شرح SPF وDKIM وDMARC للشركات في الإمارات: طرح تدريجي

لماذا يهم توثيق البريد الإلكتروني

صُمّم البريد الإلكتروني دون تحقق قوي من أن المرسل هو من يدّعي. فبإمكان أي شخص وضع نطاقك في سطر "من" في رسالة. وتسدّ ثلاثة سجلات في DNS جزءاً كبيراً من هذه الفجوة: SPF وDKIM وDMARC. فهي تتيح للخادم المستقبِل التحقق من أن الرسالة جاءت فعلاً من مصدر أذنتَ به، وتمنحك رأياً فيما يحدث إن لم تكن كذلك. وتحمي عملاءك وموردّيك من الفواتير المزيفة وطلبات تغيير البيانات المصرفية، وتحمي بريدك من أن يُعامل كرسائل مزعجة. ويشرح دليلنا عن أمان البريد والاحتيال في المدفوعات (بالإنجليزية) التهديد الأوسع، أما هذه الصفحة فتشرح السجلات نفسها وكيفية طرحها بأمان.

وظيفة كل سجل

• SPF (إطار سياسة المرسِل) سجل DNS يسرد الخوادم والخدمات المسموح لها بإرسال البريد عن نطاقك. ويقارن المستقبِل الخادم المرسِل بهذه القائمة.
• DKIM (البريد المعرَّف بمفاتيح النطاق) يضيف توقيعاً رقمياً إلى كل رسالة صادرة. ويتحقق المستقبِل من التوقيع بمفتاح عام في DNS لديك ليتأكد أن الرسالة لم تُعدَّل وأن النطاق وقّعها.
• DMARC (التوثيق والإبلاغ والمطابقة للرسائل المبنية على النطاق) يربط بين السابقين. فهو يتحقق من نجاح SPF أو DKIM ومن تطابقه مع النطاق في عنوان "من" الظاهر، ثم يطبق السياسة التي اخترتها ويرسل إليك تقارير.

طريقة سهلة للتذكر: SPF يحدد من يُسمح له بالإرسال، وDKIM يثبت أصالة الرسالة، وDMARC يحدد ما يُفعل عند فشل الفحص.

الخطوة 1: ابحث عن كل خدمة ترسل باسم نطاقك

أكبر أسباب المشاكل هو مرسِل نسيته. اكتب قائمة قبل تغيير أي سجل.

• منصة البريد الرئيسية، مثل Microsoft 365 أو Google Workspace.
• أدوات المحاسبة والفوترة وكشوف الرواتب وأنظمة الموارد البشرية والتوظيف.
• منصات التسويق وأدوات النشرات البريدية ونماذج الموقع.
• أنظمة مكتب المساعدة وإدارة العملاء ودعم العملاء.
• الماسحات والطابعات والتطبيقات التي ترسل تنبيهات عبر مرحّل.
• أي فرع أو شركة تابعة أو شريك يرسل باسم نطاقك.

اسأل كل إدارة عمّا يرسل البريد لها، واستخدم تقارير DMARC في الخطوات التالية لاكتشاف ما لم يذكره أحد.

الخطوة 2: انشر SPF بعناية

ينبغي أن يسرد سجل SPF مرسِليك المشروعين وأن ينتهي بتعليمة واضحة لكل ما سواهم. ثلاث عادات تتجنب المشاكل المعتادة.

1. انشر سجل SPF واحداً فقط لكل نطاق. فوجود سجلين يسبب الفشل.
2. ابقَ ضمن حد عشرة استعلامات DNS الذي يسمح به المعيار. فكل "include" لخدمة طرف ثالث يستهلك استعلامات، فأزل الخدمات التي لم تعد تستخدمها.
3. راجعه كلما أضفت خدمة إرسال أو أوقفتها.

الخطوة 3: فعّل DKIM لكل خدمة مرسِلة

تحتاج كل خدمة ترسل باسم نطاقك إلى إعداد توقيعها الخاص، وغالباً بإضافة سجلات تقدمها الخدمة إلى DNS لديك. وفي Microsoft 365 يُفعَّل ذلك لكل نطاق في إعدادات الأمان. راجع تعليمات كل منصة الحالية لأن الخطوات الدقيقة تتغير. بدّل المفاتيح حين توصي المنصة بذلك، وتأكد أن مزوّد DNS يحافظ على السجلات الطويلة سليمة.

الخطوة 4: ابدأ DMARC في وضع المراقبة

لسجل DMARC سياسة تخبر المستقبِلين بما يفعلونه بالبريد الفاشل. والتسلسل المعتاد:

1. المراقبة (p=none). لا يُحظر شيء. تصلك تقارير تبين من يرسل باسم نطاقك وهل ينجح.
2. الحجر (p=quarantine). يُعامل البريد الفاشل كمشبوه، وغالباً يذهب إلى المهملات.
3. الرفض (p=reject). يُرفض البريد الفاشل. وهذا هو الهدف للنطاقات التي تستخدمها.

ابقَ في المراقبة حتى تظهر التقارير نجاح كل مرسِل مشروع. أصلح المتعثرين ثم ارتقِ خطوة واحدة في كل مرة، مع إتاحة وقت كافٍ في كل مرحلة لالتقاط المرسِلين الموسميين مثل فواتير نهاية العام. وتتضمن سجلات DMARC عادةً عنواناً للتقارير، وهي ملفات XML كثيفة، لذا تستعين معظم الشركات بخدمة تقارير أو بمزوّدها لتفسيرها.

النطاقات التي لا ترسل منها

تحتفظ الشركات غالباً بنطاقات إضافية للعلامة أو للحماية أو لأسماء تجارية قديمة. وهي جذابة للمحتالين لأن أحداً لا يراقبها. انشر سياسة DMARC بالرفض وسجل SPF يفيد بعدم إرسال بريد منها، واحتفظ بقائمة بكل نطاق تملكه. وينطبق الأمر نفسه على النطاقات الفرعية.

الأخطاء الشائعة

• القفز مباشرة إلى الرفض. فتختفي فواتير مشروعة أو رسائل إعادة تعيين كلمات المرور.
• مرسِلو الأطراف الثالثة المنسيون، خاصة أدوات التسويق والمحاسبة.
• عدم تطابق النطاقات. تُوقّع الأداة بنطاقها هي لا بنطاقك، فيفشل DMARC رغم نجاح SPF أو DKIM تقنياً.
• إهمال التقارير. سياسة لا يقرؤها أحد لا يمكن تحسينها.
• الضبط والنسيان. تصل أدوات جديدة وتتقادم سجلات قديمة.
• اعتبار DMARC الحل الكامل. فالنطاقات المشابهة والحسابات المخترقة تحتاج إلى ضوابط أخرى.

الاختبار والعناية المستمرة

استخدم أداة فحص أمان البريد المجانية لمعرفة السجلات التي ينشرها نطاقك اليوم. وبعد كل تغيير، أرسل رسائل اختبار من كل منصة إلى صندوق بريد خارجي واقرأ نتائج التوثيق في ترويسة الرسالة. ضع مراجعة دورية في التقويم، وأضف السجلات إلى خطوات إدخال الأدوات وإيقافها. وتسأل شركات التأمين والعملاء الكبار بصورة متزايدة عن هذه السجلات، كما نبين في دليل استبيانات التأمين السيبراني، فاحتفظ بملاحظة عن سياستك الحالية وتاريخ آخر مراجعة.

من أين تبدأ

إذا لم يكن لنطاقك سجل DMARC، فإن نشر سجل في وضع المراقبة خطوة أولى منخفضة المخاطر. تستطيع خدمة أمان البريد من ميسان تنفيذ الجرد والطرح والتقارير نيابةً عنك، ويراجع فحص صحة تقنية المعلومات المجاني حماية بريدك مع بقية إعداداتك. تدعم ميسان جلوبال المؤسسات في الإمارات منذ عام 2004 من مقرها الرئيسي في المجاز بالشارقة.