الإجابة المختصرة
ما الفرق بين SPF وDKIM وDMARC؟
يسرد SPF الخوادم المسموح لها بإرسال البريد باسم نطاقك، ويضيف DKIM توقيعًا تشفيريًا إلى كل رسالة، ويخبر DMARC المستقبِلين بما يفعلونه حين يفشل الاثنان في المحاذاة مع عنوان From. Postelva يستضيف الثلاثة كسجلات DNS على نطاق .com بسعر 12.49 US$/سنة في السنة، مع DNS مجاني.
SPF وDKIM وDMARC جنبًا إلى جنب
| النقطة | SPF | DKIM | DMARC |
|---|---|---|---|
| ما الذي يفحصه | عنوان IP للخادم الذي يسلّم الرسالة | توقيع مُنشأ بمفتاح خاص للنطاق المُرسِل | أن SPF أو DKIM اجتاز، وأنه يطابق النطاق في عنوان From |
| مكانه في DNS | سجل TXT على اسم النطاق، يبدأ بـ v=spf1 | مفتاح عام على selector._domainkey.domain (TXT، أو CNAME يشير إلى مفتاح المزوّد) | سجل TXT على _dmarc.domain، يبدأ بـ v=DMARC1 |
| من ينشره | مالك النطاق، من تضمين المزوّد | المزوّد ينشئ المفاتيح؛ والمالك ينشرها | مالك النطاق وحده |
| Standard | RFC 7208 (معيار مقترح) | RFC 6376 (معيار إنترنت، STD 76) | RFC 9989 (معيار مقترح، مايو 2026، يحل محل RFC 7489) |
| عدد السجلات | واحد لكل نطاق، ولا يكون أبدًا اثنين | واحد لكل محدِّد: 3 لـ Proton Mail وFastmail، و4 لـ Mailbox.org | واحد لكل نطاق |
| القيد الرئيسي | 10 استعلامات DNS كحد أقصى | مفتاح لا يقل عن 1024 بت للموقِّعين | يجب أن يجتاز مع معرّف متطابق |
| يُصدر تقريرًا | لا | لا | نعم، تقارير مجمّعة إلى عنوان rua |
آخر تحقق في ؛ الأرقام الأقدم تحمل تاريخها الخاص
ماذا يفعل SPF؟
يجيب SPF عن سؤال واحد: هل الخادم الذي سلّم هذه الرسالة مسموح له بالإرسال باسم النطاق؟ ينشر مالك النطاق سجل TXT يبدأ بـ v=spf1 ويسرد المصادر المسموح بها، مثل include:_spf.protonmail.ch لـ Proton Mail. يقارن المستقبِل عنوان IP المتصل بالقائمة، ويحصل على نتيجة: نجاح أو فشل أو فشل ناعم أو محايد، بحسب المحدِّد في النهاية (-all أو ~all أو ?all).
يتحقق SPF من مُرسِل المغلّف (MAIL FROM) واسم HELO، لا من عنوان From الذي يراه القارئ. وهذه الفجوة هي سبب وجود DMARC. ويفرض SPF أيضًا حدودًا صارمة: يجب ألا يملك النطاق إلا سجل SPF واحدًا، ويتوقف التقييم بخطأ دائم بعد 10 مصطلحات تستعلم DNS (include وa وmx وptr وexists وredirect). الطريقة الكاملة مشروحة في دليل إنشاء سجل SPF.
ماذا يفعل DKIM؟
يجيب DKIM عن سؤال مختلف: هل وقّعت هذه الرسالة النطاق الذي تدّعيه، وهل وصلت دون تغيير؟ يوقّع الخادم المُرسِل ترويسات محددة والنص بمفتاح خاص. يقرأ المستقبِل نطاق التوقيع (d=) والمحدِّد (s=) من ترويسة DKIM-Signature، ثم يجلب المفتاح العام من selector._domainkey.domain في DNS ويتحقق من التوقيع.
لأن التوقيع ينتقل مع الرسالة، يصمد DKIM أمام إعادة التوجيه التي تبقي الرسالة سليمة، وهذا ما لا يفعله SPF، لأن المُعيد يرسل من عنوان IP الخاص به. ينص RFC 6376 على أن الموقِّعين يجب أن يستخدموا مفاتيح RSA بطول 1024 بت على الأقل للمفاتيح طويلة الأمد، ويوصي بمحددات جديدة عند تغيير المفاتيح. يتولى المزوّدون نشر المفاتيح عنك: ثلاثة سجلات CNAME لـ Proton Mail وFastmail، وأربعة لـ Mailbox.org. التفاصيل في دليل إعداد DKIM.
ماذا يفعل DMARC؟
يربط DMARC بين SPF وDKIM والنطاق الظاهر في From، ويخبر المستقبِلين بما يفعلونه حين لا يتطابق أي من الفحصين. تجتاز الرسالة DMARC حين يجتاز SPF أو DKIM، ويطابق النطاق الذي صادق عليه النطاق في From. المحاذاة مرنة افتراضيًا (النطاق التنظيمي نفسه)، وصارمة حين تُضبط بـ aspf=s أو adkim=s.
يقع السجل على _dmarc.yourdomain ويحمل سياسة: p=none (مراقبة فقط)، أو p=quarantine (معاملة الرسالة كمشبوهة)، أو p=reject (رفضها). يتلقى عنوان rua تقارير مجمّعة تبيّن من يرسل البريد باسمك. وRFC 9989، المنشور في مايو 2026، هو المواصفة الحالية؛ وهو يُلغي RFC 7489، ويزيل وسم pct، ويضيف علامة اختبار t. التدرج من المراقبة إلى الرفض مشروح في دليل إعداد DMARC.
هل أحتاج إلى الثلاثة جميعًا؟
نعم: ينبغي للنطاق المخصص الذي يرسل البريد أن ينشر SPF وDKIM وDMARC، لأن المستقبِلين الكبار يطلبونها. تشترط إرشادات المرسلين لدى Google سجلات SPF وDKIM وسجل DMARC (تكفي السياسة none) للمرسلين الذين يتجاوزون 5,000 رسالة في اليوم إلى حسابات Gmail. وتطلب Microsoft من مرسلي Outlook.com الذين يتجاوزون 5,000 في اليوم الثلاثة نفسها، منذ 5 مايو 2025، كما تطلب Yahoo الثلاثة من المرسلين بالجملة.
صندوق البريد الشخصي يرسل رسائل أقل بكثير، فالحدود لا تُلزمك. لكن السجلات تقرر هل يصل بريدك إلى صندوق الوارد، وتمنع الآخرين من تزوير عنوانك. ووفقًا لإحصاء Postelva في 12 نوفمبر 2026 من صفحات مساعدة المزوّدين، يحتاج الإعداد الكامل لـ Proton Mail إلى 8 سجلات DNS، ويحتاج الإعداد الكامل لـ Mailbox.org إلى 11، منها 3 و4 مفاتيح DKIM على التوالي. وتغطي سجلات MX ما هو سجل MX.
ما الأخطاء التي تكسر السجلات الثلاثة؟
ثلاثة أخطاء تسبب معظم الإخفاقات: سجل SPF ثانٍ، وأكثر من 10 استعلامات، وسياسة DMARC صارمة أكثر من اللازم في وقت مبكر. النطاق الذي فيه سجلا SPF يعطي خطأً دائمًا، لذلك أضف تضمين المزوّد الجديد إلى السجل الموجود. وتكديس مضيف بريد وأداة نشرات ومكتب مساعدة قد يدفع عدد الاستعلامات فوق 10، فيفشل السجل لكل المرسلين. وتنصح Mailbox.org وProton كلتاهما ببدء DMARC بـ p=none، وتحذّر Mailbox.org من أن سياسة صارمة تُطبَّق مبكرًا قد ترتد معها رسائل مشروعة.
الخطأ الرابع هو الاحتفاظ بإدخالات DKIM وSPF الخاصة بالمزوّد السابق لأشهر. لا تضر بالتسليم، لكنها توسّع قائمة الخوادم المسموح لها بالكلام باسمك. أزلها بعد تأكيد النقل.
كيف تعمل الثلاثة معًا على رسالة واحدة؟
يشغّل المستقبِل SPF وDKIM، ثم يجمع DMARC النتيجتين. خذ رسالة من [email protected] أُرسلت عبر Proton Mail. يجتاز SPF إن كان الخادم المتصل ضمن قائمة _spf.protonmail.ch. ويجتاز DKIM إن تحقق التوقيع المُنشأ بالمفتاح الموجود تحت yourname.com. ثم يسأل DMARC: هل اجتاز أحد الاثنين مع yourname.com في المعرّف المحاذى؟ إن كانت الإجابة نعم فالرسالة تجتاز؛ وإن لم تكن، يطبّق المستقبِل سياستك ويسجّل النتيجة في تقرير التجميع التالي.
يقول RFC 9989 إن النطاق الذي على p=reject لا يجب أن يعتمد على SPF وحده، وينبغي أن يوقّع بـ DKIM، لأن SPF ينكسر مع إعادة التوجيه. وARC (RFC 8617)، وهو معيار تجريبي، يتيح للمُعيدين تسجيل النتائج الأصلية، لكنه ليس جزءًا من إعدادك أنت. بعد نشر السجلات، تحقق منها بـ dig قبل أن تشدّد أي سياسة.
تعريف يصلح للاستشهاد: يصرّح SPF بالخوادم، ويوثّق DKIM الرسائل، ويفرض DMARC تطابقها مع نطاق From ويبلّغ عن النتيجة.
أسئلة حول SPF وDKIM وDMARC
أي سجل أُعدّه أولًا؟
أعدّ SPF وDKIM أولًا، لأنهما يأتيان من مزوّد بريدك، ثم انشر DMARC بـ p=none مع عنوان للتقارير. لا يمكن أن يجتاز DMARC دون واحد على الأقل من الآخرين.
هل يمكن أن يجتاز DMARC بـ SPF وحده أو DKIM وحده؟
نعم. يكفي اجتياز واحد متطابق. وفي سياسة p=reject، يقول RFC 9989 ألا تعتمد على SPF وحده، وأن تضيف توقيعات DKIM.
هل يحتاج نطاق شخصي إلى DMARC؟
تنطبق قواعد Google وMicrosoft فوق 5,000 رسالة في اليوم. ويكلّف سجل DMARC بـ p=none سجل TXT واحدًا، ويبيّن من يرسل البريد باسمك.
لماذا يفشل SPF حين أُعيد توجيه البريد؟
يرسل المُعيد من عنوان IP الخاص به، وهذا العنوان ليس في قائمة SPF لديك. ويبقى DKIM يتحقق إن ترك المُعيد الرسالة دون تغيير.
هل تشفّر SPF وDKIM وDMARC بريدي؟
لا. تصادق هذه السجلات على المرسِل، ولا تُخفي المحتوى. أما التشفير بين الخوادم فطبقة مختلفة، تغطيها MTA-STS.
في الخلاصة
- SPF يسرد الخوادم المسموح لها بالإرسال باسم نطاقك: سجل TXT واحد، و10 استعلامات كحد أقصى.
- DKIM يوقّع كل رسالة؛ والمفتاح العام يعيش في selector._domainkey.
- DMARC يتطلب اجتياز SPF أو DKIM متطابقًا، ويحدد p=none أو quarantine أو reject.
- DMARC مُعرَّف بموجب RFC 9989 (مايو 2026)، الذي يُلغي RFC 7489.
- تطلب Google وYahoo وMicrosoft الثلاثة من المرسلين بالجملة الذين يتجاوزون 5,000 رسالة في اليوم.
- يحتاج الإعداد الكامل لـ Proton Mail إلى 8 سجلات DNS، ويحتاج إعداد Mailbox.org إلى 11.
- Postelva تستضيف السجلات في DNS مجاني؛ و.com يكلّف 12.49 US$/سنة كل عام.
المصادر (8)
- RFC 7208، Sender Policy Framework — RFC Editor (قُرئت 2026-11-12)
- RFC 6376، توقيعات البريد المعرّفة بمفاتيح النطاق (DKIM) — RFC Editor (قُرئت 2026-11-12)
- RFC 9989, DMARC — RFC Editor (قُرئت 2026-11-12)
- RFC 8617، Authenticated Received Chain — RFC Editor (قُرئت 2026-11-12)
- إرشادات مُرسِلي البريد الإلكتروني — Google Workspace Admin Help (قُرئت 2026-11-12)
- تعزيز أمن البريد الإلكتروني: متطلبات جديدة للمُرسِلين بكميات كبيرة — Microsoft Tech Community (قُرئت 2026-11-12)
- أفضل ممارسات المرسلين — Yahoo Sender Hub (قُرئت 2026-11-12)
- SPF وDKIM وDMARC لنطاق مخصص — Mailbox.org (قُرئت 2026-11-12)