ما هو SPF (Sender Policy Framework)؟

التعريف

Sender Policy Framework أحد المعايير الأساسية الثلاثة لمصادقة البريد الإلكتروني، إلى جانب DKIM وDMARC. ويعالج نقطة ضعف أساسية في البريد الإلكتروني: فبشكل افتراضي يستطيع أي شخص إرسال رسالة تدّعي أنها من أي نطاق، لأن بروتوكولات البريد الأصلية لم تتضمن أي وسيلة لإثبات هوية المرسل الحقيقي. ويسد SPF جزءًا من هذه الثغرة بمنح مالك النطاق وسيلة للإعلان علنًا، وبصيغة قابلة للقراءة آليًا، عن الخوادم المسموح لها تحديدًا بإرسال البريد نيابة عن النطاق.

يوجد هذا الإعلان في نظام أسماء النطاقات (DNS)، وهو الدليل العالمي نفسه الذي يترجم أسماء النطاقات إلى عناوين شبكية. ينشر مالك النطاق سجل DNS خاصًا يحدد المرسلين المصرَّح لهم. وعند وصول رسالة، يبحث خادم البريد المستقبل عن ذلك السجل ويقارنه بالخادم الذي سلّم الرسالة فعليًا. فإن كان خادم الإرسال ضمن القائمة، تجتاز الرسالة فحص SPF. وإن لم يكن، تفشل الرسالة في فحص SPF، وهذا مؤشر قوي على أن البريد قد يكون مزورًا. ولا يشفّر SPF أي شيء ولا يفحص محتوى الرسالة، بل يجيب عن سؤال واحد محدد: هل أُرسلت هذه الرسالة من خادم وافق عليه مالك النطاق؟

كيف يعمل

تُنشر سياسة SPF كسجل DNS TXT واحد على النطاق. ويبدأ السجل دائمًا بوسم الإصدار v=spf1، يليه عدد من الآليات التي تصف المرسلين المصرَّح لهم، وينتهي عادةً بآلية all التي تحدد النتيجة الافتراضية. وقد يكون السجل البسيط بالشكل v=spf1 include:_spf.google.com -all، الذي يصرّح لخوادم بريد Google Workspace ويرفض كل ما عداها.

الآليات هي اللبنات الأساسية. فآليتا ip4 وip6 تصرّحان مباشرة لعناوين أو نطاقات عناوين محددة. وآلية a تصرّح للخوادم الموجودة في سجلات العناوين الخاصة بالنطاق، وآلية mx تصرّح للخوادم المدرجة كخوادم تبادل البريد للنطاق. وآلية include هي الأكثر شيوعًا عمليًا، إذ تستدعي سياسة SPF لمزوّد آخر، وهكذا يفوّض النطاق الإرسال إلى خدمات مثل Google أو Microsoft أو منصة بريد إلكتروني. ويمكن أن تحمل كل آلية محدِّدًا يضبط النتيجة عند المطابقة. فعلامة الزائد، وهي الافتراضية، تعني النجاح. وعلامة الناقص تعني الفشل، وعلامة التلدة تعني softfail، أي تحذيرًا مخففًا، وعلامة الاستفهام تعني الحياد. وآلية all في النهاية تلتقط كل خادم لم يطابق ما سبق، لذا فإن -all رفض صارم لأي خادم غير مدرج بينما ~all إشارة أخف.

عندما يقيّم الخادم المستقبل SPF، يفحص عنوان envelope-from، وهو عنوان return-path المعلن أثناء تبادل SMTP، وفي رسائل الارتداد ذات return-path الفارغ يفحص هوية HELO بدلًا منه. ويفرض المعيار قيدًا مهمًا: لا يجوز أن يستخدم تقييم السجل أكثر من عشرة استعلامات DNS، وآليات مثل include وa وmx وexists تستهلك كل منها استعلامًا واحدًا. فإن احتاج السجل إلى أكثر من عشرة، ينتج خطأ PermError، وقد تعامله الخوادم المستقبلة كفشل، لذا يجب إبقاء سجلات SPF مختصرة. وللـ SPF أيضًا حدود بنيوية. فهو يتعطل عند إعادة توجيه البريد، لأن خادم إعادة التوجيه ليس ضمن قائمة النطاق الأصلي، والأهم أنه يتحقق فقط من عنوان envelope-from، لا من عنوان From الظاهر الذي يراه المستلم فعلًا.

لماذا يهم لقابلية تسليم البريد الإلكتروني

أصبح SPF الآن متطلبًا أساسيًا لا إضافة اختيارية. فمزوّدو صناديق البريد يعدّون اجتياز فحص SPF إشارة ثقة إيجابية، ويعدّون السجل المفقود أو الفاشل سببًا للريبة، وهذا يؤثر مباشرة في وصول البريد إلى صندوق الوارد أو إلى مجلد البريد العشوائي. ومنذ متطلبات المرسلين التي أعلنتها Google وYahoo في 2024، يُنتظر من مرسلي البريد بكميات كبيرة المصادقة عبر SPF، والنطاق الذي يفتقر إلى سجل SPF صالح قد يجد بريده مُبطَّأً أو مرفوضًا كليًا.

ويكتسب SPF أهميته أيضًا لأنه شرط مسبق لـ DMARC، طبقة السياسات التي تربط المصادقة بعنوان From الظاهر. ويعمل DMARC بالتحقق مما إذا كان SPF أو DKIM قد اجتاز الفحص وما إذا كانت النتيجة متوافقة مع نطاق From. ودون سجل SPF مضبوط بشكل صحيح، لا يستطيع النطاق تحقيق توافق DMARC عبر SPF، ما يُضعف حمايته الإجمالية. وفي الوقت نفسه، من المهم أن نكون واقعيين بشأن ما لا يستطيع SPF فعله. فلأنه يتجاهل ترويسة From الظاهرة ويتعطل عند إعادة التوجيه، لا يستطيع SPF وحده إيقاف منتحل مصمم. إنه طبقة ضرورية واحدة ضمن دفاع من ثلاث طبقات، ولا يحقق قيمته الكاملة إلا عندما يكون DKIM وDMARC مطبقين إلى جانبه.

كيف يتعامل VeriMails معه

يعالج SPF والتحقق من البريد الإلكتروني نصفين مختلفين من مشكلة قابلية التسليم نفسها. فـ SPF يصادق على البريد الذي ترسلونه لكي تثق الخوادم المستقبلة بأنه صادر منكم فعلًا. والتحقق من البريد الإلكتروني ينظّف القائمة التي ترسلون إليها، فلا تراسلون إلا عناوين حقيقية يمكن الوصول إليها. والوصول القوي إلى صندوق الوارد يحتاج إلى الاثنين معًا، ولا يغني أحدهما عن الآخر.

تركز VeriMails على جانب المستلم. فكل عنوان ترسلونه يُفحص عبر التحقق من الصياغة، واستعلام MX وDNS، ومصافحة SMTP مباشرة، وكشف catch-all، وكشف العناوين المؤقتة، وكشف العناوين الوظيفية، بحيث تُزال العناوين غير الصالحة قبل أن ترتد وتُضعف سمعةً وُجدت سجلات SPF وDKIM وDMARC الجيدة لحمايتها. وللمساعدة في جانب المصادقة أيضًا، تقدم VeriMails مولّد SPF مجانيًا يبني سجلًا صحيح الصياغة لنطاقكم وخدمات الإرسال لديكم، مع إبقائه ضمن حد الاستعلامات العشرة. ويمكنكم التحقق من قائمة عبر REST API أو الرفع بالجملة لملف CSV، مع فئات واضحة لقابلية التسليم تدعم قرارات الحملات. ويبدأ التحقق من $0.0019 لكل بريد إلكتروني، مع 10,000 رصيد مقابل $19 وباقات سنوية من $12.50/شهريًا عند الدفع سنويًا، ويبدأ كل حساب بـ 100 رصيد مجاني، دون حاجة إلى بطاقة ائتمان، ولا تنتهي صلاحيتها أبدًا.

الأسئلة الشائعة