SPF وDKIM وDMARC: تعريف كلٍّ منها ودوره

SPF وDKIM وDMARC ثلاثة سجلات DNS تُثبت أن البريد المُرسَل باسم نطاقك صادر عنك فعلًا. يحدّد SPF الخوادم المسموح لها بالإرسال، ويوقّع DKIM كل رسالة، ويخبر DMARC المستلم بما يجب فعله عند فشل التحقّق — ويرسل إليك تقارير. ومنذ 1 فيفري 2024، يشترط Gmail على كل المُرسِلين اعتماد واحد على الأقل من الأوّلَين.

SPF: من يحقّ له الإرسال

يُعرَّف SPF (Sender Policy Framework) في المعيار RFC 7208. وهو يتيح لمالك النطاق أن «explicitly authorize the hosts that are allowed to use their domain names» أي أن يأذن صراحةً للخوادم المسموح لها باستخدام نطاقه، ويتيح للخادم المستقبِل التحقّق من هذا الإذن (RFC 7208).

عمليًا، هو سجل TXT يبدأ بـ v=spf1 ويُدرج المُرسِلين: خدمة بريدك، وأداة النشرة البريدية، ونظام CRM.

الفخ الكلاسيكي هو حدّ الاستعلامات العشرة. فآليات include وa وmx وptr وexists والمُعدِّل redirect يُطلق كلٌّ منها استعلام DNS، ويفرض المعيار التوقّف عند 10: ما بعدها يُرجع التحقّق خطأً دائمًا (permerror). وكل أداة SaaS جديدة تضيف include… وفي يوم ما، دون أي تغيير في الإرسال، تفشل رسائلك في اختبار SPF.

DKIM: توقيع على كل رسالة

يُعرَّف DKIM (DomainKeys Identified Mail) في المعيار RFC 6376، وهو «permits a person, role, or organization that owns the signing domain to claim some responsibility for a message by associating the domain with the message» أي يتيح لمالك النطاق المُوقِّع تحمّل جزء من المسؤولية عن الرسالة بربط نطاقه بها (RFC 6376).

يضيف خادم الإرسال ترويسة DKIM-Signature إلى كل رسالة. أما المفتاح العام الذي يتيح التحقّق من هذا التوقيع فيُنشر في DNS تحت نطاق فرعي اسمه _domainkey: لمُحدِّد s1 على example.com، يكون الاستعلام عن s1._domainkey.example.com. وإذا عُدّلت الرسالة أثناء النقل، لا يعود التوقيع مطابقًا.

DMARC: السياسة والتقارير

يربط DMARC الآليتين الأوليين بالعنوان الذي يراه المستلم فعلًا. والمعيار المرجعي اليوم هو RFC 9989، الصادر سنة 2026 ضمن مسار معايير الإنترنت، والذي يُلغي المعيار RFC 7489 الصادر سنة 2015 (وهو RFC إعلامي) (RFC 9989).

فكرتان يجب تذكّرهما:

المواءمة. لكي ينجح DMARC، لا يكفي أن ينجح SPF أو DKIM: يجب أن يكون النطاق الذي نجح «متوائمًا» مع نطاق المؤلّف — أي النطاق الظاهر في ترويسة From — إمّا بشكل صارم (مطابق) أو مرن (النطاق التنظيمي نفسه).

السياسة. يعبّر سجل DMARC عمّا تريده عند فشل التحقّق:

• none: لا تفضيل معلن — مجرد مراقبة؛
• quarantine: الرسالة تُعدّ مشبوهة؛
• reject: الفشل دليل واضح على أن استخدام النطاق غير مشروع.

ويتيح DMARC أيضًا طلب تقارير: التقارير المجمّعة (RFC 9990) وتقارير الفشل (RFC 9991). وهي التي تكشف لك من يرسل بريدًا باسمك.

ما يشترطه Gmail

تُطبَّق قواعد Google الخاصة بالمُرسِلين منذ 1 فيفري 2024 (Google, Email sender guidelines):

• كل المُرسِلين: SPF أو DKIM، ونسبة بريد مُبلَّغ عنه كمزعج في Postmaster Tools أقل من 0,3%، واتصال TLS.
• أكثر من 5000 رسالة يوميًا نحو Gmail: SPF وDKIM، وسجل DMARC (يمكن أن تكون السياسة none)، وترويسة From متوائمة مع نطاق SPF أو DKIM، وبالنسبة إلى الرسائل التسويقية: إلغاء الاشتراك بنقرة واحدة مع رابط ظاهر في الرسالة.

بأي ترتيب تُعدّها

1. SPF: أدرج كل مُرسِليك الفعليين، مع مراقبة حدّ الاستعلامات العشرة.
2. DKIM: فعّل التوقيع في كل أداة ترسل باسمك.
3. DMARC بسياسة none مع التقارير: راقب لبضعة أسابيع من يرسل ماذا.
4. ثم انتقل إلى quarantine، ثم إلى reject، بعد أن تتوافق كل الإرسالات المشروعة.

تخطّي مرحلة المراقبة هو أضمن طريقة لحجب فواتيرك أو نشرتك البريدية بنفسك.