. إنها نتيجة سجل كُتب قبل سنوات ولم يعد يطابق طريقة إرسال المؤسسة لبريدها.
- سجلات SPF تجاوزت حدّ المعيار البالغ عشر عمليات بحث DNS، وعندها يتوقف تقييم السجل ويبدأ البريد المشروع في الفشل
- مورّدون قدامى لا يزالون مُصرَّحًا لهم بعد انتهاء العقد بوقت طويل، فيوسّعون بصمت دائرة من يمكنهم الإرسال باسمك
- DKIM مُعدّ على المنصة الرئيسية لكن ليس على أدوات التسويق أو التذاكر
- سجل DMARC يغطي النطاق الرئيسي بينما تُترك النطاقات الفرعية مفتوحة
- سجلات نُشرت بشكل صحيح ثم أُبطلت بعملية ترحيل DNS لم يُعِد أحد فحصها
ما الذي ينظر إليه هذا الفحص
كل شيء هنا يُقرأ من DNS العام. لا يُرسَل شيء ولا يُستقبَل ولا يُعترَض، ولا يُمسّ أي صندوق بريد.
- ما إذا كان سجل SPF موجودًا، وكم عملية بحث DNS يتطلب
- ما إذا كان توقيع DKIM مُعدًّا وقابلًا للاكتشاف
- ما إذا كان سجل DMARC موجودًا، وما السياسة التي يطلب من الجهات المستقبِلة تطبيقها
- MTA-STS، الذي يطلب من أنظمة البريد الأخرى استخدام التسليم المشفّر إليك
- سجلات داعمة تشير إلى مدى العناية بإدارة بريد النطاق
ترتيب معقول للإصلاح
انشر SPF وDKIM أولًا وتأكد من أن بريدك الحقيقي يجتاز كليهما. وبعد ذلك فقط أضف DMARC في وضع المراقبة، واقرأ ما تقوله التقارير لبضعة أسابيع، ثم شدّد السياسة بعد اكتمال قائمة المرسلين المشروعين واجتيازهم الفحوصات. والاستعجال نحو التطبيق قبل ذلك هو السبب الرئيسي في فقدان المؤسسات لبريد حقيقي والتراجع عن العملية بأكملها.
- اضبط SPF وDKIM بشكل صحيح قبل المساس بسياسة DMARC
- توقّع اكتشاف مرسلين لا يتذكر أحد أنه صرّح لهم
- لا تنسَ النطاقات الفرعية، بما فيها تلك التي لا تستخدمها
أسئلة شائعة
›هل يقتصر DMARC على المؤسسات الكبيرة؟
لا. انتحال الهوية أسهل وأشد ضررًا على المؤسسات الأصغر، لأن المستلمين أكثر ميلًا إلى التصرف بناءً على رسالة تبدو صادرة من جمعية خيرية أو مدرسة أو مورّد يعرفونه. ونشر هذه السجلات لا يكلف شيئًا.
›لدينا سجل DMARC. هل نحن محميون؟
فقط إذا كان يطلب من الأنظمة المستقبِلة أن تتصرف. فالسجل المضبوط على المراقبة فقط يُبلغ عمّا يحدث ولا يوقف شيئًا، وهي خطوة أولى معقولة، لكنها كثيرًا ما تُعدّ خطأً عملًا منجزًا. قيمة السياسة هي الجزء المهم.
›لماذا يفشل بريدنا المشروع في SPF؟
أكثر الأسباب شيوعًا هي سجل SPF تجاوز حدّ المعيار البالغ عشر عمليات بحث DNS، وخدمة إرسال أُضيفت إلى المنصة ولم تُضَف إلى السجل قط. ويمكن إصلاح الأمرين دون تغيير طريقة إرسالك.
›هل سيؤدي تشديد DMARC إلى تعطيل بريدنا؟
قد يحدث ذلك إذا تمّ قبل أن يجتاز كل مرسل مشروع الفحوصات. لهذا يهم الترتيب: SPF وDKIM أولًا، ثم DMARC في وضع المراقبة، ثم التطبيق بعد أن تصبح التقارير سليمة. وبهذا الترتيب يكون الخطر منخفضًا.
›هل يرسل هذا الفحص أي بريد إلكتروني؟
لا. إنه يقرأ سجلات DNS العامة فقط. لا يُرسَل شيء ولا يُستقبَل ولا يُعترَض، ولا يُدخَل إلى أي صندوق بريد.
استرشادي فقط. هذا فحص خارجي لسجلات DNS العامة. وهو يعكس ما تقوله تلك السجلات وقت الفحص، ولا يمكنه تأكيد كيفية تعامل كل نظام بريد مستقبِل مع الرسائل الفردية.
مفيد أيضًا: التحقق من مورّد قبل التوقيع.