هل ترسل الكثير من رسائل البريد الإلكتروني الهامة المتعلقة بالعمل لتكتشف أنها تختفي في صمت الراديو؟ من المحتمل جداً أن ينتهي المطاف برسائلك في مجلد البريد العشوائي لدى المستلمين. غالباً ما يحدث هذا بسبب عدم مصادقة نطاق بريدك الإلكتروني بشكل صحيح، مما يمنح خوادم البريد المستلمة سبباً وجيهاً لحفظ رسائلك بهدوء في مجلد البريد العشوائي.
هذا السيناريو يفاجئ الكثيرين، بما في ذلك الفرق التي لديها محتوى بريد إلكتروني عالي الجودة. لحسن الحظ، هناك حل فعال يتضمن ثلاثة سجلات DNS حيوية: SPF و DKIM و DMARC. تعمل هذه السجلات معًا لتثبت للإنترنت أن رسائل بريدك الإلكتروني شرعية، وتحمي نطاقك من الاختراق وانتحال الشخصية من قبل مجرمي الإنترنت.
مع بدء عمالقة مثل Gmail و Yahoo بفرض متطلبات المصادقة هذه على المرسلين في فبراير 2024، وMicrosoft في مايو 2025، لم يعد إعدادها اختيارياً بل ضرورياً لضمان قابلية تسليم بريدك الإلكتروني. إذا لم تقم بإعدادها بعد، فقد حان الوقت لذلك.
النقاط الرئيسية لتأمين بريدك الإلكتروني
- هناك ثلاثة سجلات DNS أساسية: SPF و DKIM و DMARC تحمي نطاقك وتحافظ على رسائل البريد الإلكتروني الخاصة بك بعيدًا عن مجلدات الرسائل المزعجة.
- تشغيل هذه البروتوكولات الثلاثة يمنحك تغطية كاملة وشاملة.
- بالإضافة إلى قابلية التسليم، فإنها تحمي نطاقك أيضاً من محاولات الاختراق وانتحال الشخصية.
ماذا تفعل بروتوكولات SPF و DKIM و DMARC؟
يعالج كل بروتوكول من البروتوكولات الثلاثة نقطة ضعف مختلفة في مصادقة البريد الإلكتروني. يتحقق نظام التعرف على هوية المرسل (SPF) من أن الخادم الذي يرسل بريدك الإلكتروني مخول للقيام بذلك. يضيف DKIM توقيعًا مشفرًا إلى رسائلك الصادرة، مما يؤكد عدم تغييرها أثناء النقل.
يربط DMARC البروتوكولين معًا من خلال نشر سياسة تخبر الخوادم المتلقية بما يجب فعله عند فشل أي من التحققين، مع توجيه تقارير المصادقة إليك.
أنت حقًا بحاجة إلى الثلاثة. لا يمكن لنظام SPF وحده أن يمنع أي شخص من تزوير عنوان ‘من’ الذي يراه المستلم في بريده الوارد. لن يتمكن DKIM وحده من التقاط رسالة بريد إلكتروني مرسلة من خادم غير مصرح به. فقط عند تشغيل الثلاثة معًا، يمكنك الحصول على تغطية كاملة ضد مشكلات قابلية التسليم وانتحال النطاق.
1. SPF (Sender Policy Framework): تفويض الخوادم التي ترسل نيابة عنك
SPF هو سجل TXT لنظام أسماء النطاقات (DNS) يسرد كل عنوان IP وخادم بريد مصرح له بإرسال بريد إلكتروني نيابة عن مجالك. عندما يتلقى خادم بريد المستلم رسالة تدعي أنها منك، فإنه يتحقق من هذا السجل مقابل عنوان IP الخاص بالخادم المرسل. إذا لم يكن عنوان IP موجودًا في القائمة، فستفشل الرسالة في المصادقة.
يتضمن إعداد سجل SPF تسجيل الدخول إلى مسجل النطاق الخاص بك وإضافة سجل TXT في جذر النطاق الخاص بك. وإليك كيفية عمل ذلك:
- 1. احصل أولاً على قيمة SPF من خدمة البريد الإلكتروني لديك. توفر Google Workspace وMicrosoft 365 ومعظم المنصات قيمة السجل الدقيقة التي تحتاجها للنسخ واللصق في صفحة مصادقة النطاق الخاصة بها. على سبيل المثال، بالنسبة إلى Google Workspace، تكون القيمة: v=spf1 include:_spf.google.com ~all.
- 2. إذا قمت بإرسال رسائل بريد إلكتروني من خلال خدمات متعددة، فيجب عليك تجميعها في نفس السجل. على سبيل المثال: v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all.
- 3. قم بتسجيل الدخول إلى النظام الأساسي حيث تدير سجلات DNS الخاصة بنطاقك (مثل GoDaddy، Cloudflare، Namecheap). قم بإنشاء سجل TXT جديد على صفحة DNS الخاصة بك، وقم بتعيين المضيف على @ (نطاقك الجذري)، والصق قيمة SPF من الخطوة السابقة.
الأمر بهذه السهولة! لاحظ أن المجال الخاص بك يمكن أن يحتوي على سجل SPF TXT واحد فقط، مع ما لا يزيد عن 10 عمليات بحث لنظام أسماء النطاقات. سيؤدي إنشاء سجل SPF ثاني بدلاً من تحرير الأول إلى كسر كليهما. لذا، حافظ على قائمة المرسلين المعتمدين لديك بسيطة.
2. DKIM (DomainKeys Identified Mail): إضافة توقيع مقاوم للتلاعب إلى كل بريد إلكتروني
يستخدم DKIM تشفير المفتاح العام لتوقيع رسائلك الصادرة. يقوم خادم البريد الخاص بك بإرفاق توقيع باستخدام مفتاح خاص يحتفظ به، حتى يتمكن المستلمون من التحقق منه مقابل المفتاح العام المطابق الذي نشرته في DNS الخاص بك. إذا تم تعديل البريد الإلكتروني في أي وقت بين الخادم الخاص بك وصندوق الوارد الخاص بالمستلم، فسيفشل التحقق من التوقيع.
ستقوم Google Workspace وMicrosoft 365 ومعظم منصات البريد الإلكتروني الرئيسية مثل SendGrid بإنشاء زوج مفاتيح DKIM لك. مهمتك هي نسخ المفتاح العام الذي يقدمونه ولصقه في إعدادات DNS الخاصة بنطاقك كسجل TXT جديد.
على الرغم من أن خطوات الإعداد الدقيقة تعتمد على موفر البريد الإلكتروني ومسجل النطاق، فإليك نظرة عامة على ما يتعين عليك القيام به:
- 1. سيقوم Google Workspace وMicrosoft 365 ومقدمو خدمات البريد الإلكتروني الآخرون بإنشاء سجل DKIM لك إذا انتقلت إلى صفحة إعدادات مصادقة النطاق الخاصة بهم. انقر لإنشاء سجل جديد ونسخ هذه القيم أولاً.
- 2. بعد ذلك، انتقل إلى صفحة إعدادات DNS الخاصة بمسجل النطاق الخاص بك وقم بإنشاء سجل TXT جديد. لاحظ أن بعض مقدمي الخدمة قد يطلبون منك أيضاً إضافة هذا كسجل CNAME بدلاً من سجل TXT، لذا راجع وثائق مزود البريد الإلكتروني الخاص بك.
- 3. الصق اسم المضيف وقيمة السجل التي حصلت عليها من مزود البريد الإلكتروني الخاص بك في سجل DNS الجديد. تأكد من عدم وجود أخطاء إملائية لأن ذلك قد يؤثر على أمان المجال.
- 4. الآن، ارجع إلى إعدادات مصادقة موفر البريد الإلكتروني الخاص بك. هذا هو المكان الذي تقوم فيه بتمكين توقيع DKIM لنطاقك. تذكر أنه يجب عليك القيام بذلك بعد 24 إلى 48 ساعة نظراً لأن سجلات DNS تستغرق بعض الوقت للانتشار عبر نطاقك.
يعد DKIM مفيدًا بشكل خاص للرسائل المعاد توجيهها. غالباً ما يؤدي إعادة التوجيه إلى كسر نظام SPF نظراً لتغير عنوان IP، ولكن عادةً ما يظل توقيع DKIM سليمًا. وهذا يعني أن البريد الإلكتروني المعاد توجيهه لا يزال بإمكانه اجتياز المصادقة عندما يفشل SPF وحده.
3. DMARC (Domain-based Message Authentication, Reporting, and Conformance): تعيين القواعد لما يحدث عند فشل المصادقة
DMARC هي طبقة السياسة التي تجعل SPF و DKIM قابلين للتنفيذ. وبدون ذلك، لن يكون لدى خادم الاستقبال الذي يكتشف عملية فحص فاشلة أي تعليمات حول ما يجب فعله بعد ذلك، ولن يكون لديك رؤية لما حدث من فشل أو سببه.
وإليك كيفية تشغيل DMARC:
- 1. ابدأ بإنشاء صندوق بريد مخصص لتقارير DMARC أولاً، مثل Reports@yourdomain.com.
- 2. يقدم معظم موفري البريد الإلكتروني مولد DMARC في لوحة التحكم الخاصة بهم، ولكن يمكنك أيضاً استخدام خدمة خارجية مثل MXToolbox.
- 3. أضف سجل TXT جديدًا. يجب أن يقرأ اسم المضيف _dmarc. الصق قيمة السجل مباشرة من منشئ DMARC الخاص بك.
- 4. ترقب أي تقارير فشل في بريدك الوارد المخصص لمدة 2-4 أسابيع. سيكشف هذا عن أي مشكلات تتعلق بصندوق البريد تحتاج إلى معالجة لتحسين إمكانية التسليم.
كما هو الحال مع البروتوكولين الآخرين، فإن DMARC عبارة عن سجل TXT، تتم إضافته هذه المرة إلى _dmarc.yourdomain.com. يبدو سجل البداية البسيط كما يلي: v=DMARC1; p=none; rua=mailto:reports@yourdomain.com. الإعداد p=none يعني أن خوادم الاستقبال لن تتخذ أي إجراء بشأن الرسائل الفاشلة، ولكنها سترسل إليك تقارير مجمعة على العنوان الذي تحدده. توضح هذه التقارير الخدمات التي يتم إرسالها نيابةً عنك وما إذا كانت تقوم بتمرير المصادقة أم لا.
بمجرد قيامك بمراجعة بضعة أسابيع من التقارير والتأكد من أن بريدك الشرعي يمر بشكل نظيف، يمكنك تشديد السياسة. انتقل إلى p=quarantine لتوجيه الرسائل الفاشلة إلى البريد العشوائي، ثم في النهاية إلى p=reject لحظرها بالكامل.
ربما يكون الانتقال مباشرة إلى p=reject قبل مراجعة تقاريرك هو خطأ التنفيذ الأكثر شيوعًا الذي نراه، وينتهي الأمر بحظر رسائل البريد الإلكتروني التسويقية أو الخاصة بالمعاملات المشروعة.
لماذا لا يمكنك الاكتفاء بواحد فقط من هذه البروتوكولات؟
يحتوي كل بروتوكول على فجوة يملأها الآخرون. يتحقق SPF من خادم الإرسال وليس عنوان ‘من’ الذي يراه المستلمون فعلياً، حتى يتمكن المهاجم من تمرير SPF مع الاستمرار في انتحال هوية مجالك. يتحقق DKIM من سلامة الرسالة ولكنه لا يتحقق مما إذا كان مجال التوقيع يطابق المرسل المرئي.
يفرض DMARC التوافق بين كل هذه العناصر ويطبق السياسة التي اخترتها عندما يكون هناك شيء غير متوافق.
إن الجانب الصعودي لقابلية التسليم المجمعة قابل للقياس. وفقاً لتقارير الصناعة، تشهد النطاقات التي تمت مصادقتها بشكل صحيح معدلات وضع البريد الوارد أعلى بنحو 60 نقطة مئوية من تلك التي لم تتم مصادقتها. بالنسبة لأي شخص يدير حملات توعية أو رسائل إخبارية جماعية، فإن هذه الفجوة هي الفرق بين الحملة التي تحقق نتائج والحملة التي تختفي تماماً.
كيفية التحقق من عمل سجلاتك بشكل صحيح
تستغرق تغييرات DNS عادةً ما بين 15 دقيقة إلى 48 ساعة للانتشار في جميع أنحاء العالم. بمجرد مرور هذه المدة، يمكن للأدوات المجانية أن تخبرك على الفور ما إذا كان كل شيء قد تم تكوينه بشكل صحيح. يحتوي MX Toolbox على أدوات فحص منفصلة لأنظمة SPF و DKIM و DMARC. يمكنك أيضاً إرسال بريد إلكتروني تجريبي إلى check@dmarcly.com، والذي يرد عليك بتقرير مصادقة كامل لنطاقك.
تعد تقارير DMARC المجمعة هي الإشارة المستمرة الأكثر قيمة. في غضون يوم أو يومين من نشر سجل DMARC، ستبدأ التقارير في الوصول إلى العنوان الذي حددته. إنها تُظهر كل خادم يرسل بريداً إلكترونياً ضمن نطاقك وما إذا كان كل خادم يمرر أو يفشل في المصادقة. إن قراءتها بانتظام هي أفضل طريقة لاكتشاف التكوينات الخاطئة مبكراً، قبل أن تؤثر على إمكانية التسليم أو تسمح بإساءة استخدام نطاقك في حملات التصيد الاحتيالي.
إن إتقان إعدادات سجلات DNS هذه ليس مجرد خطوة تقنية، بل هو استثمار حيوي في مصداقية علامتك التجارية وفعالية تواصلك الرقمي. لا تدع رسائلك الهامة تضيع في زحام البريد العشوائي بعد الآن.