فاحص DMARC

DMARC (Domain-based Message Authentication, Reporting and Conformance) معيار لمصادقة البريد الإلكتروني محدد في RFC 7489. يعتمد على SPF وDKIM ويتيح لمالك النطاق إخبار خوادم الاستلام بما يجب فعله مع الرسائل التي تدّعي أنها من النطاق لكنها تفشل في المصادقة.

سجل DMARC هو سجل TXT يُنشر في _dmarc.yourdomain.com. يحتوي على سياسة (none أو quarantine أو reject) وعناوين إرسال التقارير وإعدادات اختيارية للمحاذاة والنطاقات الفرعية. منذ عام 2024 تشترط Google وYahoo وجود DMARC لدى جميع المرسلين بكميات كبيرة، لذا فإن غياب السجل يضر مباشرة بإمكانية التسليم.

• أدخل اسم نطاق أو عنوان بريد إلكتروني أو رابطًا — نستخرج النطاق تلقائيًا.
• نستعلم عن _dmarc.<النطاق> في DNS العام. إذا لم يكن للنطاق الفرعي سجل، نفحص النطاق التنظيمي الذي تنطبق سياسته عليه.
• يُحلَّل كل وسم ويُتحقق منه وفق RFC 7489: قيم السياسة ونطاق pct وأوضاع المحاذاة وعناوين التقارير وخيارات تقارير الفشل.
• تحصل على حالة واضحة وقائمة بالأخطاء والتوصيات وجدول يشرح كل وسم بلغة بسيطة.

يبدو السجل النموذجي لنطاق جاهز للتطبيق الكامل هكذا:

v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc-reports@example.com; adkim=s; aspf=s; pct=100

يرفض كل رسالة تفشل في محاذاة SPF وDKIM معًا، ويطبّق السياسة نفسها على النطاقات الفرعية، ويرسل تقارير مجمَّعة يومية إلى صندوق البريد المحدد.

• p=none — مراقبة فقط. يُسلَّم البريد الفاشل كالمعتاد لكنك تتلقى التقارير. ابدأ من هنا لاكتشاف جميع المرسلين الشرعيين.
• p=quarantine — يُنقل البريد الفاشل إلى مجلد البريد العشوائي. خطوة وسيطة آمنة.
• p=reject — يُرفض البريد الفاشل أثناء جلسة SMTP. هذا هو الهدف: حماية كاملة لنطاقك من الانتحال المباشر.

تقدّم تدريجيًا: انشر p=none مع عنوان rua، وراجع التقارير لبضعة أسابيع، وأصلح SPF وDKIM لكل خدمة شرعية، ثم انتقل إلى quarantine وأخيرًا إلى reject. يتيح وسم pct تطبيق السياسة على نسبة من البريد أثناء الطرح.

• سجلات متعددة — نشر سجلي DMARC من نوع TXT بالاسم نفسه يجعل المستلمين يتجاهلون كليهما.
• v=DMARC1 ليس أولًا — يجب أن يكون وسم الإصدار هو الأول تمامًا، وإلا يُهمَل السجل.
• عنوان تقارير غير صالح — يجب أن تكون قيم rua وruf عناوين URI مثل mailto:reports@example.com، لا مجرد عناوين بريد.
• تقارير خارجية غير مفوَّضة — عند إرسال التقارير إلى نطاق آخر، يجب أن ينشر ذلك النطاق سجل تفويض، وإلا لن تُرسل.
• البقاء على p=none إلى الأبد — سياسة المراقبة توفّر رؤية لكنها لا تحمي من الانتحال.

ينجح DMARC عندما تجتاز الرسالة SPF أو DKIM ويتطابق النطاق الموثَّق مع النطاق في عنوان From الظاهر. لذلك يبدأ الإعداد الصحيح لـ DMARC دائمًا بسجلات SPF وDKIM صالحة. تحقق منها باستخدام فاحصَي SPF وDKIM لدينا، ثم أرسل رسالة اختبار إلى عنوان TempBox مؤقت لترى نتائج المصادقة الفعلية في الترويسات.