إعداد SPF وDKIM وDMARC للبريد التجاري بين الشركات

تساعد SPF وDKIM وDMARC نظام البريد المستقبِل على تقييم الهوية المرتبطة بالرسالة. لكنها لا تمنح فريق المبيعات إذناً بمراسلة شخص، ولا تثبت أن العرض مرغوب، ولا تضمن الوصول إلى صندوق الوارد. في التواصل بين الشركات، اضبط المصادقة ضمن خدمة إرسال منضبطة، واختبر الرسائل الفعلية لا وجود سجلات DNS وحده.

هذا الدليل لمسؤول التقنية ومسؤول عمليات الإيرادات اللذين يجهزان حملة مصرحاً بها. يشرح الهويات وتسلسل الإعداد وتشخيص الإخفاق وأدلة السماح بالإطلاق. تستخدم الأمثلة نطاقات توثيقية للتوضيح؛ واحصل على قيم التشغيل الدقيقة من مزود البريد المعتمد ومسؤول النطاق.

ابدأ بالهوية التي يراها المتلقي

للرسالة أكثر من هوية مهمة. يبين عنوان From الظاهر من يبدو أنه يكتب، بينما يستخدم مرسل ظرف SMTP، المرتبط عادة بمسار الإرجاع، للنقل ومعالجة الارتداد. ويمكن أن يضيف DKIM نطاق توقيع. قد يستخدم المزود نطاقه لبعض هذه الهويات في البداية؛ ولذلك لا يمكن تفسير علامات النجاح دون معرفة سياقها.

آليات المصادقة الثلاث والأدلة التي ينبغي فحصها

الآلية	السؤال الأساسي	الدليل في اختبار فعلي
SPF	هل جهة الإرسال المتصلة مخولة باستخدام نطاق الظرف المفحوص؟	هوية الظرف وعنوان IP للجهة المتصلة ونتيجة SPF لدى المستقبِل
DKIM	هل يربط توقيع صحيح الرسالة بنطاق التوقيع؟	نطاق التوقيع والمحدد ونتيجة التحقق لدى المستقبِل
DMARC	هل تتوافق هوية ناجحة في SPF أو DKIM مع نطاق المرسل الظاهر؟	نطاق From والنطاق الذي نجحت مصادقته ونتيجة التوافق

ترد التعريفات الأساسية في RFC7208 الخاص بـSPF وRFC6376 الخاص بـDKIM وRFC9989 الخاص بـDMARC. استخدمها لشرح هيكل الإرسال ثم اختبر تنفيذ المزود. نجاح فحص صندوق موظف المبيعات لا يثبت أن منصة الحملة تسلك المسار نفسه.

احصر جميع أنظمة الإرسال المشروعة

قبل تعديل DNS، احصر الخدمات التي ترسل باسم المنشأة: بريد الموظفين والفواتير والدعم ونماذج الموقع وأدوات الاجتماعات والإشعارات التشغيلية والتسويق. سجّل لكل منها النطاق الظاهر ونطاق الظرف والتوقيع والمزود والمسؤول والغرض. أدرج الأنظمة قليلة الاستخدام التي قد ترسل فاتورة شهرية أو تنبيهاً متباعداً.

يمنع هذا الحصر خطأ شائعاً يتمثل في إصلاح بريد الحملة مع تعطيل مسار مشروع آخر. لا تُدخل سياسة تقييد جديدة دون فهم الاعتماديات، ولا تُضعف سياسة DMARC مطبقة لمجرد تشغيل أداة استهداف لم تُضبط بعد. اضبط هوية الأداة المصرح بها أو صعّد القرار المتعلق بالتصميم إلى صاحبه.

إذا فصلت المنشأة مسارات البريد، فوثّق السبب والهوية التي يراها المتلقي. قد يسهل نطاق فرعي واضح تابع للعلامة الإدارة، لكنه لا يضمن عزل السمعة. تجنب الهويات المشابهة المضللة أو تدوير نطاقات مؤقتة لإخفاء المرسل أو الالتفاف على استجابة مزود البريد.

انشر سياسة SPF واحدة صالحة للنطاق المفحوص

يصف SPF البنية المسموح لها بالإرسال للنطاق المعني. قد تؤدي عدة سجلات SPF منفصلة عند الاسم نفسه إلى خطأ، ولذلك يجب تمثيل المزودين المشروعين في سياسة متماسكة. وتهم التضمينات المتداخلة أيضاً لأن المعيار يحد عدد الآليات وعناصر التعديل التي تستدعي استعلامات DNS أثناء التقييم؛ وليس الأمر مجرد عدّ عبارات التضمين الظاهرة في لوحة التحكم.

اطلب من المسؤول فحص مسار الاستعلام كاملاً وإزالة التفويضات التي لم تعد مستخدمة وتأكيد مرسل الظرف الفعلي لكل منصة. لا تنسخ قيمة تضمين تخص منشأة أخرى، ولا تحوّل سياسة مزود متغيرة إلى قائمة ثابتة دون تصميم تُجرى صيانته. فقد تصبح السياسة غير دقيقة عند تغير بنية المزود.

مثال توضيحي لعنوان مخصص للتوثيق هو v=spf1 ip4:192.0.2.25 -all. يوضح البنية ولا يمثل إعداداً صالحاً لـPost أو لأي مزود آخر. يجب أن يعكس سجل التشغيل البنية المخولة فعلياً. لا تضف آلية مفتوحة للجميع لمجرد إجبار الاختبار على النجاح.

فعّل توقيع DKIM في مسار الحملة الحقيقي

يتطلب DKIM أن توقّع خدمة الإرسال وأن تتاح مادة التحقق العامة المقابلة عبر DNS. نشر السجل وحده لا يثبت بدء الخدمة بالتوقيع. احصل على المحدد وتعليمات DNS الدقيقة من المزود، ثم افحص رسالة أرسلت عبر مسار الحملة الذي تنوي استخدامه نفسه.

احفظ مادة التوقيع الخاصة داخل الخدمة المخولة أو ترتيب إدارة مفاتيح معتمد. القيمة العامة المنشورة في DNS ليست المفتاح الخاص. حدّد مسؤولية التدوير والانتهاء حيث ينطبق وإزالة المحددات التي لم تعد مستخدمة. وينبغي أن يتضمن تغيير المورد خطة تسليم حتى لا تبقى قدرة توقيع قديمة مخولة بلا حاجة.

افحص نطاق التوقيع بدلاً من الاكتفاء بأي نجاح لـDKIM. قد يكون توقيع نطاق المزود صحيحاً لكنه غير متوافق مع نطاق From الذي تعرضه المنشأة. اختبر أيضاً التحويلات في المسار النهائي؛ فقد تؤثر بوابات البريد أو التذييلات أو التغييرات بعد التوقيع في التحقق. شخّص الإخفاق المرصود بدلاً من افتراض أن كل مشكلة توقيع سببها DNS.

افهم توافق DMARC بمثال هويات عملي

لنفترض مرسلاً افتراضياً يظهر للمتلقين بعنوان [email protected]. تستخدم خدمة الحملة نطاق ظرف mailer.example.net وتوقّع باستخدام d=mailer.example.net. قد ينجح SPF وDKIM لنطاق الخدمة، لكن ذلك لا يعني توافق أي منهما مع نطاق المرسل الظاهر example.com. مصادقة المزود ليست تلقائياً مصادقة الهوية التجارية المعروضة.

يضبط الفريق بعد ذلك توقيعاً مخولاً بقيمة d=example.com. إذا صح التوقيع وتحقق التوافق المطلوب، فقد يحقق مسار DKIM نجاح DMARC حتى لو بقيت هوية الظرف مختلفة. يعزل المثال قراراً واحداً؛ ولا يثبت دعم منتج معين للتوقيع المخصص أو وصول الرسالة إلى الوارد لدى كل نظام استقبال.

تختلف شروط المطابقة في التوافق المرن والصارم. اطلب من المسؤول التحقق من النمط المختار مع النطاقات الفعلية والمعيار الحالي. لا تحوّل النمط إلى الصارم لمجرد أن اسمه يبدو أكثر أمناً دون اختبار مسارات النطاقات الفرعية المشروعة. وبالمثل، لا تُضعف سياسة قائمة دون سبب معتمد وخطة واضحة.

استخدم إرشادات DMARC الحالية لا سجلاً قديماً منسوخاً

نُشر RFC9989 في مايو 2026 وحل محل RFC7489 و9091. ومن التغييرات حذف الوسم القديم pct ومناقشة الاختبار بصورة مستقلة في المواصفة الحالية. لا تعرض وصفة قديمة للتدرج بالنسب باعتبارها المعيار الحالي. قد تتغير تطبيقات المزودين بسرعات مختلفة، فتحقق من السلوك المدعوم لديهم إلى جانب المعيار.

في تصميم جديد لتلقي التقارير، يمكن أن يكون المثال الأدنى v=DMARC1; p=none; rua=mailto:[email protected] عند _dmarc.example.com. هذا مثال تعليمي وليس أمراً لاستبدال سياسة حية. تأكد مع المسؤول من وجهة التقارير والتفويض اللازم حيث ينطبق والصلاحيات وترتيبات استقبالها.

لا تطلب سياسة المراقبة من المستقبِلين عزل الرسائل أو رفضها بسبب سياستك وحدها، وتظل لهم قراراتهم الخاصة في المعالجة. ينبغي أن يستند الانتقال إلى الإنفاذ إلى أدلة عن المرسلين المشروعين وإجراء تغيير معتمد. يدخل حجم التقارير وسلوك إعادة التوجيه والبريد الحرج للأعمال ضمن هذا القرار.

اجمع أدلة الإطلاق على مستوى الرسالة

لكل مسار إرسال مقصود، احفظ الترويسات اللازمة من رسالة اختبار مضبوطة ووقت الإرسال وإصدار إعداد المزود والنتائج المرصودة. نقّح بيانات المتلقين عند مشاركة الدليل. احتفظ بعنوان From ونطاق الظرف ونطاق التوقيع الدقيقين مع النتيجة حتى يستطيع مسؤول آخر إعادة التحقق من الاستنتاج.

فحوص إطلاق تتجاوز علامة نجاح في لوحة DNS

الفحص	دليل النجاح	سبب التعليق
حصر المرسلين	لكل خدمة نشطة مسؤول ومسار هوية معروف	مرسلون غير مفسرين أو اعتماديات حرجة غير محسومة
تقييم SPF	سياسة واحدة صالحة ونجاح لمسار الظرف المقصود	تعدد السجلات أو زيادة الاستعلامات أو بنية غير مخولة
تحقق DKIM	صحة توقيع رسالة الحملة بنطاق التوقيع المطلوب	وجود السجل مع رسائل غير موقعة أو هوية غير متوقعة
نتيجة DMARC	توافق هوية مصادق عليها كما خُطط	نجاح منفصل لـSPF وDKIM دون التوافق المطلوب
ضوابط التشغيل	اختبار الردود والاستبعاد ومسؤولية الحوادث	نجاح المصادقة مع العجز عن إيقاف الحملة أو إدارتها

كرر الأدلة ذات الصلة بعد تغيير المزود أو النطاق أو المسار بصورة مؤثرة. لا يعني ذلك إعادة الاختبار لكل تعديل لغوي بسيط؛ بل اكتشاف التغييرات التي قد تعدّل جهة التوقيع أو مصدر الإرسال أو السياسة التي يفحصها المستقبِل.

شخّص موضع الإخفاق قبل تعديل السجلات

إذا فشل SPF، فافحص الهوية التي يجري تقييمها والبنية المتصلة قبل تعديل سجلات نطاق From الظاهر. وإذا فشل DKIM، فميّز غياب التوقيع وتعذر حل المحدد وعدم تطابق المفتاح وتعديل الرسالة. وإذا فشل DMARC مع نجاح آلية أخرى، فافحص التوافق. يوجّه كل تشخيص العمل إلى مسؤول مختلف ويمنع تعديلات عشوائية في DNS.

قد تعقّد إعادة التوجيه والوسطاء البريديون المصادقة. احتفظ بأدلة النظام المستقبِل وقارن التسليم المباشر بالمسار المتأثر. لا تفترض أن إخفاق رسالة معاد توجيهها يعني أن المرسل الأصلي لم يصادقها. اطلب من مختص البريد تقييم المسار الكامل بدلاً من تعطيل الحماية للجميع لحل حالة واحدة.

إذا نجحت المصادقة وبقيت الرسائل في المزعج أو رُفضت لسبب آخر، فتوقف عن اعتبار المصادقة التفسير الوحيد. راجع الإذن والسمعة وتغير الوتيرة والشكاوى وجودة الرسالة في دليل تشخيص قابلية التسليم في السعودية. النجاح يثبت جزءاً من الأدلة، لا نتيجة التسليم كاملة.

افصل متطلبات المزود عن أهلية الحملة السعودية

ينشر مزودو البريد متطلباتهم للمرسلين، وتختلف نطاقاتها وحدودها. اقرأ ما ينطبق على المتلقين وخدمة الإرسال الفعلية، بما فيه المصادقة وسهولة الإلغاء وسياسات البريد غير المرغوب. لا تعتبر حد الإرسال الجماعي لدى مزود واحد إعفاءً عاماً للأحجام الأقل.

تظل متطلبات الموافقة والتواصل في السعودية شرطاً مستقلاً. قد تنجح الرسالة تقنياً كلها ويبقى إرسالها غير مناسب. استخدم دليل أهلية البريد التسويقي السعودي ومسار إدارة الموافقات مع المراجعة التقنية. لا تُحمّل مسؤول DNS اعتماد المسوغ النظامي للجمهور.

كذلك لا تعني المصادقة اكتمال التهيئة. عند تغيير حجم الإرسال، استخدم دليل جاهزية النطاق والإرسال لتحديد تدرج مضبوط قائم على الإذن مع شروط توقف. لا تستخدم تفاعلاً مصطنعاً لإخفاء ضعف ملاءمة الجمهور.

راجع الانتقال بوصفه مجموعة مسارات بريد

لنفترض منشأة تنقل بريد الحملات وتبقي الفواتير والدعم لدى مزوديها الحاليين. يرى مسؤول الحملة اختباراً ناجحاً ويقترح حذف جميع تفويضات DNS القديمة. هذا قرار سابق لأوانه؛ فقد يظل التفويض يخدم الفواتير حتى إن لم يعد يخص التسويق. اربط كل إزالة مقترحة بحصر الأنظمة ومسؤولها.

أنشئ مصفوفة اختبار صغيرة تضم رسالة مضبوطة من كل مسار نشط، إضافة إلى مسار إعادة التوجيه الذي سبب مشكلة سابقاً. ضع الهوية المتوقعة والنتيجة المرصودة جنباً إلى جنب. إذا نجحت الحملة وفشلت الفواتير، فعلّق التغيير المؤثر في الفواتير. لا تجمع النتائج في متوسط يوحي بنسبة نجاح عامة مضللة.

في SPF، يشمل حد 10 للآليات وعناصر التعديل التي تستدعي DNS التقييم المتداخل؛ ولا يعني السماح بعشرة سجلات SPF منفصلة. اطلب من المختص فحص المسار الذي يجري تقييمه. وفي DKIM، احفظ المحدد المستخدم فعلياً بعد الانتقال لا المذكور في وثيقة تهيئة فقط. وفي DMARC، افحص النتيجة النهائية المتوافقة. يستطيع المسؤول عندئذ قبول كل مسار بصورة مستقلة وإزالة ما ثبت عدم استخدامه فقط.

حدّد الصيانة ومسار الرجوع الآمن

سمّ المسؤولين عن DNS وإعداد المزود ومراجعة التقارير وتشغيل الحملة. سجّل الإعداد المعتمد وسبب كل تعديل. قبل الانتقال المخطط، اتفق على إعادة المسار السابق أو إيقاف الإرسال إذا تعطل البريد المشروع. يعيد الرجوع إعداداً معروفاً ومعتمداً، ولا يزيل المصادقة بلا تمييز.

قيّد الوصول إلى التقارير وقيّم المعلومات التي تتضمنها. راجع المصادر غير المفسرة وأوقف التكاملات غير المستخدمة. لا تفترض استمرار صلاحية نجاح قديم بعد تغيير الموظفين أو انتهاء تعاقد الوكالة. يجب أن يشمل التسليم الإداري النطاقات والمحددات ووجهات التقارير ووصول المزود ومسؤول النتائج التي لم تُحسم.

أحضر حصر المرسلين ونتيجة اختبار منقحة إلى نقاش المنتج. اطّلع على دعم المبيعات الاستباقية بين الشركات أو اطلب عرضاً يتناول متطلبات الإرسال أو زر Post. تحقّق من الإعداد المقترح أثناء التقييم؛ فهذا الدليل لا يعني أن منصة معينة توفر مصادقة النطاق المخصص أو تدير DNS تلقائياً.