ما هو DMARC؟

التعريف

يمثل Domain-based Message Authentication, Reporting, and Conformance طبقة السياسات في مصادقة البريد الإلكتروني. فكل من SPF وDKIM يجري فحصًا مفيدًا بمفرده، لكن أيًا منهما لا ينظر وحده إلى عنوان From الذي يراه المستلم فعليًا، ولا يخبر الخادم المستقبِل بما يفعله عند فشل الفحص. ويسدّ DMARC هاتين الثغرتين: فهو يوجّه المستقبِلين إلى كيفية التعامل مع البريد غير المُصادَق عليه، ويُنتج تقارير تمنح مالك النطاق رؤية واضحة لكيفية استخدام نطاقه.

يصف الاسم نفسه المهام الثلاث التي يؤديها. فجزء المصادقة يعني أن DMARC يُبنى مباشرة على نتائج SPF وDKIM. وجزء التقارير يعني أن المستقبِلين يرسلون إلى مالك النطاق بيانات مجمّعة عن الرسائل التي تدّعي أنها صادرة من النطاق، بما في ذلك عدد الرسائل التي نجحت وعدد التي فشلت. أما جزء الامتثال فيعني أن مالك النطاق يستطيع إعلان سياسة يلتزم بها المستقبِلون، تتراوح بين عدم اتخاذ أي إجراء، والتسليم إلى مجلد البريد العشوائي، والرفض التام. وبذلك يتحول SPF وDKIM من فحوص منعزلة إلى دفاع قابل للتطبيق والمراقبة عن هوية النطاق.

كيف يعمل

تُنشر سياسة DMARC كسجل DNS واحد من نوع TXT على النطاق الفرعي _dmarc.yourdomain.com. يبدأ السجل بـ v=DMARC1، ويحدد السياسة المطلوبة في الوسم p=، ويتضمن عادةً الوسم rua= الذي يحدد عنوانًا تُرسل إليه التقارير المجمّعة. وعند وصول رسالة، يجري الخادم المستقبِل فحصي SPF وDKIM كالمعتاد، ثم يُجري تقييم DMARC بناءً على نتائجهما.

جوهر DMARC هو التوافق (alignment). فلا يكفي أن ينجح SPF أو DKIM فحسب، بل يجب أن يطابق النطاق الذي صادق عليه هذان الفحصان النطاقَ الظاهر في ترويسة From المرئية، لأن حماية عنوان From المرئي هي الغاية الأساسية من DMARC. وهناك وضعان للتوافق: التوافق المرن، وهو الافتراضي، يقبل التطابق على مستوى النطاق التنظيمي، فيمكن للنطاق الفرعي أن يتوافق مع نطاقه الأصلي. أما التوافق الصارم فيتطلب تطابقًا تامًا للنطاق. وينجح DMARC عندما ينجح SPF أو DKIM على الأقل ويتوافق مع نطاق From. ولهذا قد تنجح الرسالة في SPF أو DKIM بمفرده ومع ذلك تفشل في DMARC إذا لم يتطابق النطاق المُصادَق عليه مع عنوان From، وهي مفاجأة شائعة عندما يبدأ المرسلون بتشديد سياستهم.

عندما تفشل رسالة في DMARC، يطبّق المستقبِل السياسة المنشورة. فالسياسة p=none تطلب من المستقبِل عدم اتخاذ أي إجراء خاص والاكتفاء بإدراج الرسالة في التقارير، وهو إعداد المراقبة. والسياسة p=quarantine تطلب منه التعامل مع البريد الفاشل بحذر، عادةً بتوجيهه إلى مجلد البريد العشوائي. أما السياسة p=reject فتطلب منه حظر البريد الفاشل كليًا، فلا يصل إلى صندوق الوارد ولا إلى مجلد البريد العشوائي. ويُنصح بالتطبيق التدريجي: ابدأوا بـ none، وادرسوا التقارير المجمّعة للتأكد من أن كل مصدر إرسال مشروع يجتاز المصادقة والتوافق، ثم انتقلوا إلى quarantine وأخيرًا إلى reject عندما تُظهر البيانات أن ذلك آمن. فتطبيق سياسة صارمة قبل اكتمال الإعداد قد يدفع النطاق إلى حظر بريده المشروع.

لماذا يهم لقابلية تسليم البريد الإلكتروني

تبرز أهمية DMARC لسببين مترابطين. الأول هو الأمان: فبدون DMARC يستطيع المهاجم إرسال رسائل تصيّد تعرض نطاق شركة موثوقة بدقة في عنوان From، لأن SPF وDKIM وحدهما لا يراقبان هذا الحقل المرئي. وتتيح سياسة DMARC من نوع quarantine أو reject لمالك النطاق الحقيقي توجيه مزوّدي صناديق البريد حول العالم لإيقاف هذا البريد المزوّر قبل أن يصل إلى أي أحد. والسبب الثاني هو قابلية التسليم: إذ يشير سجل DMARC للمزوّدين إلى أن النطاق يأخذ المصادقة بجدية، ما يدعم سمعته ووصول رسائله إلى صندوق الوارد.

أصبح DMARC أيضًا متطلبًا إلزاميًا. فبموجب متطلبات المرسلين التي أعلنتها Google وYahoo في 2024، يجب على المرسلين بكميات كبيرة نشر سجل DMARC بسياسة لا تقل عن p=none، والمصادقة باستخدام SPF وDKIM بطريقة تتوافق مع DMARC. وقد يجد النطاق الذي لا يملك سجل DMARC بريده الجماعي مقيّدًا أو مرفوضًا. وفي الوقت نفسه، للتقارير التي يُرجعها DMARC قيمة بحد ذاتها، لأنها تكشف كل خدمة ترسل البريد باسم النطاق. وتساعد هذه الرؤية المرسل على التأكد من أن جميع أدواته المشروعة، من منصات التسويق إلى أنظمة الدعم، تجتاز المصادقة بشكل صحيح قبل تطبيق أي سياسة أكثر صرامة.

كيف يتعامل VeriMails معه

يدافع DMARC والتحقق من البريد الإلكتروني عن قابلية التسليم من طرفين متقابلين للرسالة. يحمي DMARC هوية نطاقكم في البريد الذي ترسلونه، ويضمن أن يثق المستقبِلون بأن الرسالة التي تدّعي أنها من نطاقكم هي كذلك فعلًا. أما التحقق من البريد الإلكتروني فيحمي جودة القائمة التي ترسلون إليها، ويضمن أن كل عنوان حقيقي ويمكن الوصول إليه. فقد يمتلك النطاق سياسة DMARC مثالية ومع ذلك يضر بسمعته بمراسلة عناوين ميتة، لذا تكمّل هاتان الممارستان إحداهما الأخرى بدلًا من أن تتداخلا.

يتولى VeriMails جانب المستلمين. فكل عنوان ترسلونه يُفحص عبر التحقق من الصياغة، والبحث في سجلات MX وDNS، ومصافحة SMTP مباشرة، وكشف catch-all، وكشف العناوين المؤقتة، وكشف العناوين الوظيفية، ما يزيل العناوين غير الصالحة التي كانت سترتد وتُضعف السمعة التي تعمل سجلات DMARC وSPF وDKIM لديكم على حمايتها. وللمساعدة في جانب المصادقة، يقدّم VeriMails مولّد DMARC مجانيًا يبني سجلًا منسّقًا بشكل صحيح، لتبدأوا في وضع المراقبة ثم تشدّدوا السياسة عندما تؤكد تقاريركم أن ذلك آمن. ويمكنكم التحقق من قائمة عبر REST API أو عبر رفع ملف CSV بالجملة، مع فئات واضحة لقابلية التسليم تدعم قرارات حملاتكم. يبدأ التحقق من $0.0019 لكل بريد إلكتروني، مع 10,000 رصيد مقابل $19، وباقات سنوية تبدأ من $12.50/شهريًا عند الدفع السنوي، ويبدأ كل حساب بـ 100 رصيد مجاني، دون الحاجة إلى بطاقة ائتمان، ولا تنتهي صلاحيتها أبدًا.

الأسئلة الشائعة