SPF وDKIM وDMARC بالعربي: دليل توثيق نطاق شركتك قبل الإرسال

الجواب المختصر: هذه ثلاث آليات لتوثيق البريد تعتمد في إعدادها على DNS. تساعد جهة الاستقبال على فحص الجهة المرسلة وسلامة الأجزاء الموقّعة ومحاذاة النطاق الظاهر. SPF يحدد الخوادم والخدمات المسموح لها بالإرسال عن نطاقك. DKIM يضيف توقيعاً رقمياً يتيح فحص سلامة الأجزاء الموقّعة وارتباطها بالنطاق الموقّع. DMARC يربط الاثنين بعنوان المرسل الظاهر، ويخبر المستقبِل ماذا يفعل بالرسالة إذا فشل التحقق، ويرسل لك تقارير. بدونها قد تذهب رسائلك إلى السبام، ويستطيع أي شخص انتحال نطاقك بسهولة أكبر.

تشبيه بسيط

تخيّل أن رسالتك طرد يصل إلى شركة:

• SPF هو قائمة شركات الشحن المعتمدة لديك. إذا وصل الطرد مع شركة شحن ليست في القائمة، فهو مشكوك فيه.

• DKIM هو الختم على الطرد. إذا كُسر الختم، فقد فُتح الطرد أو عُدّل في الطريق.

• DMARC هو التعليمات لموظف الاستلام: "تأكد أن اسم المرسل المكتوب على الطرد يطابق القائمة أو الختم، وإن لم يطابق فارفضه أو ضعه جانباً، وأرسل لي تقريراً".

جدول المقارنة

1) SPF: من يحق له الإرسال عن نطاقك؟

سجل SPF هو سجل TXT واحد على نطاقك يبدأ بـv=spf1، ويذكر الخدمات المسموح لها بالإرسال، وينتهي بقاعدة لما عداها:

v=spf1 include:spf.provider-a.example include:spf.provider-b.example ~all

ثلاث قواعد تجنّبك أغلب المشاكل:

1. سجل SPF واحد فقط للنطاق. إذا كنت تستخدم بريد الشركة وخدمة حملات وخدمة فواتير، فادمجها كلها في سجل واحد. وجود سجلين يُفشل SPF.

2. حد 10 استعلامات DNS. كل include يحسب استعلاماً أو أكثر. تجاوز 10 يجعل SPF يفشل حتى لو كانت القيم صحيحة.

3. ~all و-all: الأولى تنتج Softfail والثانية Fail للمرسل غير المطابق. هذه نتائج فحص يستخدمها المستقبِل ضمن سياساته؛ لا تعني أمراً يضمن رفض الرسالة. يختار مسؤول البريد الإعداد بعد حصر المصادر الشرعية.

ملاحظة مهمة: SPF يتحقق من نطاق مسار الإرجاع (Return-Path أو MAIL FROM)، لا من العنوان الذي يراه المستلم. لذلك تتيح منصات الإرسال الجيدة إعداد نطاق MAIL FROM مخصص على نطاقك، حتى يتوافق SPF مع عنوان المرسل ويحتسبه DMARC.

2) DKIM: توقيع يمكن التحقق منه

مع DKIM، توقّع خدمة الإرسال كل رسالة بمفتاح خاص، وتنشر أنت المفتاح العام في DNS تحت اسم مثل:

selector1._domainkey.yourcompany.com

عندما تصل الرسالة، يجلب المستقبِل المفتاح العام ويتحقق من التوقيع. نجاح الفحص يدل على أن التوقيع صالح للأجزاء المشمولة به. لا يثبت وحده هوية الشخص الذي كتب الرسالة أو سلامة محتواها.

• لكل خدمة إرسال محدِّد (selector) خاص بها، فيمكن أن يكون لنطاقك عدة سجلات DKIM دون تعارض.

• انسخ القيمة كاملة كما تعطيك الخدمة. بعض لوحات DNS تقسم النصوص الطويلة أو تضيف علامات تنصيص، فتأكد بعد الحفظ.

• بعض الخدمات تعطيك سجلات CNAME بدل TXT، حتى تستطيع تدوير المفاتيح دون أن تعدّل DNS في كل مرة.

3) DMARC: القاعدة والتقارير

سجل DMARC يوضع على _dmarc.yourcompany.com، ويحدد ثلاثة أشياء: السياسة، والتوافق، وأين تُرسل التقارير:

v=DMARC1; p=none; rua=mailto:[email protected]

• p=none: طلب مراقبة دون إجراء عقابي بسبب DMARC نفسه. يمكن للجهات الداعمة إرسال التقارير عند إعدادها، وتظل سياسات الاستقبال الأخرى سارية.

• p=quarantine: طلب معاملة الرسائل الفاشلة على أنها مشبوهة؛ يحدد المستقبِل التنفيذ.

• p=reject: طلب رفض الرسائل التي تفشل؛ طبّقه بعد التحقق من مصادر الإرسال الشرعية والمحاذاة.

التوافق (Alignment) هو جوهر DMARC: لا يكفي أن ينجح SPF أو DKIM، بل يجب أن يكون النطاق الذي نجح متوافقاً مع نطاق عنوان From الظاهر. لهذا يفشل DMARC أحياناً مع أن SPF وDKIM "ناجحان"، لأن خدمة الإرسال وقّعت بنطاقها هي لا بنطاقك.

خطوات الإعداد الآمنة (بالترتيب)

1. اجرد كل من يرسل باسم نطاقك: بريد الموظفين، وخدمة الحملات، والمتجر، ونظام الفواتير، ونظام الدعم.

2. اجمع SPF في سجل واحد يضم كل هذه الخدمات، وتأكد أنه تحت حد 10 استعلامات.

3. فعّل DKIM لكل خدمة بالسجلات التي تعطيك إياها.

4. أعدّ نطاق MAIL FROM مخصصاً في خدمة الحملات إن كانت تدعمه.

5. انشر DMARC بسياسة p=none مع عنوان لاستقبال التقارير.

6. راقب التقارير لأسابيع: هل هناك خدمة شرعية تفشل؟ أصلحها أولاً.

7. ارفع السياسة تدريجياً إلى quarantine ثم reject عندما تكون كل الخدمات الشرعية متوافقة.

لا تبدأ بـp=reject مباشرة: إذا نسيت خدمة شرعية واحدة، كنظام الفواتير مثلاً، فسترفض مزوّدات البريد رسائلها لعملائك.

كيف يتم ذلك في هيو ميل

في هيو ميل تبدأ بإثبات ملكية نطاقك، ثم يعطيك المعالج قائمة DNS لإعداد DKIM وSPF وDMARC ونطاق MAIL FROM، بسجلات قابلة للنسخ وإرشادات إعداد. وإذا كان نطاقك على Cloudflare، يستطيع هيو ميل إضافة التغييرات بمساعدة رمز محدود الصلاحيات وبعد موافقتك الصريحة. أما مع المزوّدين الآخرين فالإعداد يدوي، ويستطيع مسؤول نطاقك المساعدة. بعد التحقق من النطاق تضيف هويات المرسلين وتبدأ الإرسال.

تذكّر أن التحقق من النطاق خطوة ضرورية، لكنه لا يضمن الوصول إلى الوارد وحده. السمعة وتفاعل المستلمين وجودة القائمة عوامل لا تقل أهمية، وهي موضوع قائمة الفحص لتجنب السبام.

وإذا كانت شركتك تستخدم صناديق بريد للموظفين أيضاً، فتذكّر أن تضمّ خدمتها إلى سجل SPF نفسه. تعرّف على بريد الأعمال في HyoNova.

مقالات ذات صلة

• كيف ترسل حملة بريد إلكتروني بالعربي دون أن تصل إلى السبام؟

• بديل Mailchimp يدعم العربية: كيف تختار وكيف تنتقل

الأسئلة الشائعة

هل أحتاج SPF وDKIM وDMARC كلها؟

إعداد الثلاثة أساس جيد لتوثيق النطاق. وتلزم Google المرسلين بكميات كبيرة إلى Gmail بالثلاثة، ويمكن أن تكون سياسة DMARC هي p=none ضمن متطلبات البداية.

هل يمكن أن يكون لنطاقي أكثر من سجل SPF؟

لا. يجب أن يكون هناك سجل SPF واحد فقط. اجمع كل الخدمات داخله.

كم تستغرق تغييرات DNS حتى تعمل؟

غالباً دقائق، وقد تصل إلى عدة ساعات بحسب مدة التخزين المؤقت (TTL) لدى مزوّد DNS. إذا لم يظهر التحقق فوراً، انتظر قليلاً ثم أعد المحاولة.

ما الفرق بين ~all و-all في SPF؟

الأولى تنتج Softfail والثانية Fail للمرسل غير المطابق. تستفيد جهة الاستقبال من النتيجة مع بقية الفحوص والسياسات؛ لا تضمن النتيجة وحدها قرار تسليم محدداً.

هل DMARC بسياسة p=none يحمي نطاقي؟

لا يمنع الانتحال، لكنه يعطيك رؤية عبر التقارير. هو مرحلة أولى قبل الانتقال إلى quarantine ثم reject.

هل يكفي التحقق من النطاق ليصل بريدي إلى الوارد؟

لا. التحقق يثبت هويتك، لكن مزوّد المستلم يحكم أيضاً على السمعة والتفاعل والشكاوى.

وثّق نطاقك ثم اختبر رسالة حقيقية

قيم DNS تختلف بين الحسابات. انسخ السجلات التي يعرضها حسابك بدقة، ولا تستخدم الأمثلة أعلاه كإعداد جاهز. راجع نتيجة التحقق ثم ترويسات رسالة اختبار، وتأكد من المحاذاة قبل توسيع الإرسال.

ابدأ إعداد هيو ميل مجاناً، واتبع توثيق البريد وقائمة النطاق في حسابك.

المراجع الفنية: معيار SPF، معيار DKIM، شرح DMARC في RFC 7489، ومتطلبات Gmail للمرسلين.

آخر مراجعة: 2026-10-18.