SPF وDKIM وDMARC: توثيق بريدك الإلكتروني خطوة بخطوة

آخر تحديث: 23 سبتمبر 2026

من دون هذه السجلات الثلاثة في DNS، تبدو الرسائل المرسلة من نطاقك مريبة في نظر Gmail وOutlook وYahoo، ويستطيع أي شخص انتحال صفتك. إليك طريقة إعدادها دون إفساد أي شيء.

وظيفة كل آلية

الآلية	ما الذي تثبته	مكانها
SPF	أن الخادم المرسِل مخوّل بالإرسال باسم هذا النطاق	سجل TXT في جذر النطاق
DKIM	أن الرسالة لم تُعدَّل وأنها صادرة فعلًا عن النطاق الذي وقّعها	سجل TXT `selector._domainkey.domain`
DMARC	ما يجب أن يفعله المستلم إذا فشل SPF وDKIM، وإلى أين تُرسل التقارير	سجل TXT `_dmarc.domain`

منذ 2024 تشترط Gmail وYahoo وجود SPF وDKIM وDMARC لدى المرسلين بكميات كبيرة، وتطبّقها بصرامة متزايدة على الجميع. والنطاق غير الموثَّق تتراجع قدرة رسائله على الوصول.

الخطوة 1: SPF

يسرد سجل SPF الخوادم المأذون لها. مثال لنطاق يرسل عبر مزوّد بريد وأداة نشرات بريدية:

v=spf1 include:_spf.provider.com include:send.newsletter.com ~all

قواعد يجب احترامها:

سجل SPF واحد فقط لكل نطاق: وجود سجلين v=spf1 يُبطل SPF. ادمج عناصر include.
عشرة استعلامات DNS على الأكثر: يُحتسب كل include أو a أو mx. وإذا تجاوزتها فشل SPF.
**اختم السجل بـ ~all** (إخفاق «ليّن») في البداية، ثم بـ -all حين تتأكد أنك أدرجت كل المرسلين.
النطاق الذي لا يرسل بريدًا أبدًا يمكنه نشر v=spf1 -all: فلا يستطيع أحد انتحاله.

الخطوة 2: DKIM

يوقّع DKIM كل رسالة بمفتاح خاص، ويُنشر المفتاح العام في DNS. ويولّد مزوّد الإرسال زوج المفاتيح: فيعطيك اسم السجل (مثلًا s1._domainkey.example.com) وقيمته، أو سجل CNAME لإنشائه.

فعّل DKIM لكل خدمة ترسل باسمك: صندوق البريد، والنشرات، والفوترة، والمتجر؛
فضّل المفاتيح بطول 2048 بت؛
بعد نشر السجل فعّل التوقيع في لوحة المزوّد، ثم أرسل رسالة إلى نفسك وتحقق من الترويسة DKIM-Signature ومن النتيجة dkim=pass.

الخطوة 3: DMARC على ثلاث مراحل

يربط DMARC بين SPF وDKIM وبين النطاق الظاهر في حقل «من». ابدأ بوضع المراقبة:

v=DMARC1; p=none; rua=mailto:dmarc@example.com

**p=none** لمدة أسبوعين إلى أربعة: لا يُحجب شيء، لكنك تتلقى تقارير بكل الخوادم التي ترسل باسمك. وكثيرًا ما تكتشف خدمة منسية.
**p=quarantine**: تذهب الرسائل التي تفشل إلى البريد المزعج. ويمكنك التدرّج عبر pct=25 ثم 50 ثم 100.
**p=reject**: تُرفض الرسائل المنتحلة. هذه هي الحماية الكاملة.

التقارير ملفات XML صعبة القراءة: وأداة لتحليل DMARC، مجانية غالبًا للكميات الصغيرة، تلخّصها في جدول.

التحقق من الإعداد

استخدم أداة البحث في DNS لدينا للاستعلام عن سجلات TXT للنطاق و_dmarc.domain وselector._domainkey.domain. ثم أرسل رسالة إلى صندوق Gmail أو Outlook واعرض النص الأصلي: يجب أن يتضمن سطر Authentication-Results القيم spf=pass وdkim=pass وdmarc=pass.

الأخطاء الأكثر شيوعًا

سجلا SPF بعد إضافة خدمة جديدة.
أكثر من عشرة استعلامات DNS في SPF بسبب تكديس include.
تفعيل DKIM لصندوق البريد ونسيانه في أداة النشرات.
الانتقال مباشرة إلى p=reject دون فترة مراقبة، فتُحجب رسائل مشروعة.
إنشاء سجل DMARC على النطاق نفسه بدلًا من _dmarc.domain.

افتح أدوات NetCheck

أسئلة شائعة

هل يكفي SPF دون DKIM؟

لا. ينكسر SPF عند إعادة التوجيه التلقائي، لأن الخادم الذي يعيد التوجيه ليس في قائمتك. أما DKIM فيصمد أمام إعادة التوجيه. ويكفي DMARC أن تتوافق إحدى الآليتين مع نطاقك، لكن وجودهما معًا يجعل التوثيق موثوقًا.

متى تسري التغييرات؟

حين تنتهي مدة TTL للسجلات، أي عادة بين بضع دقائق وساعة. أما تقارير DMARC فتصل غالبًا مرة يوميًا.

هل أحتاج إلى DMARC إن كان نطاقي لا يرسل بريدًا؟

نعم: انشر v=spf1 -all وv=DMARC1; p=reject. فالمحتالون يستهدفون تحديدًا النطاقات غير المحمية لإرسال رسائل تصيّد باسمها.