ما هو DKIM (البريد المعرَّف بمفاتيح النطاق)؟

التعريف

يُعد بروتوكول DomainKeys Identified Mail إحدى الركائز الثلاث لمصادقة البريد الإلكتروني الحديثة، إلى جانب SPF وDMARC. فبينما يجيب SPF عن سؤال ما إذا كانت الرسالة قد صدرت من خادم مصرّح له، يجيب DKIM عن سؤالين مختلفين قليلًا: فهو يؤكد أن الرسالة اعتمدها طرف يتحكم في نطاق الإرسال، ويؤكد أن أحدًا لم يعبث بالرسالة بعد إرسالها.

يحقق DKIM ذلك عبر تشفير المفتاح العام. إذ يحتفظ نطاق الإرسال بمفتاح خاص يبقى سريًا على بنيته البريدية، وينشر مفتاحًا عامًا مطابقًا في نظام أسماء النطاقات (DNS) ليتمكن أي طرف من قراءته. وعندما يرسل النطاق رسالة، يستخدم خادم البريد المفتاح الخاص لإنشاء توقيع رقمي على أجزاء محددة من الرسالة، ثم يضيف هذا التوقيع إلى الرسالة كترويسة مخفية. وعند وصول الرسالة، يجلب الخادم المستقبِل المفتاح العام من DNS ويستخدمه للتحقق من التوقيع. ولأن مالك المفتاح الخاص وحده هو القادر على إنتاج توقيع يصادق عليه المفتاح العام، فإن اجتياز فحص DKIM دليل قوي على أن الرسالة أصلية وسليمة.

كيف يعمل

يعتمد DKIM على زوج من المفاتيح المشفّرة. يُنشأ مفتاح خاص للنطاق ويُخزَّن بأمان على نظام البريد المُرسِل، ويُنشر المفتاح العام المقابل كسجل DNS من نوع TXT. ويقع هذا السجل في موقع خاص يُبنى من تسمية تُعرف بالمحدِّد (selector)، بالصيغة selector._domainkey.yourdomain.com. ويتيح المحدِّد للنطاق نشر عدة مفاتيح في الوقت نفسه، وهو أمر مفيد لتخصيص مفتاح مستقل لكل خدمة إرسال ولتدوير المفاتيح بأمان مع مرور الوقت.

عندما يرسل النطاق رسالة، يحدد خادم البريد الأجزاء التي يحميها من الرسالة. ويشمل ذلك دائمًا نص الرسالة ومجموعة مختارة من حقول الترويسة، وعادةً From وTo وSubject وDate وغيرها. يحسب الخادم قيمة تجزئة (hash) لنص الرسالة وأخرى للترويسات المختارة، ثم يوقّع هذه البيانات بالمفتاح الخاص لينتج التوقيع. ويُسجَّل كل ذلك في ترويسة جديدة تُسمى DKIM-Signature تُضاف إلى الرسالة. وتحمل هذه الترويسة نطاق التوقيع في الوسم d=، والمحدِّد في الوسم s=، وقائمة الترويسات الموقّعة في الوسم h=، وتجزئة النص في الوسم bh=، والتوقيع نفسه في الوسم b=.

على الجانب المستقبِل، يقرأ الخادم ترويسة DKIM-Signature، ويأخذ النطاق والمحدِّد، ويبحث عن سجل المفتاح العام المطابق في DNS. ثم يعيد حساب تجزئة النص وتجزئة الترويسات باستخدام الترويسات المدرجة في h= نفسها تمامًا، ويستخدم المفتاح العام للتحقق من أن التوقيع في b= يطابق البيانات المعاد حسابها. فإذا استُخدم المفتاح الخاص الصحيح ولم يتغير أي من المحتوى الموقّع أثناء النقل، يصح التوقيع وينجح فحص DKIM. أما إذا عُدّلت أي ترويسة موقّعة أو نص الرسالة، فلن تتطابق قيم التجزئة ويفشل الفحص. ومن النتائج العملية لذلك أن التوقيع لا يغطي إلا الترويسات المدرجة صراحةً، ويظل صالحًا فقط ما دامت أنظمة البريد الوسيطة لا تغيّر الأجزاء الموقّعة من الرسالة.

لماذا يهم لقابلية تسليم البريد الإلكتروني

يمثل DKIM إشارة ثقة قوية ودائمة لدى مزوّدي صناديق البريد. فالتوقيع الصالح باستمرار يخبر المزوّد بأن نطاقًا حقيقيًا يقف وراء الرسائل ومستعد لتحمّل المسؤولية عنها، ما يساعد هذه الرسائل على الوصول إلى صندوق الوارد. والأهم من ذلك أن لدى DKIM ميزة يفتقر إليها SPF: فلأن التوقيع ينتقل داخل الرسالة نفسها بدلًا من الاعتماد على الخادم المتصل، يصمد DKIM عادةً عند إعادة توجيه البريد، في حين يفشل SPF غالبًا عند إعادة توجيه الرسالة. وهذا ما يجعل DKIM الفحص الأكثر ثباتًا بين الاثنين عبر مسارات التسليم المعقدة.

يُعد DKIM أيضًا لبنة أساسية في DMARC. إذ ينجح DMARC عندما ينجح SPF أو DKIM وتتوافق النتيجة مع نطاق From الظاهر، لذا تمنح رسالة موقّعة بـ DKIM بشكل صحيح النطاقَ مسارًا موثوقًا نحو توافق DMARC. ومنذ متطلبات المرسلين التي أعلنتها Google وYahoo في 2024، يُتوقع من المرسلين بكميات كبيرة المصادقة باستخدام SPF وDKIM معًا، والرسائل التي تصل دون توقيع DKIM صالح أكثر عرضة بكثير للتصفية أو الرفض. لقد تحوّل إعداد DKIM الصحيح من ممارسة مثلى إلى توقع أساسي لكل من يرسل البريد الإلكتروني على نطاق واسع.

كيف يتعامل VeriMails معه

يحمي DKIM والتحقق من البريد الإلكتروني قابلية التسليم من اتجاهين مختلفين، ويحتاج أي برنامج بريد سليم إلى الاثنين معًا. يصادق DKIM على الرسائل التي ترسلونها، فيثبت للخوادم المستقبِلة أن البريد أصلي ولم يُعدَّل. أما التحقق من البريد الإلكتروني فينظّف الجمهور الذي ترسلون إليه، ويضمن أن كل عنوان في قائمتكم حقيقي ويمكن الوصول إليه. فالمصادقة دون قائمة نظيفة ستظل تُنتج حالات ارتداد، والقائمة النظيفة دون مصادقة ستظل تبدو غير جديرة بالثقة، لذا يعمل الاثنان كثنائي متكامل.

يركّز VeriMails على جانب المستلمين في هذا الثنائي. فكل عنوان ترسلونه يمر عبر التحقق من الصياغة، والبحث في سجلات MX وDNS، ومصافحة SMTP مباشرة، وكشف catch-all، وكشف العناوين المؤقتة، وكشف العناوين الوظيفية، ما يزيل العناوين غير الصالحة التي كانت سترتد وتضر بالسمعة التي وُجدت سجلات DKIM وSPF وDMARC لديكم لحمايتها. ولدعم جانب المصادقة أيضًا، يقدّم VeriMails مولّد DKIM مجانيًا يُنشئ زوج المفاتيح وسجل DNS الذي تحتاجون إلى نشره. ويمكنكم التحقق من قائمة عبر REST API أو عبر رفع ملف CSV بالجملة، مع فئات واضحة لقابلية التسليم تدعم قرارات حملاتكم. يبدأ التحقق من $0.0019 لكل بريد إلكتروني، مع 10,000 رصيد مقابل $19، وباقات سنوية تبدأ من $12.50/شهريًا عند الدفع السنوي، ويبدأ كل حساب بـ 100 رصيد مجاني، دون الحاجة إلى بطاقة ائتمان، ولا تنتهي صلاحيتها أبدًا.

الأسئلة الشائعة