كيف تعالج سياسة DMARC ضعيفة

إذا أشار فحص أمان النطاق إلى أن سياسة DMARC لديك ضعيفة أكثر من اللازم، فإن نطاقك ليس محميًا بالكامل من انتحال البريد الإلكتروني. يشرح هذا الدليل معنى هذه النتيجة وسبب أهميتها وكيف تعالجها بدقة — دون تعطيل تسليم بريدك الإلكتروني.

ماذا تعني هذه النتيجة

DMARC (Domain-based Message Authentication, Reporting and Conformance) سجل DNS يُخبر خوادم البريد المستقبِلة بما ينبغي فعله عندما تفشل مصادقة رسالة تدّعي أنها صادرة من نطاقك. وهناك ثلاثة مستويات للسياسة:

• p=noneتطلب المراقبة فقط. وتطبّق الجهات المستقبِلة معالجتها الخاصة على الرسائل التي تفشل في DMARC.
• p=quarantineتطلب معالجة خاصة، قد تشمل وضع الرسالة في مجلد البريد العشوائي.
• p=rejectتطلب رفض الرسائل التي تفشل في DMARC.

إذا أظهر فحصك p=none أو p=quarantine، فلا يزال من الممكن انتحال نطاقك. إذ يمكن للمهاجمين إرسال رسائل تصيّد تبدو صادرة من نطاقك، وسيتلقاها كثير من المستلمين.

لماذا يهم ذلك

انتحال البريد الإلكتروني طريق شائع إلى احتيال اختراق البريد الإلكتروني للأعمال (BEC). وسياسة p=none تطلب من الجهات المستقبِلة مراقبة الإخفاقات دون طلب العزل أو الرفض، فهي توفر أدلة مفيدة لكنها تطبيق ضعيف.

قبل أن تغيّر أي شيء

قد يؤدي الانتقال فورًا إلى p=reject إلى تعطيل تسليم البريد المشروع إذا لم تغطِّ سجلات SPF وDKIM جميع مصادر الإرسال لديك. وقبل تشديد سياستك:

1. تأكد من أن سجل DMARC يتضمن عنوانًا لاستلام التقارير (rua=) حتى تتلقى التقارير المجمّعة
2. راجع تقارير DMARC بحثًا عن أي مصادر مشروعة تفشل في المصادقة
3. تأكد من أن SPF يغطي كل خدمة ترسل البريد نيابةً عنك (مثل Microsoft ٣٦٥ وGoogle Workspace وMailchimp وSalesforce)
4. تأكد من أن DKIM مُعدّ لمنصة البريد الرئيسية لديك

إذا لم تكن واثقًا من أن جميع مصادر الإرسال لديك مُصادَق عليها، فراجع التقارير المجمّعة أولًا وصحّح محاذاة SPF أو DKIM قبل طلب الرفض. ولم يعد الوسم القديم pct جزءًا من معيار DMARC الحالي.

كيف تعالجها — خطوة بخطوة

الخطوة 1: اعثر على سجل DMARC الحالي

سجل DMARC هو سجل DNS من نوع TXT على _dmarc.yourdomain.com. ويبدو تقريبًا هكذا:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

الخطوة 2: حدّث قيمة السياسة

غيّر p=none أو p=quarantine إلى p=reject. وهذا سجل كامل موصى به:

v=DMARC1; p=reject; rua=mailto:dmarc@yourdomain.com

• rua= — العنوان الذي تُرسَل إليه التقارير المجمّعة (ملخصات XML يومية)
• نشر rua= يطلب التقارير؛ فتحقق من أن صندوق البريد أو الخدمة المخصصة للتقارير تتلقاها وتعالجها فعلًا

الخطوة 3: حدّث سجل DNS من نوع TXT

سجّل الدخول لدى مزوّد DNS وحدّث سجل TXT على _dmarc.yourdomain.com بالقيمة الجديدة أعلاه.

الخطوة 4: انتظر انتشار التغيير

قد يستغرق انتشار تغييرات DNS عالميًا حتى ٤٨ ساعة، وإن كان معظم المزودين يحدّثونها خلال بضع دقائق إلى ساعة.

تحقق من نجاح الإجراء

أجرِ فحصًا جديدًا لنطاقك على mydomainrisk.com — ستظهر نتيجة DMARC على أنها عولجت وسترتفع درجتك. ويمكنك أيضًا التحقق باستعلام DNS:

nslookup -type=TXT _dmarc.yourdomain.com

هل لا تزال الإخفاقات تظهر بعد تشديد سياستك؟

إذا بدأت رسائل مشروعة بالارتداد بعد الانتقال إلى p=reject، فستبيّن تقارير DMARC المجمّعة المصادر التي تفشل. وأكثر المسببين شيوعًا خدمات خارجية مثل منصات CRM أو أدوات التسويق أو خدمات الدعم الفني التي ترسل البريد نيابةً عنك لكنها غير مدرجة في سجل SPF.