لماذا يذهب بريدك إلى السبام؟ SPF وDKIM وDMARC بالعربي
البريد صُمّم بلا تحقق من المرسِل، فبُنيت ثلاث طبقات تعوّض ذلك. شرح عملي بسجلات حقيقية، والترتيب الذي لا يُقفَز حتى لا تحجب بريدك بنفسك.
بريدك يعمل: يصلك ما يُرسل إليك، وترسل فيصل. ثم يخبرك عميل أن رسالتك وجدها في «الرسائل المزعجة». تعيد الإرسال فيحدث الشيء نفسه. المشكلة ليست في نصّ رسالتك ولا في مزوّدك — المشكلة أن نطاقك لا يثبت أنه هو.
المشكلة الأصلية: البريد صُمّم بلا هوية
بروتوكول البريد الإلكتروني وُضع في زمن كانت الشبكة فيه بين جهات تعرف بعضها، فلم يُبنَ فيه تحقق من المرسِل. أي خادم في العالم يستطيع أن يرسل رسالة ويكتب في خانة «من» عنوان نطاقك. حرفيًا أي خادم.
ولأن ذلك كذلك، بنى مزوّدو البريد الكبار ثلاث طبقات تحقق يسألون عنها كل رسالة واردة. نطاقك الذي لا يجيب عليها يُعامَل معاملة المشتبه به — لا لأنه مذنب، بل لأنه صامت.
SPF: من يحقّ له أن يرسل باسمي
سجل نصّي في DNS يعدّد الخوادم المسموح لها بإرسال بريد باسم نطاقك. حين تصل رسالة تدّعي أنها منك، ينظر المستقبِل: هل جاءت من خادم في القائمة؟
هذا سجل SPF الحقيقي لنطاقنا:
v=spf1 a mx ip4:95.216.14.144 ~allاقرأه كجملة: اسمح لخادم الموقع (a)، ولخادم البريد (mx)، ولهذا العنوان تحديدًا (ip4:)، وكل ما عدا ذلك مشبوه (~all).
الفرق بين ~all و-all مهم: الأولى «فشل ليّن» — عامله بريبة. والثانية «فشل صارم» — ارفضه. ابدأ بالليّن، وبعد أن تتأكد أن كل أنظمتك المرسِلة مذكورة في السجل، شدّده.
والخطأ الذي نراه كثيرًا: نسيان نظام يرسل باسمك. موقعك يرسل إشعارات، ومتجرك يرسل فواتير، وربما خدمة تسويق ترسل نشرة. كل واحد منها خادم مختلف، وكل واحد غير مذكور في SPF سيُعامل كمنتحل.
وقاعدة لا استثناء فيها: سجل SPF واحد لكل نطاق. السجلان يُبطلان بعضهما، فتخسر الحماية ظانًّا أنك ضاعفتها.
DKIM: توقيع لا يُزوَّر
SPF يتحقق من الخادم المرسِل. وDKIM يتحقق من الرسالة نفسها: خادمك يوقّع كل رسالة صادرة بمفتاح خاص، ويضع المفتاح العام في DNS. فيأخذ المستقبِل التوقيع ويقارنه بالمفتاح المعلن، فيعرف أمرين: أن الرسالة من نطاقك فعلًا، وأنها لم تُعدَّل في الطريق.
قيمته العملية أنه ينجو من إعادة التوجيه. الرسالة التي تمرّ بقائمة بريدية أو تُحوَّل من عنوان إلى آخر تفقد ارتباطها بخادمها الأصلي فيسقط SPF — بينما يبقى توقيع DKIM سليمًا معها.
DMARC: ماذا أفعل بمن فشل؟
SPF وDKIM يجيبان «هل الرسالة سليمة؟» ولا يقولان للمستقبِل ماذا يفعل إن لم تكن. هنا يأتي DMARC: سياسة تعلنها أنت في DNS، وتقول فيها كيف يُعامَل من يفشل، وإلى أين تُرسل التقارير.
هذا سجل DMARC الحالي لنطاقنا:
v=DMARC1; p=none; rua=mailto:info@royat.sa; adkim=r; aspf=r; pct=100الجزء المهم فيه p=none، ومعناه: لا ترفض شيئًا، لكن أرسل لي تقريرًا بكل ما فشل. وهذه هي المرحلة الأولى الصحيحة، لا الأخيرة.
الترتيب الذي لا يُقفَز
p=none— راقب فقط. اقرأ التقارير لأسابيع حتى تعرف كل نظام يرسل باسمك، بما في ذلك ما نسيته.p=quarantine— ما يفشل يذهب إلى السبام بدل أن يصل الصندوق.p=reject— ما يفشل يُرفض قبل أن يُسلَّم.
ومن يقفز مباشرة إلى p=reject قبل أن يُحصي أنظمته المرسِلة، يحجب بريده هو. رأينا من فعلها فتوقفت فواتير متجره عن الوصول إلى عملائه لأن خادم المتجر لم يكن في SPF — والأسوأ أنه لم يعلم، لأن الرفض يحدث عند المستقبِل بصمت.
لماذا هذا ليس ترفًا
الثلاثة ليست «تحسينًا لنسبة الوصول» فقط. النطاق بلا SPF وDKIM وDMARC يمكن انتحاله: يرسل محتال رسالة تبدو من عنوان مديرك المالي، إلى موظف عندك، يطلب تحويلًا. وهذا بالضبط ما تمنعه هذه السجلات.
وللأمانة من تجربتنا المباشرة: نطاق بلا سياسة صارمة يمكن أن يُستغل لإرسال كميات هائلة من الرسائل المزعجة باسمه، والنتيجة لا تظهر فورًا — بل تظهر بعد أسابيع، حين تلاحظ أن رسائلك العادية صارت كلها تذهب إلى السبام لأن سمعة النطاق سقطت. والتعافي من ذلك أطول بكثير من ضبط ثلاثة سجلات.
افحص نطاقك الآن
dig +short TXT yourdomain.com | grep spf
dig +short TXT _dmarc.yourdomain.comإن عاد الأول فارغًا فليس عندك SPF. وإن عاد الثاني فارغًا فليس عندك DMARC. وإن ظهر لك سجلا SPF فعندك مشكلة أكبر من عدم وجوده.
وفي بريد الأعمال لدى رؤيات نضبط الثلاثة عند التفعيل إن كان النطاق مُدارًا عندنا، ونرسل لك القيم جاهزة إن كنت تديره بنفسك.