SPF بمقابلہ DKIM بمقابلہ DMARC: فرق کیا ہے؟

SPF کیا کرتا ہے؟

SPF ایک سوال کا جواب دیتا ہے: کیا وہ سرور جس نے یہ پیغام پہنچایا، اس ڈومین کی طرف سے بھیجنے کا مجاز ہے؟ ڈومین کا مالک ایک TXT ریکارڈ شائع کرتا ہے جو v=spf1 سے شروع ہوتا ہے اور اجازت یافتہ ذرائع کی فہرست دیتا ہے، مثلاً Proton Mail کے لیے include:_spf.protonmail.ch۔ وصول کنندہ جڑنے والے IP پتے کا فہرست سے موازنہ کرتا ہے اور نتیجہ دیتا ہے: pass، fail، softfail یا neutral، اختتام کے qualifier پر منحصر (-all، ~all یا ?all)۔

SPF لفافے کے بھیجنے والے (MAIL FROM) اور HELO نام کو جانچتا ہے، اس From پتے کو نہیں جو قاری دیکھتا ہے۔ یہی خلا DMARC کی وجہ ہے۔ SPF کی سخت حدیں بھی ہیں: ایک ڈومین کے پاس صرف ایک SPF ریکارڈ ہو، اور 10 DNS-querying terms (include، a، mx، ptr، exists، redirect) کے بعد جانچ مستقل خرابی کے ساتھ رک جاتی ہے۔ مکمل طریقہ SPF ریکارڈ بنانے کی گائیڈ میں ہے۔

DKIM کیا کرتا ہے؟

DKIM ایک مختلف سوال کا جواب دیتا ہے: کیا یہ پیغام اسی ڈومین نے دستخط کیا جس کا وہ دعویٰ کرتا ہے، اور کیا یہ بغیر تبدیلی کے پہنچا؟ بھیجنے والا سرور منتخب ہیڈرز اور باڈی کو نجی کلید سے دستخط کرتا ہے۔ وصول کنندہ DKIM-Signature ہیڈر سے دستخط کرنے والا ڈومین (d=) اور selector (s=) پڑھتا ہے، DNS میں selector._domainkey.domain پر عوامی کلید لیتا ہے، اور دستخط کی جانچ کرتا ہے۔

چونکہ دستخط پیغام کے ساتھ سفر کرتا ہے، DKIM اس forward کے بعد بھی باقی رہتا ہے جو پیغام کو درست رکھے، جو SPF نہیں رکھتا، کیونکہ forwarder اپنے IP پتے سے بھیجتا ہے۔ RFC 6376 کہتا ہے کہ طویل مدتی کلیدوں کے لیے دستخط کنندگان کو کم از کم 1024 bits کی RSA کلیدیں استعمال کرنی چاہئیں، اور کلید بدلنے پر نئے selectors تجویز کرتا ہے۔ فراہم کنندگان آپ کے لیے کلیدیں شائع کرتے ہیں: Proton Mail اور Fastmail کے لیے تین CNAME ریکارڈ، Mailbox.org کے لیے چار۔ تفصیل DKIM کیسے ترتیب دیں کی گائیڈ میں ہے۔

DMARC کیا کرتا ہے؟

DMARC SPF اور DKIM کو نظر آنے والے From ڈومین سے جوڑتا ہے، اور بتاتا ہے کہ دونوں جانچیں میل نہ کھائیں تو وصول کنندہ کیا کرے۔ DMARC اس وقت پاس ہوتا ہے جب SPF یا DKIM پاس ہو اور جس ڈومین کی تصدیق ہوئی وہ From ڈومین سے میل کھائے۔ میل کھانا ڈیفالٹ میں نرم ہے (ایک ہی organizational domain) اور aspf=s یا adkim=s سے سخت ہوتا ہے۔

ریکارڈ _dmarc.yourdomain پر ہوتا ہے اور اس میں ایک پالیسی ہوتی ہے: p=none (صرف نگرانی)، p=quarantine (مشکوک سمجھیں) یا p=reject (رد کریں)۔ ایک rua پتہ مجموعی رپورٹس وصول کرتا ہے، جو دکھاتی ہیں کہ آپ کے نام پر کون میل بھیجتا ہے۔ RFC 9989، جو مئی 2026 میں شائع ہوا، موجودہ تفصیلات ہے؛ یہ RFC 7489 کی جگہ لیتا ہے، pct ٹیگ ہٹاتا ہے اور ایک t ٹیسٹ فلیگ شامل کرتا ہے۔ نگرانی سے رد تک کا سلسلہ DMARC کیسے ترتیب دیں کی گائیڈ میں ہے۔

کیا مجھے تینوں کی ضرورت ہے؟

ہاں: کسٹم ڈومین جو میل بھیجتا ہے اسے SPF، DKIM اور DMARC شائع کرنے چاہئیں، کیونکہ بڑے وصول کنندگان یہ مانگتے ہیں۔ Google کے بھیجنے والوں کے رہنما اصول Gmail اکاؤنٹس کو روزانہ 5,000 سے زیادہ پیغامات بھیجنے والوں سے SPF، DKIM اور DMARC ریکارڈ مانگتے ہیں (پالیسی none کافی ہے)۔ Microsoft 5 مئی 2025 سے Outlook.com پر روزانہ 5,000 سے زیادہ بھیجنے والوں سے وہی تین مانگتا ہے، اور Yahoo بھی بلک بھیجنے والوں سے SPF، DKIM اور DMARC لازم کرتا ہے۔

ذاتی میل باکس اتنے کم پیغام بھیجتا ہے کہ حد آپ پر لاگو نہیں ہوتی۔ پھر بھی ریکارڈ یہ طے کرتے ہیں کہ آپ کا میل ان باکس تک پہنچتا ہے یا نہیں، اور وہ دوسروں کو آپ کے پتے کی جعل سازی سے روکتے ہیں۔ Postelva کی 12 نومبر 2026 کی گنتی کے مطابق، فراہم کنندگان کے مدد کے صفحات سے، مکمل Proton Mail ترتیب 8 DNS ریکارڈ لیتی ہے اور مکمل Mailbox.org ترتیب 11، جن میں سے 3 اور 4 DKIM کلیدیں ہیں۔ MX ریکارڈ MX ریکارڈ کیا ہے میں درج ہیں۔

کون سی غلطیاں تینوں ریکارڈ توڑتی ہیں؟

تین غلطیاں زیادہ تر ناکامیوں کا سبب ہیں: دوسرا SPF ریکارڈ، 10 سے زیادہ lookups، اور DMARC پالیسی جو بہت جلد بہت سخت رکھی گئی ہو۔ دو SPF ریکارڈ والا ڈومین مستقل خرابی دیتا ہے، اس لیے نئے فراہم کنندہ کا include موجودہ ریکارڈ میں شامل کریں۔ ایک میل ہوسٹ، نیوز لیٹر ٹول اور ہیلپ ڈیسک کا ڈھیر lookups کو 10 سے آگے لے جا سکتا ہے، اور تب ریکارڈ ہر بھیجنے والے کے لیے ناکام ہو جاتا ہے۔ Mailbox.org اور Proton دونوں DMARC کو p=none سے شروع کرنے کا مشورہ دیتے ہیں، اور Mailbox.org خبردار کرتا ہے کہ بہت جلد لگائی گئی سخت پالیسی جائز میل کو واپس کر سکتی ہے۔

چوتھی غلطی یہ ہے کہ پچھلے فراہم کنندہ کے DKIM اور SPF اندراجات مہینوں تک رہنے دیے جائیں۔ یہ ڈیلیوری کو نقصان نہیں پہنچاتے، مگر وہ ان سرورز کی فہرست بڑھاتے ہیں جنہیں آپ کی طرف سے بولنے کی اجازت ہے۔ منتقلی کی تصدیق کے بعد انہیں ہٹا دیں۔

ایک پیغام پر تینوں کیسے مل کر کام کرتے ہیں؟

وصول کنندہ SPF اور DKIM چلاتا ہے، پھر DMARC دونوں نتائج کو ملاتا ہے۔ فرض کریں Proton Mail کے ذریعے [email protected] سے پیغام بھیجا گیا۔ SPF پاس ہوتا ہے اگر جڑنے والا سرور _spf.protonmail.ch کی فہرست میں ہو۔ DKIM پاس ہوتا ہے اگر yourname.com کے تحت کلید سے بنایا گیا دستخط تصدیق ہو جائے۔ پھر DMARC پوچھتا ہے کہ کیا دونوں میں سے کم از کم ایک، aligned شناخت کنندہ yourname.com کے ساتھ، پاس ہوا۔ اگر ہاں، تو پیغام پاس؛ اگر نہیں، تو وصول کنندہ آپ کی پالیسی لاگو کرتا ہے اور نتیجہ اگلی مجموعی رپورٹ میں درج کرتا ہے۔

RFC 9989 کہتا ہے کہ p=reject والے ڈومین کو صرف SPF پر انحصار نہیں کرنا چاہیے اور اسے DKIM سے دستخط کرنے چاہئیں، کیونکہ SPF forwarding پر ٹوٹتا ہے۔ ARC (RFC 8617)، ایک تجرباتی معیار، forwarders کو اصل نتائج ریکارڈ کرنے دیتا ہے، مگر یہ آپ کی اپنی ترتیب کا حصہ نہیں۔ ریکارڈ شائع کرنے کے بعد کوئی پالیسی سخت کرنے سے پہلے dig سے جانچیں۔

قابلِ حوالہ تعریف: SPF سرورز کو اختیار دیتا ہے، DKIM پیغامات کی تصدیق کرتا ہے، اور DMARC From ڈومین سے میل کو نافذ کرتا ہے اور نتیجہ رپورٹ کرتا ہے۔