ما هو DMARC؟
DMARC (مصادقة الرسائل المستندة إلى النطاق والتقارير والمطابقة) محدد في RFC 7489. يبني فوق SPF و DKIM بإضافة قدرتين رئيسيتين: سياسة تخبر المستلمين بكيفية التعامل مع البريد غير المصادق عليه (مراقبة، حجر صحي، أو رفض)، وآلية إبلاغ ترسل لك تقارير XML حول من يرسل بريداً من نطاقك وما إذا كان يجتاز المصادقة.
بشكل حاسم، يضيف DMARC مفهوم **المحاذاة** (Alignment) — يجب أن يتطابق النطاق في رأس "From" المرئي للبريد الإلكتروني مع النطاق المصادق عليه بواسطة SPF أو DKIM. هذا يمنع المهاجمين من اجتياز SPF/DKIM على نطاق مختلف أثناء انتحال نطاقك في رأس From.
لماذا تحتاج إلى DMARC؟
1حماية رأس From
SPF و DKIM وحدهما لا يحميان عنوان From المرئي — DMARC يسد تلك الفجوة بالمحاذاة
2سياسة الإنفاذ
أنت تقرر ما يحدث للبريد الفاشل: مراقبته، إرساله إلى البريد المزعج، أو رفضه تماماً
3التقارير التجميعية
تظهر تقارير XML اليومية (RUA) كل عنوان IP يرسل بريداً بنطاقك ومعدلات النجاح/الفشل
4التقارير الجنائية
ترسل تقارير الفشل (RUF) نسخة منقحة من الرسائل الفاشلة الفردية للتحقيق
5مطلوب من قبل Google/Yahoo
منذ فبراير 2024، يجب أن يكون لدى مرسلي الرسائل الجماعية DMARC بسياسة p=none كحد أدنى للوصول إلى صناديق الوارد في Gmail/Yahoo
6حماية العلامة التجارية
يمنع وصول رسائل التصيد الاحتيالي التي تنتحل صفة علامتك التجارية إلى عملائك
كيف يعمل DMARC — خطوة بخطوة
تقوم بنشر سجل DMARC TXT في `_dmarc.yourdomain.com` مع تحديد سياستك وعناوين التقارير.
تصل رسالة إلى الخادم المستلم. يقوم بإجراء فحصي SPF و DKIM بشكل مستقل.
يتم اختبار محاذاة DMARC: هل يتطابق النطاق المصادق عليه (من SPF أو DKIM) مع نطاق رأس From؟
إذا نجح إما SPF+المحاذاة أو DKIM+المحاذاة، ينجح DMARC للرسالة.
إذا فشل كلاهما، يطبق المستلم سياستك: none (تسليم)، quarantine (مجلد البريد المزعج)، أو reject (ارتداد).
يجمع المستلم بيانات المصادقة لنطاقك ويرسل تقارير تجميعية (RUA) أو جنائية (RUF) إلى العناوين التي حددتها.
بنية سجل DMARC
v=DMARC1; p=quarantine; pct=100; sp=reject;
rua=mailto:dmarc-reports@yourdomain.com;
ruf=mailto:dmarc-failures@yourdomain.com;
adkim=s; aspf=s; fo=1مرجع العلامات
v=DMARC1— الإصدار، مطلوبp=— سياسة النطاقsp=— سياسة النطاقات الفرعيةpct=— نسبة البريد الفاشل التي تنطبق عليها السياسةrua=— مستلمو التقارير التجميعية (mailto:)ruf=— مستلمو التقارير الجنائية (mailto:)adkim=— محاذاة DKIM: r=relaxed (مرن)، s=strict (صادم)aspf=— محاذاة SPF: r=relaxed، s=strictfo=— خيارات الإبلاغ عن الفشل (0,1,d,s)ri=— فاصل التقرير بالثواني (الافتراضي 86400)سياسات DMARC الثلاث
شرح محاذاة DMARC
إخفاقات DMARC الشائعة وحلولها
فشل محاذاة SPF
نطاق From الخاص بالغلاف (return-path) لا يطابق رأس From — شائع مع مزودي خدمة البريد الذين يستخدمون مسار العودة الخاص بهم
فشل محاذاة DKIM
نطاق d= في توقيع DKIM لا يطابق نطاق From المرئي — قم بتكوين مزود الخدمة للتوقيع بنطاقك
فقدان عنوان RUA
بدون rua= لن تحصل على تقارير ولا رؤية — قم دائماً بتضمين عنوان تقرير واحد على الأقل
النطاقات الفرعية غير مغطاة
أضف sp=reject لتوسيع سياستك لتشمل النطاقات الفرعية، أو انشر سجلات DMARC منفصلة لكل نطاق فرعي
الأسئلة الأكثر شيوعاً
إن DMARC (مصادقة الرسائل والتقارير والمطابقة المستندة إلى النطاق) هو بروتوكول مصادقة بريد إلكتروني حيوي يعمل جنبًا إلى جنب مع SPF و DKIM. فهو يقدم تعليمات لخوادم البريد المستلمة حول كيفية التعامل مع رسائل البريد الإلكتروني التي تفشل في فحوصات المصادقة، مما يمنع الأطراف غير المصرح لها من انتحال نطاقك ويحمي سمعة علامتك التجارية.
يقوم مدقق DMARC بالتحقق من أن سجلك منسق ومنشور بشكل صحيح في إعدادات DNS الخاصة بك. من خلال التأكد من أن سياسة DMARC الخاصة بك نشطة (ويفضل الانتقال نحو p=reject)، فإنك ترسل إشارة إلى مزودي خدمات الإنترنت مثل Google و Outlook بأن رسائل البريد الإلكتروني الخاصة بك شرعية، مما يقلل بشكل كبير من احتمالات تعليم رسائلك كبريد عشوائي أو حظرها.
تطلب سياسة 'quarantine' (الحجر الصحي) من الخادم المستلم تسليم رسائل البريد الإلكتروني التي تفشل في DMARC إلى مجلد البريد العشوائي. أما سياسة 'reject' (الرفض) فهي أكثر أمانًا، حيث تخبر الخادم برفض الرسالة تمامًا، مما يضمن عدم وصولها إلى المستلم أبدًا. كلتا السياستين خطوات أساسية في تأمين تدفق البريد الإلكتروني لنطاقك.
تحدث محاذاة DMARC عندما يتطابق النطاق الموجود في ترويسة 'From' مع النطاق الذي تم التحقق منه بواسطة SPF أو DKIM. وبدون المحاذاة الصحيحة، حتى فحص SPF أو DKIM الصالح يمكن أن يؤدي إلى فشل DMARC. تضمن المحاذاة أن عنوان المرسل المرئي هو العنوان الذي تمت مصادقته بالفعل.
إذا كنت لا تتلقى التقارير، فتحقق من علامة 'rua' في سجل DMARC الخاص بك. يجب أن تحتوي على URI صالح بصيغة mailto:. تأكد أيضًا من انتشار سجل DNS الخاص بك وأن عنوان البريد الإلكتروني للوجهة قادر على استقبال تقارير DMARC الخارجية، حيث يتطلب بعض المزودين سجل DNS متخصصًا لهذا الغرض.
تعتمد تغييرات DMARC على إعدادات TTL (وقت البقاء) لسجل DNS الخاص بك. بينما يحدث التحديث فورًا تقريبًا عند المصدر، قد يستغرق الانتشار العالمي من بضع دقائق إلى 48 ساعة. يساعدك استخدام مدقق DMARC بانتظام على التحقق من وصول التغييرات إلى خوادم البريد الرئيسية.