الإجابة المختصرة
كيف أُعدّ DKIM لنطاق بريد إلكتروني مخصص؟
افتح إعدادات النطاق لدى مزوّد بريدك، وانسخ سجلات DKIM التي يعرضها، وانشرها في DNS الخاص بك تحت الاسم _domainkey: ثلاثة سجلات CNAME لـ Proton Mail وFastmail، وأربعة لـ Mailbox.org. Postelva تستضيفها في محرر DNS المجاني، ويبدأ التوقيع حين يكتشفها المزوّد.
سجلات DKIM لثلاثة مزوّدين
| المزوّد | السجلات | الأسماء (المضيف) | تشير إلى |
|---|---|---|---|
| Proton Mail | 3 CNAME | protonmail._domainkey، protonmail2._domainkey، protonmail3._domainkey | هدف تحت domains.proton.ch، فريد لنطاقك |
| Mailbox.org | 4 CNAME | MBO0001._domainkey إلى MBO0004._domainkey | MBO0001._domainkey.mailbox.org وهكذا حتى MBO0004 |
| Fastmail | 3 CNAME | fm1._domainkey، fm2._domainkey، fm3._domainkey | fm1.yourdomain.dkim.fmhosted.com، وfm2 وfm3 بالطريقة نفسها |
آخر تحقق في ؛ الأرقام الأقدم تحمل تاريخها الخاص
إعداد DKIM في خمس خطوات
افتح تبويب DKIM لدى مزوّدك
في Proton Mail هو Settings، ثم Organization، ثم Domain names، ثم تبويب DKIM للنطاق. وفي Fastmail وMailbox.org تعرض إعدادات النطاق السجلات.
انسخ كل اسم وهدف
انسخها بدقة. لا تعِد كتابتها: حرف واحد خاطئ في الهدف يجعل المفتاح غير قابل للقراءة.
أضف السجلات في محرر DNS
أنشئ سجل CNAME واحداً في كل سطر، مع المضيف الذي يعطيه المزوّد. إذا كان محرر DNS يُلحق النطاق تلقائياً، فأدخل الجزء الذي قبله فقط.
انتظر، ثم اطلب من المزوّد التحقق
انقر على زر التحقق أو إعادة الفحص لدى المزوّد. قد يحتاج السجل الجديد من بضع دقائق إلى بضع ساعات ليصبح مرئياً في كل مكان.
أرسل رسالة اختبار واقرأ النتيجة
أرسل رسالة إلى عنوان لدى مزوّد آخر، وافتح ترويساتها الكاملة وابحث عن dkim=pass. ثم انتقل إلى سجل DMARC.
; Fastmail (replace example.com with your domain)
fm1._domainkey.example.com. IN CNAME fm1.example.com.dkim.fmhosted.com.
fm2._domainkey.example.com. IN CNAME fm2.example.com.dkim.fmhosted.com.
fm3._domainkey.example.com. IN CNAME fm3.example.com.dkim.fmhosted.com.
; Mailbox.org
MBO0001._domainkey.example.com. IN CNAME MBO0001._domainkey.mailbox.org.
MBO0002._domainkey.example.com. IN CNAME MBO0002._domainkey.mailbox.org.
MBO0003._domainkey.example.com. IN CNAME MBO0003._domainkey.mailbox.org.
MBO0004._domainkey.example.com. IN CNAME MBO0004._domainkey.mailbox.org.كيف يعمل DKIM؟
يتيح DKIM لخادم المُرسِل أن يوقّع كل رسالة بمفتاح خاص، ويتيح لأي مستقبِل أن يتحقق من التوقيع بمفتاح عام منشور في DNS. يوجد التوقيع في ترويسة DKIM-Signature. وهو يحمل النطاق الموقِّع (d=)، والـ selector (s=)، والترويسات الموقَّعة (h=)، وتجزئة المحتوى (bh=)، والتوقيع نفسه (b=). تعرّف RFC 6376، وهي معيار إنترنت، هذه الوسوم.
يبني المستقبِل اسم DNS من الـ selector والنطاق: selector._domainkey.domain. للـ selector fm1 والنطاق example.com، يطلب fm1._domainkey.example.com. الإجابة سجل يحمل الوسوم v=DKIM1 وk=rsa وp= متبوعة بالمفتاح العام بترميز base64. و p= الفارغة تعني أن المفتاح ملغى.
التوقيع الصالح يثبت أمرين: أن الرسالة وقّعها نظام يحمل المفتاح الخاص لذلك النطاق، وأن الأجزاء الموقَّعة لم تتغير أثناء النقل. لكنه لا يقول إن الرسالة مرغوبة. ذلك الحكم يخص DMARC، وهو مشروح في SPF وDKIM وDMARC معاً.
لماذا يطلب المزوّدون سجلات CNAME بدلاً من مفتاح؟
يسلّم CNAME المفتاح إلى المزوّد: يبقى المفتاح العام في عنوان المزوّد، ويستطيع المزوّد استبداله دون أن يطلب منك تعديل DNS. يستخدم Proton Mail وFastmail وMailbox.org جميعها هذا النمط. سجلاتهم عبارة عن CNAME من اسم الـ selector الخاص بك إلى مضيف يتحكم فيه المزوّد، وهذا المضيف يحمل سجل المفتاح الفعلي.
الفائدة هي تدوير المفاتيح. تنصح RFC 6376 بنشر المفاتيح الجديدة تحت selectors جديدة بدلاً من إعادة استخدام selector، ويَنشر Proton Mail ثلاثة selectors (protonmail وprotonmail2 وprotonmail3)، مما يمنح المزوّد مساحة للانتقال من مفتاح إلى التالي. أما التكلفة عليك فهي الثقة: أنت تعتمد على أن يستمر مضيف المزوّد في الرد.
بحسب مقارنة Postelva بتاريخ 12 نوفمبر 2026، يحتاج المزوّدون الثلاثة الذين قُرئت سجلات DKIM الخاصة بهم في صفحات مساعدتهم إلى 3 و4 و3 سجلات CNAME، أي 10 في المجموع، ولا يطلب أيٌّ منهم مفتاحاً من نوع TXT.
ما الحجم الذي ينبغي أن يكون عليه مفتاح DKIM؟
استخدم مفتاح RSA بطول 2048 بت؛ و1024 بت هو الحد الأدنى الذي تسمح به RFC 6376 للمفاتيح طويلة الأمد. ينص المعيار على أن الموقّعين يجب أن يستخدموا مفاتيح RSA بطول 1024 بت على الأقل، وأن المدقِّقين يجب أن يكونوا قادرين على فحص مفاتيح من 512 إلى 2048 بت. تطلب إرشادات Google للمُرسِلين 1024 بت على الأقل وتوصي بـ 2048. وحين ينشئ المزوّد المفتاح، كما في إعداد CNAME أعلاه، فالطول من اختياره ولا يبقى لك شيء تضبطه.
حين يجب أن تختار الحجم بنفسك، اختر 2048. مفتاح بطول 2048 بت أطول من سلسلة واحدة من 255 حرفاً في DNS، لذلك تُقسَّم قيمة TXT إلى عدة سلاسل، وهذا ما تفعله معظم محررات DNS تلقائياً. وينطبق حد المحرر نفسه على سجل SPF الموصوف في كيف تنشئ سجل SPF.
هل يمكنني استخدام عدة مزوّدين على نطاق واحد؟
نعم: يوقّع كل مزوّد بـ selector خاص به، فلا تتصادم سجلات DKIM الخاصة بهم. السبب هو الـ selector. يستخدم Proton الأسماء protonmail وprotonmail2 وprotonmail3؛ ويستخدم Fastmail الأسماء fm1 وfm2 وfm3؛ ويستخدم Mailbox.org من MBO0001 إلى MBO0004. وأداة نشرات تُرسل باسمك تضيف selector خاصاً بها.
أما SPF فمختلف: فهو يحمل سجلاً واحداً لكل المُرسِلين، بحد 10 استعلامات. عندما تغادر مزوّداً نهائياً، احذف سجلات DKIM الخاصة به بعد أن تتأكد أن الجديد يوقّع، حتى لا يستطيع أحد يحصل على وصول إلى الحساب القديم استخدام مفتاح مهجور. للترتيب الكامل للانتقال، انظر كيف تنقل بريدك إلى مزوّد جديد دون أن تفقد رسائل.
كيف أتحقق من أن DKIM يعمل؟
ابحث عن الـ selector بـ dig ثم أرسل رسالة حقيقية. يجب أن يطبع الأمر dig CNAME fm1._domainkey.example.com +short هدف المزوّد. ولمفتاح من نوع TXT، اطلب TXT بدلاً من ذلك. الاختبار الحاسم هو الرسالة: ترويسات النسخة المستلمة تبيّن هل سجّل الخادم المستقبِل dkim=pass.
إذا كان السجل صحيحاً وما زال الفحص يفشل، فالأسباب المعتادة هي اسم مضيف خاطئ (النطاق مُضاف مرتين من محرر DNS)، أو ذاكرة مؤقتة قديمة، أو رسالة أُرسلت قبل أن يفعّل المزوّد التوقيع. يسرد الدليل التالي كيف تتحقق من سجلات MX وSPF وDKIM وDMARC الأوامر. وترد خطوات Fastmail كاملة في دليل نطاق Fastmail المخصص.
أسئلة حول إعداد DKIM
ما هو selector في DKIM؟
الـ selector تسمية يختارها الموقّع لتحديد مفتاح واحد، مثل fm1 أو protonmail. وهو يتيح لنطاق أن يحتفظ بعدة مفاتيح في وقت واحد، وأن يدوّرها دون توقف.
هل أحتاج إلى DKIM إذا كان لدي SPF بالفعل؟
نعم. ينكسر SPF عند تحويل الرسالة، بينما يبقى توقيع DKIM صالحاً إذا لم تُعدَّل الرسالة. وقواعد Gmail للمُرسِلين بكميات كبيرة تطلب الاثنين.
لماذا يرفض محرر DNS لديّ سجلاً يبدأ بشرطة سفلية؟
أسماء ذات شرطة سفلية مثل _domainkey صالحة في DNS، رغم أنها ليست أسماء مضيفين صالحة. أدخل المضيف بالضبط كما يعرضه المزوّد، دون أن تُضيف النطاق مرتين.
هل يمكنني تغيير الـ selector في DKIM؟
المزوّد هو من يحدده. يستخدم Mailbox.org من MBO0001 إلى MBO0004، وFastmail من fm1 إلى fm3، وProton Mail من protonmail إلى protonmail3. أبقِ الأسماء دون تغيير.
هل يشفّر DKIM الرسالة؟
لا. يوقّعها لإثبات المصدر والسلامة، ولا يخفي المحتوى.
في الخلاصة
- يوقّع DKIM كل رسالة؛ والمفتاح العام موجود في selector._domainkey.domain.
- يحتاج Proton Mail وFastmail إلى 3 سجلات CNAME، وMailbox.org إلى 4.
- انسخ الأسماء والأهداف بدقة من شاشة المزوّد؛ وأهداف Proton Mail فريدة لنطاقك.
- تشترط RFC 6376 أن يستخدم الموقّعون مفاتيح RSA بطول 1024 بت على الأقل؛ و2048 موصى به.
- لكل مزوّد selectors خاصة به، لذلك يمكن أن يوقّع عدة مزوّدين لنطاق واحد.
- اختبر بـ dig ورسالة حقيقية تُظهر dkim=pass.
- Postelva تستضيف السجلات في DNS مجاني؛ و.com يكلّف 12.49 US$/سنة كل عام.
المصادر (5)
- RFC 6376, DomainKeys Identified Mail (DKIM) Signatures — RFC Editor (قُرئت 2026-11-12)
- إرشادات مُرسِلي البريد الإلكتروني — Google Workspace Admin Help (قُرئت 2026-11-12)
- نطاق مخصص ومكافحة الانتحال — Proton (قُرئت 2026-11-12)
- SPF وDKIM وDMARC لنطاق مخصص — Mailbox.org (قُرئت 2026-11-12)
- مساعدة DNS لدى Fastmail — Fastmail (قُرئت 2026-11-12)