خمسة فحوص تمنع انتحال البريد الإلكتروني باسم نطاقك

صُمّم البريد الإلكتروني في الأصل بلا تحقق من المرسل، فأي خادم يستطيع أن يضع عنوانك في خانة «من». ثم أُضيفت SPF وDKIM وDMARC لاحقاً في صورة سجلات DNS تفحصها الخوادم المستقبِلة قبل أن تثق بالرسالة.

وأصبح كبار مزودي البريد يشترطونها. فمنذ 1 فبراير 2024 تشترط Google على من يرسل أكثر من 5,000 رسالة يومياً إلى حسابات Gmail استخدام SPF وDKIM وDMARC، ولدى Yahoo قواعد مشابهة. وتطبق Microsoft الحدود نفسها على Outlook.com منذ 5 مايو 2025. وحتى دون هذه الكميات، يسهل انتحال النطاق الذي يفتقد السجلات الثلاثة، ويزيد احتمال وصول بريده إلى الرسائل غير المرغوب فيها.

وتعمل هذه السجلات بالطريقة نفسها سواء كان بريدك على Zoho Workplace أو Microsoft 365 أو Google Workspace، ولا يتغير إلا محتواها.

سجل SPF سجل TXT يحدد الخوادم والخدمات المسموح لها بالإرسال باسم نطاقك: مزود البريد، إضافة إلى نظام ERP الذي يرسل الفواتير، ونظام CRM، ومنصة التسويق، ونموذج الموقع الإلكتروني.

كيف تعرف أنه اكتمل:

• سجل SPF واحد فقط لكل نطاق. وثائق Microsoft واضحة: وجود سجلي SPF للنطاق نفسه يُفشل SPF بخطأ دائم.
• ما لا يزيد على 10 عمليات بحث DNS. كل include: يستهلك عمليات بحث، وإذا تجاوزت 10 يفشل SPF، فاحذف الخدمات التي توقفت عن استخدامها.
• ينتهي بـ -all. توصي Microsoft بالرفض الصريح -all عندما يكون DKIM وDMARC مفعّلين أيضاً.

يضيف DKIM توقيعاً رقمياً إلى كل رسالة، وتتحقق منه الخوادم المستقبِلة بمفتاح عام منشور في DNS نطاقك. في Microsoft 365 يُنشر هذا المفتاح في صورة سجلَي CNAME (selectors)، ويمنحك Google Workspace سجل TXT لنشره.

كيف تعرف أنه اكتمل:

• DKIM مفعّل لدى مزود البريد، لا متاح فقط. وكثيراً ما يلزم تفعيله بعد نشر سجلات DNS.
• كل مرسل خارجي يوقّع باسم نطاقك لا باسم نطاقه. هذه الخطوة هي الأكثر إغفالاً، وهي التي تعطل DMARC لاحقاً.
• مفاتيح قوية. تطلب Google مفتاحاً بطول 1,024 بت على الأقل وتوصي بـ 2,048 بت.

يخبر DMARC الخوادم المستقبِلة بما تفعله بالبريد الذي يدّعي أنه منك ولا يجتاز مطابقة SPF وDKIM، ويطلب منها إرسال تقارير يومية إليك.

• p=none: يُسلَّم البريد كالمعتاد وتصلك التقارير. يستوفي الحد الأدنى للمرسلين بكميات كبيرة، لكنه لا يوقف الانتحال.
• p=quarantine: يذهب البريد الفاشل إلى مجلد الرسائل غير المرغوب فيها.
• p=reject: يُرفض البريد الفاشل. وهذا هو الهدف.

سجل DMARC سجل TXT واحد يُنشر على _dmarc في نطاقك، فاسمه للنطاق example.com هو _dmarc.example.com. انشر سجل DMARC واحداً لكل نطاق. والسجل قائمة قصيرة من الوسوم تفصل بينها فواصل منقوطة، وتكفي أربعة وسوم معظم الشركات:

ثم عدّل السجل على مراحل مع وصول التقارير. لا يتغير إلا وسما السياسة والنسبة، ويبقى عنوان التقارير كما هو.

لا تنتقل إلى المرحلة التالية إلا عندما تُظهر التقارير أن كل مرسل مشروع يجتاز الفحص. وإذا حجبت مرحلةٌ بريداً حقيقياً، فارجع خطوة، وأصلح SPF أو DKIM لذلك المرسل، ثم حاول من جديد.

• المراقبة: v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com. لا يُحجب شيء، وتعرف من يرسل باسمك.
• عزل عيّنة: v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc-reports@example.com. يذهب ربع البريد الفاشل إلى الرسائل غير المرغوب فيها، فيظهر المرسل المنسي دون أن يتوقف بريده كله.
• عزل البريد الفاشل كله: v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@example.com. بحذف pct تُطبَّق السياسة على كل البريد الفاشل.
• الرفض: v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.com. يُرفض البريد المنتحَل.

يفضّل المهاجمون النطاقات التي لا ترسل بريداً: اسم تجاري قديم، أو نطاق دولة اشتريته لحماية اسمك، أو نطاق للاختبار. فإذا لم تكن لها سجلات، فلا شيء يخبر الخوادم المستقبِلة أن البريد الصادر منها مزيف.

توصي Microsoft بسجلين لكل نطاق غير مستخدم: سجل SPF بالقيمة v=spf1 -all (لا يُسمح لأي خادم بالإرسال)، وسجل DMARC بالقيمة v=DMARC1; p=reject. وفي Microsoft 365 يشمل ذلك نطاق .onmicrosoft.com إذا لم تكن ترسل منه. يستغرق ذلك دقائق لكل نطاق، ويغلق طريقاً سهلاً لانتحال الهوية.

لا يحجب BIMI شيئاً بمفرده، بل يكافئ النطاق الذي يجتاز الفحوص الثلاثة الأولى بعرض شعارك بجوار رسائلك في Gmail وصناديق البريد الأخرى التي تدعمه.

ولكي تظهر علامة التوثيق الزرقاء في Gmail تحتاج إلى سياسة DMARC بقيمة quarantine أو reject، وشعار مسجّل علامةً تجارية، وشهادة Verified Mark Certificate (VMC). أما شهادة Common Mark Certificate فتعرض الشعار دون علامة التوثيق. وقد يستغرق تسجيل العلامة التجارية شهوراً، فابدأ به مبكراً. ويشرح دليلنا في قاعدة المعرفة الحصول على علامة التوثيق الزرقاء في Gmail عبر BIMI.

نفّذها بهذا الترتيب. يأتي BIMI في النهاية لأنه يعتمد على فرض DMARC.

نضبط SPF وDKIM وDMARC في كل عملية نشر للبريد ننفذها، وتنقل خدمة DMARC لدينا النطاقات القائمة من p=none إلى p=reject مع متابعة التقارير، فتستمر الفواتير ورسائل الموقع المشروعة في الوصول. وإذا لم تكن متأكداً من وضع نطاقك، فابدأ بـ التقييم الأمني المجاني لدى جلف إنفوتك (Gulf Infotech)، الذي ينتهي بتقرير مختصر.