كيف تضبط SPF وDKIM وDMARC لبريد عملك

إذا كانت عروض الأسعار أو الفواتير أو رسائل التواصل البارد تصل إلى البريد العشوائي، فافحص DNS قبل أن تعيد كتابة سطر موضوع واحد. يقرر مزودو البريد هل يثقون برسالة ما بناءً على ما إذا كان نطاقك يثبت أنه هو من أرسلها. وثلاثة سجلات تقوم بهذا الإثبات، وكثير من نطاقات الشركات ينقصها واحد منها على الأقل.

منذ فبراير 2024 تشترط Gmail وYahoo وجود SPF وDKIM وDMARC لكل من يرسل أكثر من 5000 رسالة يوميًا إلى مستخدميهما، وتطلبان أن يبقى معدل شكاوى البريد العشوائي دون 0.3%. وأضافت صناديق Outlook.com وHotmail وLive التابعة لمايكروسوفت قواعد مماثلة للمرسلين بأحجام كبيرة في مايو 2025. قد ترسل أقل بكثير من 5000 يوميًا. ومع ذلك تنطبق عليك هذه الفحوص عمليًا، لأن المرسلين الصغار بلا مصادقة هم أول من يُفلتر.

يستغرق هذا نحو ساعة. لست بحاجة إلى كتابة أي شيفرة. تحتاج فقط إلى الوصول إلى المكان الذي يوجد فيه DNS لنطاقك وإلى لوحة إدارة مزود البريد.

Table of contents

Open Table of contents

• ماذا يفعل كل سجل
• الخطوة 1: احصر كل ما يرسل باسم نطاقك
• الخطوة 2: افحص وضعك الحالي
• الخطوة 3: انشر سجل SPF واحدًا
• الخطوة 4: فعّل DKIM لكل مرسل
• الخطوة 5: أضف DMARC بقيمة p=none واقرأ التقارير
• الخطوة 6: انتقل إلى التطبيق الفعلي
• اطلب من Claude أو ChatGPT أن يفعل ذلك
• تحقّق وحافظ على سلامة الإعداد

ماذا يفعل كل سجل

1. SPF قائمة تُنشر في DNS بالخدمات المسموح لها بإرسال بريد باسم نطاقك. يقارن الخادم المستقبِل خادم الإرسال بهذه القائمة.
2. DKIM توقيع يضيفه مزود بريدك إلى كل رسالة. والمفتاح العام المقابل موجود في DNS لديك، فيتأكد المستقبِل أن الرسالة لم تُعدَّل وأنها مرت فعلًا عبر مزودك.
3. DMARC يخبر المستقبِلين بما يفعلونه عندما يفشل SPF وDKIM لنطاقك، وإلى أين تُرسل التقارير. كما يشترط أن يطابق النطاق الموثَّق عنوان المرسل الظاهر في حقل «من».

بدون DMARC يبقى SPF وDKIM استشاريين فقط. ومعه تصلك تقارير بمن يرسل بريدًا باسمك، بمن فيهم المرسل الذي نسيته.

الخطوة 1: احصر كل ما يرسل باسم نطاقك

هذه هي الخطوة التي يتخطاها الناس، ولذلك يُفسدون بريدهم لاحقًا. دوّن كل ما يرسل من نطاقك:

• صناديق بريدك (Microsoft 365 أو Google Workspace أو ما وفّرته GoDaddy)
• منصة التسويق عبر البريد
• نظام إدارة العملاء CRM وأداة الفوترة
• نماذج موقعك والبريد التلقائي في WordPress
• نظام الدعم الفني وأي أداة لحجز المواعيد

إذا كنت تستخدم صندوق Microsoft 365 عبر GoDaddy، فإن شرحي عن كيف يعمل تسجيل الدخول إلى بريد GoDaddy الآن يوضح لماذا توجد الإدارة في بوابة مايكروسوفت. هناك ستفعّل DKIM.

الخطوة 2: افحص وضعك الحالي

افتح أداة مجانية مثل MXToolbox أو Check MX من Google Admin Toolbox أو فاحص DMARC من dmarcian، وأدخل نطاقك. دوّن ثلاثة أشياء:

• هل يوجد سجل TXT واحد بالضبط يبدأ بـ v=spf1؟ وجود اثنين فشل وليس نسخة احتياطية.
• هل يعرض مزودك DKIM على أنه يوقّع؟
• هل يوجد سجل TXT على _dmarc.yourdomain.com؟

والأفضل أن ترسل رسالة اختبار من عنوان عملك إلى حساب Gmail، وتفتحها، وتختار «عرض الأصل»، ثم تقرأ أسطر SPF وDKIM وDMARC في الأعلى. يجب أن يظهر في كل منها PASS.

الخطوة 3: انشر سجل SPF واحدًا

أضف سجل TXT واحدًا على جذر نطاقك. يسرد كل مرسل بـ include: وينتهي بسياسة.

قيم include الشائعة:

• Microsoft 365: include:spf.protection.outlook.com
• Google Workspace: include:_spf.google.com
• تنشر منصة التسويق عبر البريد ونظام CRM كلٌّ منهما قيمة include الخاصة به في وثائقه. انسخها من هناك لا من مقال مدونة، بما في ذلك هذا المقال.

تبدو النتيجة النموذجية هكذا: v=spf1 include:spf.protection.outlook.com include:your-esp-value ~all.

قاعدتان تفسّران معظم إخفاقات SPF. الأولى: سجل واحد لكل نطاق؛ ادمج المرسلين الجدد في السطر القائم بدل إضافة سجل ثانٍ. الثانية: يسمح SPF بعشرة استعلامات DNS في المجموع، وكل include: يُحتسب بما في ذلك المتداخل داخله. وإذا تجاوزت العشرة، يعامل المستقبِلون SPF على أنه خطأ دائم. فإن كنت قريبًا من الحد، فاحذف الخدمات التي لم تعد تستخدمها قبل إضافة أي شيء.

استخدم ~all (فشل ناعم) ما دمت لا تزال تكتشف المرسلين، وفكّر في -all عندما تصبح تقارير DMARC نظيفة.

الخطوة 4: فعّل DKIM لكل مرسل

يُضبط DKIM داخل كل خدمة إرسال، ثم يُنشر في DNS.

• Microsoft 365: في بوابة Microsoft Defender افتح إعدادات DKIM تحت مصادقة البريد، واختر نطاقك وفعّل التوقيع. يعطيك أولًا سجلَّي CNAME (selector1._domainkey وselector2._domainkey) لإضافتهما إلى DNS. يفشل التفعيل إلى أن ينتشرا، وقد يستغرق ذلك بضع ساعات.
• Google Workspace: في وحدة الإدارة ضمن مصادقة Gmail، أنشئ مفتاحًا لنطاقك، وانشر سجل TXT الذي يظهر، ثم انقر على بدء المصادقة.
• كل ما عدا ذلك: لدى منصة التسويق عبر البريد وCRM وأداة الفوترة شاشة «مصادقة النطاق» أو «نطاق الإرسال» تعطيك السجلات لتلصقها في DNS.

افعل هذا لكل مرسل في قائمتك، لا لصندوق بريدك فقط. المنصة التسويقية التي توقّع بنطاقها هي بدل نطاقك ستجتاز DKIM وتفشل مع ذلك في محاذاة DMARC.

الخطوة 5: أضف DMARC بقيمة p=none واقرأ التقارير

أنشئ سجل TXT باسم _dmarc بهذه القيمة:

v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com

لا يغيّر p=none شيئًا في التسليم. إنه يبدأ التقارير فقط. تقارير DMARC الخام ملفات XML لا يقرؤها أحد، فوجّه rua إلى خدمة تقارير مجانية. تقدم عدة جهات لمراقبة DMARC باقة مجانية تحوّل XML إلى قائمة بمصادر الإرسال مع أعداد النجاح والفشل.

اتركه على p=none من أسبوعين إلى أربعة. ابحث عن المرسلين المشروعين الذين يفشلون، مثل أداة فوترة قديمة أو إضافة نماذج منسية، وأصلح كلًّا منهم بإضافته إلى SPF أو بتفعيل DKIM الخاص به.

الخطوة 6: انتقل إلى التطبيق الفعلي

عندما يجتاز جميع مرسليك الحقيقيين:

1. غيّر إلى p=quarantine; pct=25 ليذهب ربع الرسائل الفاشلة إلى البريد العشوائي. راقب أسبوعًا.
2. ارفع pct إلى 100.
3. انتقل إلى p=reject.

الوصول إلى reject يمنع الآخرين من انتحال نطاقك في رسائل تصيّد إلى عملائك، وهذا يحمي اسمك بقدر ما يحمي معدل وصول رسائلك.

اطلب من Claude أو ChatGPT أن يفعل ذلك

الصق هذا في أحدهما مع بياناتك. فهو يوفر عليك قراءة صفحات مساعدة كل مزود.

أدير البريد الإلكتروني للنطاق [yourdomain.com]. صناديق بريدي على [Microsoft 365 / Google Workspace]. وأرسل بريدًا أيضًا من [اذكر منصة التسويق وCRM وأداة الفوترة ونماذج الموقع]. أعطني: (1) سجل SPF TXT الدقيق لنشره في سطر واحد مدمج، (2) خطوات إعداد DKIM في شاشة الإدارة لكل خدمة، (3) سجل DMARC أوليًا مع تقارير rua، (4) خطة للوصول إلى p=reject في أربع خطوات. أخبرني بأي القيم يجب أن أنسخها من وثائق كل مزود بدل الوثوق بك، واحسب استعلامات DNS في سجل SPF.

قبل نشر ما يعطيه لك، قارن قيم include: بصفحة المساعدة الحالية لدى كل مزود. تختلق النماذج مضيفات include تبدو معقولة، والقيمة الخاطئة تفشل بصمت.

تحقّق وحافظ على سلامة الإعداد

بعد استقرار DNS، كرر اختبار Gmail «عرض الأصل» من كل مرسل، لا من صندوق بريدك فقط. أرسل من CRM ومن أداة الفوترة ومن نموذج في الموقع. يجب أن تُظهر كل رسالة PASS لكل من SPF وDKIM وDMARC.

ثم ضع تذكيرًا متكررًا في تقويمك لمراجعة تقارير DMARC كل ربع سنة. وكلما اعتمدت أداة جديدة ترسل إلى العملاء باسم نطاقك، وثّقها في اليوم نفسه. وإذا كنت تبني قائمة بريدية أو ترسل نشرات، فإن كيف تبني قائمة بريدية يغطي جانب الإرسال، وأفضل خدمات التسويق عبر البريد للشركات الصغيرة يسرد منصات ترشدك خلال مصادقة النطاق أثناء الإعداد.