سجل DMARC: كيف تضيفه بالطريقة الصحيحة

ما هو سجل DMARC؟

يتوقع Gmail وYahoo الآن سجل DMARC من كل من يرسل بريدًا كثيرًا. ومن دونه قد يرتد بريدك أو يصل إلى الرسائل المزعجة. وسجل DMARC هو سجل TXT في DNS يخبر المستقبلين ماذا يفعلون عندما تفشل الرسالة في SPF وDKIM.

كما يتحقق DMARC من أمر لا يفحصه SPF وحده: أن النطاق الظاهر في حقل المرسل يطابق النطاق الذي نجح في SPF أو DKIM. ونتيجة لذلك يمنع الغرباء من إرسال بريد يبدو أنه منك.

كيف تقرأ سجل DMARC

يبدو أول سجل DMARC جيد هكذا:

v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com

• v=DMARC1 يحدد أن السجل من نوع DMARC.
• p=none يراقب فقط. يُسلَّم البريد كما كان، لكنك تتلقى تقارير.
• p=quarantine يرسل البريد الفاشل إلى الرسائل المزعجة.
• p=reject يرفض البريد الفاشل تمامًا.
• rua= هو العنوان الذي يستلم التقارير اليومية.

لذلك ابدأ بـ p=none. فهو لا يغيّر شيئًا في التسليم، ومع ذلك يعرض لك كل خادم يرسل بريدًا باسم نطاقك.

كيف تضيف سجل DMARC

أولًا، تأكد أن SPF مُعدّ، لأن DMARC يعتمد عليه. ثم أنشئ السجل باستخدام مولّد DMARC وSPF المجاني. اختر السياسة none وأدخل عنوانًا للتقارير.

بعد ذلك أضف سجل TXT في لوحة DNS. والخطأ الأكثر شيوعًا هو الاسم. يجب أن يكون _dmarc وليس @. فعند @ لا يبحث عنه أي مستقبل أبدًا.

وأخيرًا ابحث عنه لتتأكد أنه يعمل:

nslookup -type=txt _dmarc.example.com

ويمكنك أيضًا رؤيته في فاحص سجلات DNS.

قراءة تقارير DMARC

بعد يوم أو يومين يبدأ مستقبلون مثل Google وMicrosoft بإرسال تقارير إلى عنوان rua. وكل تقرير ملف XML صغير يذكر الخوادم التي أرسلت باسم نطاقك وهل نجحت في SPF وDKIM.

ابحث عن الخدمات الحقيقية التي تفشل، مثل أداة النشرات أو نظام الدعم. أصلحها أولًا، غالبًا بإضافتها إلى SPF أو بإعداد DKIM. أما الخوادم المجهولة التي تفشل فهي غالبًا منتحلون، وهذا بالضبط ما سيحظره DMARC لاحقًا.

من p=none إلى p=reject

عندما تنجح كل خدماتك الحقيقية، شدّد السياسة على مراحل. لذلك لا تقفز مباشرة إلى reject:

1. p=none لمدة أسبوعين إلى أربعة أسابيع أثناء قراءة التقارير.
2. p=quarantine; pct=25 لإرسال ربع البريد الفاشل إلى الرسائل المزعجة.
3. p=quarantine لكل البريد الفاشل.
4. p=reject عندما تبقى التقارير نظيفة.

باختصار، كل مرحلة تغيير صغير يمكنك التراجع عنه في اليوم نفسه إذا تعطل شيء.

ماذا تعني مطابقة DMARC

لا يسأل DMARC فقط إن كان SPF أو DKIM قد نجح. بل يسأل أيضًا إن كانا قد نجحا للنطاق نفسه الذي يراه القارئ في حقل المرسل. وتسمى هذه المطابقة alignment.

مطابقة SPF

يفحص SPF عنوان الإرجاع المخفي، لا حقل المرسل. لذلك إذا أرسلت أداة نشرات بعنوان إرجاع خاص بها، قد ينجح SPF بينما تفشل المطابقة. وتسمح أدوات كثيرة بنطاق إرجاع مخصص لحل ذلك.

مطابقة DKIM

يتطابق DKIM عندما يطابق نطاق التوقيع، أي قيمة d=، نطاق المرسل لديك. ولهذا أعدّ DKIM بنطاقك أنت في كل خدمة ترسل باسمك، لا بنطاق الخدمة الافتراضي.

مرنة وصارمة

المطابقة مرنة افتراضيًا: فيُعدّ mail.example.com مطابقًا لـ example.com. أما الوضع الصارم فيحتاج تطابقًا تامًا. لذلك يجب أن تُبقي معظم المواقع القيمة الافتراضية.

وسوم DMARC أخرى مفيدة

تحتاج معظم السجلات فقط إلى v وp وrua. لكن بعض الوسوم الإضافية مفيدة بعد أن تعمل الأساسيات.

• sp= يحدد سياسة منفصلة للنطاقات الفرعية.
• pct= يطبّق السياسة على جزء فقط من البريد الفاشل، مثل 25 بالمئة.
• ruf= يطلب تقارير تفصيلية عن كل فشل، ولم يعد كثير من المستقبلين يرسلها.
• adkim= وaspf= يبدّلان مطابقة DKIM أو SPF بين المرنة (r) والصارمة (s).

باختصار، أضف وسمًا فقط عندما تعرف لماذا تحتاجه. لأن كل وسم إضافي شيء آخر قد يكون خاطئًا.

DMARC للنطاقات الفرعية والنطاقات المتوقفة

يغطي سجل DMARC على النطاق الرئيسي نطاقاته الفرعية أيضًا، إلا إذا كان لنطاق فرعي سجله الخاص. لذلك يكفي عادة سجل واحد عند _dmarc.example.com.

النطاقات التي لا ترسل بريدًا أبدًا هدف سهل للمنتحلين. لذلك انشر لها سياسة صارمة فورًا، مع سجل SPF لا يسمح بشيء:

v=DMARC1; p=reject;

لأن نطاقًا متوقفًا لا يرسل بريدًا حقيقيًا، لا يُحظر شيء مفيد. وفي الأثناء يُرفض البريد المزيف الذي يستخدم اسمه.

أخطاء شائعة

• وضع السجل عند @ بدل _dmarc.
• البدء بـ p=reject، فتفقد خدمة منسية كل بريدها.
• إضافة DMARC قبل أن يعمل SPF أو DKIM.
• استخدام عنوان تقارير على نطاق آخر دون سجل الإذن الذي يحتاجه ذلك النطاق.
• عدم قراءة التقارير أبدًا، فتبقى السياسة none للأبد.

باختصار: الاسم _dmarc، والبداية none، ثم قراءة التقارير، ثم التشديد. ولمزيد من التفاصيل راجع دليل Google لإعداد DMARC.

أسئلة وأجوبة