- الرئيسية
- الحلول
- لماذا Klytic
- الأدلة
- الأسعار
- الشركاء
- اتصل بنا
-
-
الرئيسية›الأدلة›أمن البريد الإلكتروني
أمن البريد الإلكتروني · الفهم
يحدد SPF الخوادم التي يحق لها الإرسال باسم نطاق ما، ويوقّع DKIM الرسالة، ويتحقق DMARC من أن أحدهما يطابق النطاق المعروض في حقل «من» ويحدد ما يجب فعله عند الفشل. ومعًا تمنع هذه الآليات أي طرف مجهول من استخدام نطاقكم بعينه. لكنها لا تقرأ النص: فالنطاق القريب، أو اسم العرض المضلّل، أو الحساب المخترق، كلها تمر.
تنطلق RFC 7208 من ملاحظة: لا شيء في بروتوكول البريد يمنع خادمًا من إعلان أي عنوان إرسال كان. يتيح SPF لمالك النطاق أن ينشر في DNS قائمة الخوادم المصرّح لها بالإرسال باسمه، وللخادم المستقبِل أن يتحقق من هذا التصريح.
توضيحان يغيّران كل شيء:
لا ينشر النطاق سوى سجل SPF واحد. وترد فيه كل مصادر الإرسال: نظام البريد، وبرنامج الفوترة، وأداة النشرات الإخبارية، ونظام CRM، وآلة النسخ التي ترسل المسح الضوئي بالبريد.
بحسب RFC 6376، يتيح DKIM لمالك النطاق الموقّع أن يتحمّل جزءًا من المسؤولية عن رسالة، بواسطة توقيع تشفيري. المفتاح العام موجود في DNS. والتحقق من التوقيع يثبت أن الأجزاء الموقّعة لم تتغيّر منذ التوقيع.
يرافق التوقيع الرسالة في مسارها. ولذلك يصمد أكثر من SPF أمام الترحيل أو إعادة التوجيه، ما دام المرحّل لا يعدّل الموضوع أو المتن. أما قائمة التوزيع التي تضيف عبارة في أسفل الرسالة فتكسره.
ما لا يفعله DKIM، بحسب RFC نفسها: فهو لا يشفّر الرسالة، والفشل لا يفرض رفضها، ولا يلزم أن يكون النطاق الموقّع هو النطاق المعروض في حقل «من». وهذه بالضبط الثغرة التي يسدّها DMARC.
تعرّف RFC 7489 بروتوكول DMARC بأنه وسيلة تتيح لمالك النطاق التعبير عن سياسة على مستوى النطاق. وتقوم الآلية على المطابقة: يجب أن يطابق نطاقُ العنوان المعروض في حقل «من» النطاقَ الذي تحقّق منه SPF أو DKIM. وإذا لم يكن أيٌّ منهما مطابقًا، يفشل DMARC.
ينشر النطاق حينئذ ما يريده:
وينص DMARC أيضًا على تقارير: تقارير مجمّعة تلخّص الخوادم التي أرسلت باسم النطاق وبأي نتيجة، وتقارير فشل رسالةً برسالة. وهي التي تتيح اكتشاف أداة منسيّة ترسل باسمكم، أو شخص ينتحل نطاقكم.
| الآلية | ما تتحقق منه | ما لا تنظر إليه |
|---|---|---|
| SPF | أن الخادم الذي يسلّم الرسالة مصرّح له لنطاق المغلّف | العنوان المعروض، المحتوى |
| DKIM | أن الرسالة الموقّعة لم تُعدَّل؛ وأن نطاقًا يتحمّل مسؤوليتها | العنوان المعروض، نزاهة المحتوى |
| DMARC | أن النطاق المعروض مطابق لـ SPF أو DKIM؛ والسياسة عند الفشل | النطاقات المشابهة، اسم العرض، النص |
إنه يحجب جزءًا من انتحال النطاق، لا التصيّد عمومًا. وتقول RFC 7489 ذلك صراحة: لا يعالج DMARC أسماء النطاقات المتشابهة بصريًا، ولا إساءة استخدام اسم العرض، وتحليل المحتوى خارج نطاقه. فهو لا يسعى إلى حل كل مشكلات البريد الاحتيالي.
وعمليًا، لا يرى DMARC:
هذه الحالات من اختصاص تحليلات أخرى: تشابه النطاقات، والسمعة، والمحتوى، والسلوك. راجعوا البريد غير المرغوب فيه والتصيّد والبرمجيات الخبيثة والحساب المخترق.
كثيرًا ما تكسر إعادة التوجيه SPF، وتكسر القائمة التي تعدّل الرسالة DKIM، فيفشل DMARC حينئذ في رسالة مشروعة. يتيح ARC، الموصوف في RFC 8617 (وضع تجريبي)، لكل وسيط أن يشهد بنتيجة التحقق التي لاحظها. ويمكن للخادم النهائي أن يختار أخذها بعين الاعتبار.
هذان موضوعان كثيرًا ما يُخلط بينهما.
مثال للتوضيح. ينشر مكتب سياسة DMARC على «none» ويقرأ تقاريره الأولى. فيكتشف ثلاثة مصادر: نظام بريده، المطابق جيدًا؛ وبرنامج الفوترة، الذي يرسل الفواتير بنطاق المكتب دون توقيع DKIM؛ وخادمًا مجهولًا في الخارج يرسل مئات الرسائل باسمه. يصحّح برنامج الفوترة، وينتظر دورة تقارير سليمة، ثم ينتقل إلى «quarantine»: فيصبح المستلمون الذين يطبّقون DMARC يعاملون رسائل الخادم المجهول على أنها مشبوهة.
يوم تغيير نظام البريد، تُحضَّر هذه السجلات قبل تغيير MX. ويصف دليل ترحيل نظام البريد دون انقطاع هذه اللحظة؛ ولا نعيدها هنا.
لا. فهي تتيح المراقبة بفضل التقارير. وتبدأ الحماية مع «quarantine» أو «reject».
في أغلب الأحيان: إعادة توجيه، أو قائمة توزيع، أو خدمة ترسل باسمكم دون أن تكون مصرّحًا بها في SPF ودون أن توقّع بـ DKIM.
يمكن لبوابة موضوعة على مسار الإرسال أن توقّع بدلًا منه. راجعوا حماية نظام البريد الذي تملكونه أصلًا.
في ترويسات الرسالة. بالنسبة إلى Klytic MTA، راجعوا قراءة قرار المرشّح وتصديره.
تعالج Klytic MTA الموضوعين، أمام أي نظام بريد:
DMARC ليس سوى طبقة واحدة: تضيف Klytic MTA رصد النطاقات المشابهة واسم العرض وسيناريوهات الاحتيال، الموصوف في انتحال الصفة والاحتيال باسم الرئيس.
إذا كنتم تستخدمون Klytic Mail، فإن SPF وDKIM وDMARC مضبوطة لنطاقكم: وهذه هي حماية النطاق المرسِل. أما Klytic MTA فيُشترك فيها مع Klytic Mail أو بدونه.
اطُّلع عليها في أكتوبر 2026.
تتحقق Klytic MTA من SPF وDKIM وDMARC عند الوصول وتوقّع رسائلكم المرسلة.
عرض الترحيب
عرض تجريبي دون التزام. سيتصل بك مستشار لفهم احتياجاتك وتجهيز مساحة Klytic الخاصة بك.
