ما الذي يحدده DMARC
يثبت كل من SPF وDKIM شيئًا عن النطاق، لكن أيًا منهما لا يتحقق من العنوان في حقل From، وهو العنوان الذي يراه الأشخاص. يربط DMARC نتائج التحقق بهذا العنوان. تجتاز الرسالة فحص DMARC عندما يجتاز SPF أو DKIM الفحص لنطاق يطابق نطاق From، ويحدد السجل للجهات المستلمة ما يجب فعله بالرسالة التي لا تجتاز الفحص.
يوجد السجل في DNS كسجل TXT عند _dmarc متبوعًا بنطاقك. عندما لا يوجد سجل لهذا الاسم، تبحث الجهات المستلمة عن سجل النطاق التنظيمي بدلًا منه، أي النطاق المسجل، مثل example.com للنطاق news.example.com. لذلك يمكن أن تغطي السياسة نطاقًا فرعيًا دون أن يكون له سجل خاص.
كيفية قراءة سياسة DMARC
تطلب p=none من الجهات المستلمة عدم اتخاذ أي إجراء والاكتفاء بإرسال التقارير. هذه هي نقطة البداية المناسبة للجميع، لكنها أيضًا المرحلة التي تبقى عندها نطاقات كثيرة جدًا لسنوات. ما دامت هذه السياسة مطبقة، يمكن لأي شخص إرسال بريد باستخدام نطاقك في حقل From، وقد طُلب من الجهة المستلمة السماح بمروره.
ترسل p=quarantine البريد الذي يفشل في التحقق إلى البريد العشوائي، بينما ترفضه p=reject عند الاستلام. يطلب Gmail وYahoo من مرسلي البريد الجماعي نشر سجل DMARC منذ فبراير 2024. يفي السجل الذي يستخدم p=none بهذا المتطلب نظريًا، لكن أداة الفحص تظل تعرضه كتحذير.
تقارير DMARC التي لا تصل
تتلقى عناوين rua تقريرًا مجمعًا من كل جهة مستلمة ترى بريدك، مرة واحدة يوميًا افتراضيًا. إذا كان أحد العناوين ضمن نطاق مختلف عن النطاق الذي يخصه السجل، فإن RFC 7489 يطلب من النطاق الآخر نشر سجل تفويض يوضح أنه يقبل التقارير الخاصة بنطاقك. تبحث أداة الفحص عن هذا السجل لكل عنوان خارجي. من دونه، تتجاهل الجهات المستلمة التقارير.
أسئلة
كيف أضيف سجل DMARC؟
انشر سجل TXT عند _dmarc متبوعًا بنطاقك، يتضمن v=DMARC1 وسياسة، مثل v=DMARC1; p=none; rua=mailto:dmarc@example.com. ابدأ باستخدام p=none، واقرأ التقارير لبضعة أسابيع، ثم انتقل إلى quarantine وبعد ذلك إلى reject. افحص السجل هنا بعد أن يلتقطه DNS.
هل استخدام p=none سيئ؟
كخطوة أولى، يؤدي وظيفته: يجمع التقارير من دون التأثير في التسليم، وبذلك تكتشف الخدمات التي ترسل نيابة عنك ولم تتم مصادقتها بعد. يصبح مشكلة إذا استمر استخدامه، لأن الغرض من التقارير هو مساعدتك على الانتقال إلى العزل ثم الرفض.
هل أحتاج إلى سجل منفصل لكل نطاق فرعي؟
يعود النطاق الفرعي الذي لا يملك سجلًا خاصًا به إلى سجل النطاق التنظيمي، وتحدد علامة sp في ذلك السجل سياسة النطاقات الفرعية. لذلك يغطيها سجل واحد عادةً.
المحاذاة المرنة أم الصارمة؟
استخدم المحاذاة المرنة، ما لم يكن لديك سبب لاستخدام الصارمة. مع المحاذاة المرنة، يُحتسب توقيع DKIM من mail.example.com لعناوين From في example.com. تمنع المحاذاة الصارمة ذلك، وتعطل معه الكثير من الإعدادات التي يوقع فيها مزود الخدمة باستخدام نطاق فرعي.
ماذا تعني رسالة "DMARC policy not enabled"؟
يعني ذلك أن سجل DMARC للنطاق يتضمن p=none، أو أن النطاق لا يملك سجل DMARC أصلًا. مع p=none، تسلّم خوادم الاستقبال الرسائل التي تفشل كالمعتاد، وترسل التقارير فقط إلى عنوان rua، لذلك لا يُمنع أحد حتى الآن من الإرسال باسم نطاقك.
الدليل الكامل: DMARC policy not enabled
هل يمكن أن يحتوي النطاق على أكثر من سجل DMARC؟
لا. عندما يحتوي _dmarc على سجلي TXT يبدآن بـ v=DMARC1، تتجاهل خوادم الاستقبال السجلين وتتعامل مع النطاق كما لو لم يكن لديه أي سجل. احتفظ بسجل واحد وانقل إليه الوسوم التي تحتاج إليها من السجل الآخر.
العزل أم الرفض؟
ابدأ بسياسة الحجر الصحي. يتعامل المستلمون مع الرسائل التي تفشل على أنها مشبوهة، وعادة يضعونها في البريد العشوائي، لذلك يؤدي إغفال خدمة شرعية إلى وصول الرسالة إلى مجلد آخر بدلا من فقدانها. انتقل إلى الرفض عندما تُظهر التقارير، لبضعة أسابيع، عدم فشل أي رسالة تخصك.