شرح SPF وDKIM وDMARC: امنع انتحال نطاقك في البريد الإلكتروني

01المشكلة: البريد الإلكتروني لا يتضمن تحققًا مدمجًا من الهوية

يسمح نظام البريد الأصلي للمرسل بكتابة أي عنوان في سطر "من". يستغل المهاجمون ذلك لإرسال فواتير مزيفة وطلبات إعادة تعيين كلمات المرور ورسائل "عاجلة" تبدو وكأنها من شركتك. الرسائل لا تُخترق من خوادمك، بل تُزوَّر ببساطة.

تسدّ ثلاثة سجلات DNS هذه الثغرة. تضيفها مرة واحدة لدى مزوّد DNS، وتفحصها خوادم الاستقبال مثل Gmail وOutlook في كل رسالة.

02SPF: من يحق له الإرسال باسمك

SPF قائمة بالخوادم المسموح لها بإرسال البريد باسم نطاقك. وهو سجل TXT واحد على النطاق نفسه.

v=spf1 include:_spf.mx.cloudflare.net -all

اقرأه من اليسار إلى اليمين: استخدم الإصدار 1 من SPF، وثق بما يذكره include، و-all تعني "ارفض الجميع عدا ذلك". أما ~all فهي الصيغة الأخف التي تعلّم بقية الرسائل على أنها مشبوهة بدل رفضها.

03DKIM: توقيع على كل رسالة

مع DKIM يوقّع مزوّد بريدك كل رسالة صادرة بمفتاح خاص. ويوجد المفتاح العام المقابل في DNS لديك، فيستطيع المستلم التحقق من أن الرسالة لم تتغير وأنها مرّت فعلًا عبر مزوّدك. عادةً لا تكتب هذا السجل بنفسك: يعطيك مزوّدك الاسم والقيمة الدقيقين لتلصقهما.

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A...

04DMARC: السياسة التي تربط كل شيء

يخبر DMARC المستلمين بما يفعلونه عندما تفشل الرسالة في فحوص SPF وDKIM المتوافقة مع نطاق "من" الظاهر، وإلى أين تُرسل التقارير عن ذلك.

v=DMARC1; p=none; rua=mailto:reports@example.com

• p=none: مراقبة وإرسال تقارير فقط. لا يُحجب شيء.
• p=quarantine: تذهب الرسائل المشبوهة إلى البريد غير الهام.
• p=reject: تُرفض الرسائل المزوّرة كليًا.

05افحص نطاقك

اكتب نطاقك أدناه. يعمل الفحص في متصفحك مقابل DNS العام، ولا يُخزَّن أي شيء.

06خطة تطبيق آمنة

1. أضف سجل SPF أو أصلحه باستخدام ~all.
2. فعّل DKIM لدى مزوّد بريدك وانشر السجل الذي يعطيك إياه.
3. أضف DMARC بقيمة p=none مع عنوان تقارير تقرؤه فعلًا.
4. بعد أسبوعين إلى أربعة من التقارير السليمة، انتقل إلى p=quarantine.
5. عندما تطمئن، انتقل إلى p=reject وغيّر SPF إلى -all.