أمن البريد الإلكتروني · DMARC وSPF وDKIM · دبي ومسقط والدوحة
إعداد DMARC ومراقبته
نحدد كل خدمة ترسل البريد باسم نطاقك، ونصلح SPF وDKIM، وننقل سياسة DMARC إلى الرفض دون أن تضيع رسالة فاتورة مشروعة واحدة.
لماذا تعدّ DMARC معنا؟
منذ 2007في الشرق الأوسط، ولدينا أكثر من 1,500 عميل نشط للخدمات السحابية، ومكاتب في دبي ومسقط والدوحة.
شريك حلول Microsoft للعمل الحديث (Solutions Partner for Modern Work)وشريك Google Cloud المميز (Premier Partner): نعدّ توقيع DKIM داخل Microsoft 365 وGoogle Workspace ضمن العمل نفسه.
نصمم حلولMimecast وProofpoint وننشرها وندعمها، وكلاهما يتضمن أدوات تقارير DMARC.
دعم بالعربية والإنجليزيةخلال ساعات العمل في الخليج.
DMARC سجل في DNS يخبر خوادم البريد المستقبِلة بما تفعله مع الرسائل التي تدّعي أنها من نطاقك لكنها تفشل في فحص SPF وDKIM، ويرسل إليك تقارير عمّن يستخدم نطاقك. تعدّ جلف إنفوتك (Gulf Infotech)، التي تخدم الشركات في الشرق الأوسط منذ 2007، سجلات SPF وDKIM وDMARC، وتراقب التقارير حتى يصل نطاقك إلى p=reject.
- p=noneبدء التقارير
- حصر المرسلينكل خدمة ترسل باسمك
- ضبط SPF وDKIMمواءمة كل مرسل
- p=rejectرفض الانتحال
مِمَّ يحميك DMARC؟
يوقف DMARC البريد الذي يستخدم نطاقك نفسه، لكنه لا يوقف النطاقات المشابهة مثل yourcornpany.com. ولهذه تحتاج إلى أمن البريد الإلكتروني مع كشف انتحال الهوية.
انتحال النطاق نفسه
محتال يرسل "من" accounts@yourcompany.com إلى عملائك ببيانات حساب بنكي جديدة.
احتيال الرئيس التنفيذي والموردين داخل شركتك
رسالة مزيفة من مديرك العام تطلب من المالية تحويلاً عاجلاً.
تصيّد يستغل علامتك التجارية
رسائل إلى عملائك تبدو كفواتيرك أو إشعارات التسليم الخاصة بك.
ضعف وصول الرسائل
فواتيرك ونشراتك تذهب إلى البريد العشوائي، أو يرفضها Gmail وYahoo وOutlook.com، لأن نطاقك غير موثّق.
كيف يمنع DMARC انتحال نطاقك؟
تحمل كل رسالة بريد عنوان مرسِل (From) يستطيع أي شخص كتابته. ويتيح DMARC لمالك النطاق أن ينشر في DNS قاعدة تتحقق منها خوادم البريد المستقبِلة في كل رسالة: هل جاءت الرسالة فعلاً من خادم أذن به مالك النطاق (SPF)، وهل وُقّعت بمفتاح النطاق نفسه (DKIM)؟ فإن لم ينجح أي من الفحصين لنطاقك، يطبّق الخادم المستقبِل سياسة DMARC التي حددتها: تسليم الرسالة مع الإبلاغ عنها (p=none)، أو نقلها إلى البريد غير المرغوب (p=quarantine)، أو رفضها (p=reject). وعند p=reject لا يعود المحتال قادراً على إرسال بريد يحمل نطاقك نفسه، وتُظهر لك التقارير اليومية كل خادم حاول ذلك.
وتفيد بيانات DMARC خارج البريد أيضاً. إذ يمكن ربط التقارير ونتائج التحقق بأداة SIEM لإدارة المعلومات والأحداث الأمنية، فتُكتشف حملة انتحال أو هجوم على بنية البريد مبكراً، ويُحتوى قبل أن يمتد إلى أنظمة أخرى أو منصات حيوية.
هل تحتاج إلى أداة DMARC منفصلة؟
ليس دائماً. فإن أردت منصة بريد فيها DMARC مدمج، تتضمن Zoho Workplace Professional وظائف DMARC وتقاريرها ضمن الباقة، دون حل إضافي تشتريه. وإن كنت تستخدم منصة أخرى مثل Microsoft 365 أو Google Workspace، نقدّم DMARC خدمةً مستقلة أو عبر أداة DMARC تناسب متطلباتك، ويمكننا تشغيله لك خدمةً مُدارة.
ماذا تشترط Gmail وYahoo وOutlook.com على المرسلين؟
أصبح كبار مزودي صناديق البريد الثلاثة يشترطون التوثيق. وإذا كان نطاقك يرسل أكثر من 5,000 رسالة يومياً إلى مستخدميهم فالقواعد أشد.
| الشرط | Gmail (Google) | Yahoo | Outlook.com وHotmail وLive (Microsoft) |
|---|---|---|---|
| كل المرسلين | SPF أو DKIM، وDNS أمامي وعكسي صالح، وTLS، ومعدل بريد عشوائي أقل من 0.3% | SPF أو DKIM، وDNS أمامي وعكسي صالح، ومعدل بريد عشوائي أقل من 0.3% | غير مذكور منفصلاً |
| حد الإرسال الكبير | أكثر من 5,000 رسالة يومياً إلى حسابات Gmail | المرسلون بكميات كبيرة | أكثر من 5,000 رسالة يومياً |
| SPF وDKIM | كلاهما | كلاهما | يجب أن ينجح الاثنان |
| DMARC | مطلوب، ويمكن أن تكون السياسة p=none | مطلوب، على الأقل p=none | مطلوب، على الأقل p=none |
| التوافق (Alignment) | نطاق المرسل (From) متوافق مع نطاق SPF أو DKIM | متوافق مع SPF أو DKIM (التوافق المرن مقبول) | متوافق مع SPF أو DKIM، ويُفضَّل الاثنان |
| إلغاء الاشتراك | بنقرة واحدة لرسائل التسويق، مع رابط ظاهر | بنقرة واحدة، ويُنفَّذ خلال يومين | يُنصح برابط إلغاء اشتراك ظاهر بوضوح |
| سارٍ منذ | 1 فبراير 2024 | فبراير 2024، على مراحل | 5 مايو 2025، ويُرفض البريد غير المطابق برمز الخطأ 550 5.7.515 |
الخلاصة: p=none يحقق الحد الأدنى، لكنه لا يوقف الانتحال. وحدهما quarantine وreject يفعلان ذلك. كما تطلب Google مفاتيح DKIM بطول 1,024 بت على الأقل، وتوصي بطول 2,048 بت.
ماذا تعني سياسات DMARC الثلاث: p=none وp=quarantine وp=reject؟
الوصول إلى p=reject يحتاج إلى عناية، والعائق المعتاد هو المرسلون المنسيون: نظام ERP الذي يرسل الفواتير، ونظام الموارد البشرية، ونموذج التواصل في الموقع، ومنصة التسويق، والماسح الضوئي في المكتب.
p=none (مراقبة): يسلّم المستقبِلون البريد كالمعتاد ويرسلون إليك التقارير. استخدمها لاكتشاف كل خدمة ترسل باسم نطاقك.
p=quarantine (حجر): يذهب البريد الذي يفشل في DMARC إلى مجلد البريد العشوائي لدى المستلم.
p=reject (رفض): يُرفض البريد الذي يفشل في DMARC. وهذا هو الهدف، والسياسة الوحيدة التي تحمي نطاقك بالكامل.
كيف ننقل نطاقك إلى p=reject؟
النطاقات غير المستخدمة تحصل من اليوم الأول على سجلات SPF وDMARC ترفض كل بريد منها. وتوصي Microsoft بتوثيق النطاقات غير المستخدمة أيضاً، لأن المهاجمين ينتحلونها كذلك.
فحص النطاق
نراجع سجلات SPF وDKIM وDMARC وMX وDNS العكسي لكل نطاقاتك، بما فيها النطاقات غير المستخدمة التي لا ترسل بريداً.
نشر p=none مع التقارير
نبدأ جمع التقارير المجمّعة من الخوادم المستقبِلة.
حصر المرسلين
نحدد كل خدمة تظهر في التقارير ونقرر أيها مشروع.
إصلاح SPF وDKIM
نفعّل DKIM في Microsoft 365 أو Google Workspace وفي كل مرسل خارجي، ونجعل كل مرسل متوافقاً مع نطاقك.
الحجر ثم الرفض
نشدد السياسة على مراحل، عادةً خلال عدة أسابيع (مدة تقديرية تختلف حسب المرسلين لديك ومتطلباتك)، مع مراجعة التقارير في كل خطوة.
المراقبة (خدمة مُدارة)
فحوص دورية بحثاً عن مرسلين جدد ومحاولات انتحال، وتحديث السجلات عند إضافة نظام جديد، وتقرير ربع سنوي بما يجب إصلاحه.
هل تُعدّون BIMI والشعار الموثّق في Gmail؟
نعم، من البداية إلى النهاية. يعرض BIMI شعارك بجانب رسائلك، لكنه ليس إصلاحاً بنقرة واحدة. يجب أولاً أن تتوافق سجلات SPF وDKIM وDMARC وأن تصل إلى مرحلة الإنفاذ، ثم تصدر شهادة العلامة الموثّقة (VMC) لشعارك المسجّل، ويُنشر سجل BIMI، ونتحقق من أن كل شيء يعمل. نتولى ترتيب شهادة VMC والإعداد والنشر، أما تسجيل العلامة التجارية فتتولاه شركتك. راجع علامة التوثيق الزرقاء في Gmail.
ما المتطلبات التي يساعد فيها DMARC؟
المتطلب: قواعد المرسلين في Gmail وYahoo وOutlook.com
كيف تساعد DMARC وSPF وDKIM: إلزامية لمن يرسل أكثر من 5,000 رسالة يومياً، وتبقي بريدك بعيداً عن البريد العشوائي والرفض
المتطلب: استبيانات الأمن من العملاء والبنوك
كيف تساعد DMARC وSPF وDKIM: DMARC بسياسة الرفض سؤال شائع في مراجعات الموردين
المتطلب: التأمين السيبراني والتدقيق
كيف تساعد DMARC وSPF وDKIM: يثبت وجود ضابط موثّق ضد انتحال النطاق
كم تكلفة إعداد DMARC؟
سجل DMARC نفسه مجاني في DNS. وتدفع مقابل العمل، ومقابل أداة التقارير إن أردتها. نسعّر التنفيذ لكل نطاق، ونوصي بخدمة DMARC المُدارة لدينا: فحوص دورية وتقارير ربع سنوية مع إرشادات لمعالجة أي مشكلة نجدها، فيبقى انتحال نطاقك تحت السيطرة. ويكون العمل عادةً أكبر في الشركات التي لديها مرسلون خارجيون كثيرون أو نطاقات كثيرة. وبصفتنا شريكاً لـ dmarcian، نستخدم dmarcian لتقارير DMARC، وتتوفر أدوات التقارير أيضاً في Mimecast (DMARC Analyzer) وProofpoint (DMARC Manager ضمن 365 Total Protection، وEmail Fraud Defense للشركات الأكبر). ونقدم عروض الأسعار بالريال العُماني أو الدرهم الإماراتي أو الريال القطري (وبالدولار للسعودية والكويت والبحرين)، مع إظهار ضريبة القيمة المضافة المحلية منفصلة (عُمان والإمارات 5%، السعودية 15%، البحرين 10%، قطر والكويت بلا ضريبة).
ما المقصود بإعداد DMARC ومراقبته؟
إعداد DMARC يعني نشر سجل DMARC، وجعل SPF وDKIM ينجحان ويتوافقان لكل خدمة ترسل البريد باسم نطاقك. والمراقبة تعني قراءة التقارير اليومية التي ترسلها الخوادم المستقبِلة، ورصد المرسلين الجدد ومحاولات الانتحال، ونقل السياسة من p=none إلى quarantine ثم reject. وتقدم جلف إنفوتك الخدمتين للشركات في الشرق الأوسط.
كم التكلفة لكل مستخدم أو جهاز؟
لا يُسعَّر DMARC لكل مستخدم أو جهاز. فسجل DNS مجاني، ونسعّر التنفيذ لكل نطاق، ونوصي بإضافة خدمتنا المُدارة مع فحوص دورية وتقارير ربع سنوية تبيّن ما يجب إصلاحه. ويعتمد الجهد على عدد الأنظمة التي ترسل البريد باسم نطاقك، مثل نظام ERP ونظام CRM وأدوات التسويق. ونقدم عرض السعر بعملتك المحلية مع إظهار ضريبة القيمة المضافة منفصلة.
هل تديرونه نيابة عنا؟
نعم. ننشر السجلات ونحدّثها، ونقرأ تقارير DMARC، ونضيف المرسلين الجدد عند اعتمادك أنظمة جديدة، وننبهك عندما يحاول أحد انتحال نطاقك. وتبقى إدارة DNS بيدك، ولا نجري أي تغيير إلا بموافقتك. وإذا فضّل فريق تقنية المعلومات لديك إدارته بنفسه، نسلّمه قائمة موثّقة بالمرسلين ومجموعة السجلات.
ما أطر الامتثال التي يساعد فيها؟
تشترط Gmail وYahoo وOutlook.com وجود DMARC وSPF وDKIM لمن يرسل أكثر من 5,000 رسالة يومياً. وهي أيضاً من الأسئلة المعتادة في مراجعات الأمن لدى البنوك وشركات التأمين وكبار العملاء، حيث الإجابة المتوقعة هي DMARC بسياسة p=reject.
هل تكفي سياسة p=none لإيقاف الانتحال؟
لا. سياسة p=none تطلب من الخوادم المستقبِلة إرسال التقارير فقط، ويستمر تسليم البريد المنتحَل. وهي تحقق الحد الأدنى الذي تشترطه Gmail وYahoo وMicrosoft على المرسلين بكميات كبيرة، لكن الحماية تبدأ مع p=quarantine وتكتمل مع p=reject. ونستخدم p=none في الأسابيع الأولى فقط، لاكتشاف كل مرسل مشروع قبل تشديد السياسة.
هل سيمنع DMARC وصول رسائلنا نحن؟
لا، إذا نُفذ على مراحل. الانتقال مباشرة إلى p=reject دون حصر المرسلين قد يحجب بريداً مشروعاً من نظام ERP أو نماذج الموقع أو أدوات التسويق. لذلك نبدأ بسياسة p=none، ونصلح SPF وDKIM لكل مرسل يظهر في التقارير، وبعدها فقط ننتقل إلى quarantine ثم reject.
افحص نطاقك
أرسل إلينا أسماء نطاقاتك، وسنراجع SPF وDKIM وDMARC، ثم نخبرك بما ينقصك وما يلزم للوصول إلى p=reject.