أمن البريد: SPF، DKIM، DMARC شرح مبسّط
SPF يحدد مين يرسل باسمك. DKIM يوقّع رسائلك. DMARC يحميك من التزوير. نشرح الثلاثة — بإعدادات جاهزة للنسخ.
لماذا أمان البريد الإلكتروني مهم؟
البريد الإلكتروني يظل الوسيلة الأكثر استخداما في التواصل المهني. وهو أيضا الهدف الأول لهجمات التصيد وانتحال الهوية. بدون إعداد سجلات المصادقة بشكل صحيح، يمكن لأي شخص إرسال رسائل تبدو وكأنها من نطاقك، مما يعرض سمعة شركتك وعملاءك للخطر.
ثلاثة بروتوكولات أساسية تشكل خط الدفاع الأول لبريدك: SPF و DKIM و DMARC. كل بروتوكول يؤدي وظيفة محددة، ومعا يشكلون نظام حماية متكامل.
SPF: من يحق له الإرسال باسمك؟
SPF (Sender Policy Framework) هو سجل DNS يحدد السيرفرات المخولة بإرسال بريد إلكتروني من نطاقك. عندما يستقبل سيرفر البريد رسالة من نطاقك، يتحقق من سجل SPF ليتأكد أن السيرفر المرسل مسموح له.
كيفية إعداد SPF
أضف سجل TXT في DNS لنطاقك بالصيغة التالية:
v=spf1 +a +mx ip4:YOUR.SERVER.IP -all
تفسير المكونات:
| المكون | المعنى |
|---|---|
| v=spf1 | إصدار SPF المستخدم |
| +a | السماح للسيرفر المرتبط بسجل A |
| +mx | السماح لسيرفرات MX |
| ip4:x.x.x.x | السماح لعنوان IP محدد |
| -all | رفض أي سيرفر آخر |
ملاحظة مهمة: استخدم -all (رفض صارم) بدلا من ~all (رفض مرن). الرفض الصارم يمنع السيرفرات غير المخولة من إرسال بريد باسم نطاقك.
DKIM: هل الرسالة أصلية وغير معدلة؟
DKIM (DomainKeys Identified Mail) يضيف توقيعا رقميا مشفرا لكل رسالة صادرة. سيرفر الاستقبال يستخدم المفتاح العام المنشور في DNS للتحقق من أن الرسالة لم تُعدل أثناء النقل.
كيفية إعداد DKIM
- من cPanel، ادخل على Email Deliverability
- اختر نطاقك واضغط Manage
- cPanel سينشئ زوج مفاتيح (عام وخاص) تلقائيا
- المفتاح العام يضاف كسجل TXT في DNS
- المفتاح الخاص يبقى على السيرفر لتوقيع الرسائل
سجل DKIM في DNS يبدو هكذا:
default._domainkey.yourdomain.com TXT "v=DKIM1; k=rsa; p=MIIBIjAN..."
DMARC: ماذا يحدث عند فشل المصادقة؟
DMARC (Domain-based Message Authentication, Reporting and Conformance) يربط SPF و DKIM معا ويحدد السياسة التي يجب أن تتبعها سيرفرات الاستقبال عند فشل المصادقة.
سياسات DMARC
| السياسة | الإجراء | متى تستخدمها |
|---|---|---|
| p=none | لا إجراء، مراقبة فقط | عند البدء لجمع التقارير |
| p=quarantine | نقل للبريد غير المرغوب | بعد التأكد من صحة الإعدادات |
| p=reject | رفض الرسالة بالكامل | الحماية القصوى بعد الاختبار |
إعداد DMARC تدريجيا
لا تبدأ بسياسة reject مباشرة. اتبع هذا التدرج:
- الأسبوع 1-2: p=none مع تقارير. راقب من يرسل باسم نطاقك
- الأسبوع 3-4: p=quarantine مع pct=50. نصف الرسائل المشبوهة تذهب للبريد غير المرغوب
- الشهر 2: p=quarantine مع pct=100
- الشهر 3: p=reject بعد التأكد من عدم وجود مشاكل
اختبار إعداداتك
بعد إعداد السجلات الثلاثة، اختبرها باستخدام أدوات مجانية مثل:
- MXToolbox: فحص شامل لسجلات DNS والبريد
- Mail-Tester: يعطي درجة شاملة لإعدادات بريدك
- Google Postmaster Tools: مراقبة سمعة نطاقك عند Google
إعداد كامل مع كلاود
في كلاود (cloud.net.sa)، جميع حسابات البريد تأتي مع SPF و DKIM مُعدة مسبقا. فريقنا يساعد في إعداد DMARC بالتدريج الصحيح لضمان أقصى حماية بدون التأثير على وصول الرسائل المشروعة.
ابدأ الآن
تبي بيئة آمنة لتطبيقاتك؟ اختر سيرفر محمي بحماية DDoS وجدار ناري متقدم. راجع اتفاقية مستوى الخدمة وسياسة الخصوصية.
