ما هو DMARC، وكيف يعمل؟

DMARC هو السجل الذي يربط أخيرًا مصادقة البريد الإلكتروني بالعنوان الذي يقرؤه الناس فعلًا. قد ينجح SPF وDKIM كلاهما على رسالة منتحَلة، لأن أيًّا منهما لا يتحقق من سطر From الظاهر. أما DMARC فيتحقق منه، ويتيح لك أن تخبر الخوادم المستقبِلة بما تفعله عند فشل هذا التحقق. هذه الصفحة هي المحور لأدلتنا عن DMARC: ابدأ من هنا، ثم اتبع الروابط لكل خطوة.

ما هو DMARC؟

DMARC اختصار لـ Domain-based Message Authentication, Reporting, and Conformance. ومنذ مايو 2026 أصبح معرّفًا في RFC 9989، وهي وثيقة على مسار المعايير (Standards Track) حلّت محل RFC 7489. وانتقل الإبلاغ إلى وثيقتين مرافقتين: RFC 9990 للتقارير المجمّعة وRFC 9991 لتقارير الفشل.

السجل نفسه سجل TXT واحد على _dmarc. قبل اسم نطاقك:

_dmarc.example.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com"

ويؤدي ثلاث مهام:

1. يتحقق من أن البريد الذي يستخدم نطاقك في رأس From صادر منك فعلًا.
2. يحدد سياسة للبريد الذي يفشل: none أو quarantine أو reject.
3. يطلب تقارير لترى كل مصدر يرسل باسم نطاقك.

لا يفحص DMARC المحتوى ولا ينظر إلى اسم العرض. ويذكر RFC 9989 أن هجمات اسم العرض وتحليل المحتوى خارج نطاقه. كما أنه يتحقق من النطاق فقط، لا من الجزء الذي يسبق @ في العنوان.

كيف يعمل DMARC مع SPF وDKIM؟

لا يصادق DMARC على أي شيء بمفرده، بل يعيد استخدام نتائج فحصين أقدم:

• SPF (RFC 7208) يتحقق مما إذا كان الخادم المرسِل مسموحًا له باستخدام نطاق مرسل المغلف (MAIL FROM، ويظهر غالبًا باسم Return-Path).
• DKIM (RFC 6376) يتحقق من توقيع تشفيري يضيفه المرسل. ونطاق التوقيع هو قيمة d= في رأس DKIM-Signature.

ثم يطرح الخادم المستقبِل سؤالًا واحدًا: هل نجح SPF أو DKIM لنطاق متوافق مع نطاق From؟ يلخّص RFC 9989 في القسم 5.3.5 الأمر ببساطة: إذا توافق مُعرّف مصادَق واحد أو أكثر مع نطاق المؤلف (Author Domain)، تنجح الرسالة. وإن لم يتوافق أي منها، تفشل.

هذا ترتيب الخطوات على الخادم المستقبِل:

1. قراءة النطاق في رأس From: (يسميه RFC 9989 نطاق المؤلف).
2. البحث عن سجل DMARC له، مع الصعود في شجرة DNS إلى النطاق التنظيمي إذا لم يكن للاسم الدقيق سجل.
3. أخذ نتيجة SPF لنطاق MAIL FROM ونتيجة DKIM لكل توقيع صالح.
4. التحقق مما إذا كان أي نطاق ناجح متوافقًا مع نطاق From.
5. النجاح أو الفشل، ثم تطبيق السياسة المحلية مسترشدًا بقيمة p= لديك، وتسجيل النتيجة للتقارير.

إذا أردت خلفية عمّا يثبته كل فحص من الفحوص الثلاثة بمفرده، فاقرأ SPF مقابل DKIM مقابل DMARC.

ما هو توافق DMARC؟

التوافق (Alignment) هو جوهر DMARC. فبدونه يستطيع المهاجم نشر SPF وDKIM لنطاقه الخاص، واجتياز الفحصين، ثم يضع نطاقك في From. يقول RFC 9989 في القسم 4.4.1 صراحةً: «يمكن أن تحمل الرسالة توقيعًا صالحًا من أي نطاق، حتى من نطاق تستخدمه جهة خبيثة».

هناك وضعان للتوافق:

• المرن (Relaxed) وهو الافتراضي: يشترك النطاقان في النطاق التنظيمي نفسه. فالنطاق mail.example.com يتوافق مع example.com.
• الصارم (Strict): النطاقان متطابقان تمامًا.

يتبع هذا الجدول الأمثلة الواردة في RFC 9989 القسم 4.4:

ويلاحظ RFC 9989 أن «جميع مالكي النطاقات تقريبًا وجدوا التوافق المرن كافيًا». اترك adkim وaspf على قيمتيهما الافتراضيتين المرنتين ما لم يكن لديك سبب محدد.

ماذا تعني p=none وp=quarantine وp=reject؟

الوسم p هو طلبك من الخوادم المستقبِلة بشأن البريد الذي يفشل في DMARC، والقرار النهائي لها. بل ينص RFC 9989 في القسم 7.4 على أنه لا يجوز للمستقبِلين رفض الرسالة استنادًا إلى p=reject وحده، دون معرفة وتحليل إضافيين.

توثّق Microsoft كيف تتعامل مع كل سياسة في البريد الوارد عند تفعيل Honor DMARC record policy (احترام سياسة سجل DMARC): تذهب رسائل p=quarantine إلى مجلد Junk Email (البريد العشوائي)، وتُرفض رسائل p=reject أثناء جلسة SMTP بنتيجة dmarc=fail action=oreject (Microsoft Learn).

وهناك وسمان آخران يشكّلان السياسة: sp يحددها للنطاقات الفرعية الموجودة، وnp للنطاقات الفرعية غير الموجودة. وإذا أُغفلا، يرجع np إلى sp، ويرجع sp إلى p. ويشرح دليلنا لسياسة DMARC للنطاقات الفرعية هذا التوارث. أما الوسم t=y، الجديد في RFC 9989، فيطلب من المستقبِلين تطبيق سياستك بمستوى أخف بدرجة واحدة أثناء الاختبار. وكل وسم مشروح في أمثلة سجلات DMARC.

ما هي تقارير DMARC؟

عندما يتضمن سجلك rua=mailto:...، يرسل إليك المستقبِلون الذين يدعمون الإبلاغ تقارير مجمّعة: ملفات XML مضغوطة تسرد كل عنوان IP مرسِل، وعدد الرسائل التي أرسلها باسم نطاقك، وما إذا كان SPF وDKIM قد نجحا وتوافقا. وينص RFC 9989 في القسم 5.3.8 على أن يرسلها المستقبِلون مرة واحدة على الأقل كل 24 ساعة.

التقارير المجمّعة هي الطريقة التي تكتشف بها أداة الفوترة أو نظام إدارة العملاء (CRM) أو نموذج الموقع الذي يرسل باسم نطاقك دون مصادقة. لكنها صعبة القراءة بصيغتها الخام. تحوّل أداتنا المجانية DMARC Report Analyzer (محلّل تقارير DMARC) التقرير إلى جدول داخل متصفحك، ويشرح دليل كيف تقرأ تقارير DMARC كل حقل.

يطلب الوسم ruf تقارير فشل عن رسائل فردية. ويلاحظ RFC 9989 أن المستقبِلين المهتمين بالخصوصية إما يحجبون معظم محتواها أو لا يرسلونها إطلاقًا، كما أن Microsoft 365 لا يرسلها. ابدأ بـ rua فقط.

كيف أُعدّ DMARC؟

باختصار، ووفقًا لـ RFC 9989 القسم 5.1 ودليل Google لإعداد DMARC:

1. اجمع قائمة بكل خدمة ترسل باسم نطاقك، وامنح كلًّا منها SPF أو DKIM متوافقًا. تغطي صفحات دليل إعداد DKIM وسجلات SPF حسب المزوّد الخدمات الشائعة.
2. انشر p=none مع عنوان rua. تُنشئ أداة DMARC Record Generator (مولّد سجل DMARC) السجل لك.
3. اقرأ التقارير، وأصلح الجهات المرسلة الفاشلة، ثم انتقل إلى p=quarantine وp=reject.

الإجراء الكامل، مع السجل المناسب لكل مرحلة ومدة البقاء فيها، موجود في الانتقال بـ DMARC من p=none إلى p=reject. وإذا أخبرتك إحدى أدوات الفحص أن سياسة DMARC غير مفعّلة، فابدأ بدليل إصلاح «DMARC policy not enabled». أما النطاق الذي لا يرسل بريدًا أبدًا فيمكنه تخطي مراحل التدرج ونشر p=reject مباشرة، كما هو موضح في حماية النطاقات المركونة من الانتحال.

هل أحتاج إلى DMARC؟

إذا كان نطاقك يرسل بريدًا إلكترونيًا، فنعم. وبالنسبة للمرسلين بكميات كبيرة أصبح شرطًا إلزاميًا:

• تشترط Google وجود SPF وDKIM وDMARC لدى من يرسلون نحو 5,000 رسالة أو أكثر يوميًا إلى حسابات Gmail الشخصية، مع توافق نطاق From مع SPF أو DKIM. ويمكن أن تكون السياسة none (إرشادات Google للمرسلين). وتُظهر أداة Google Postmaster Tools ما إذا كان Gmail يعدّك ملتزمًا بالشروط.
• تشترط Yahoo على المرسلين بكميات كبيرة «نشر سياسة DMARC صالحة لا تقل عن p=none»، وتنص على وجوب نجاح DMARC (Yahoo Sender Hub). وتحث بشدة جميع المرسلين الآخرين على نشر سياسة أيضًا.

التفاصيل في دليلنا عن متطلبات Gmail وYahoo وMicrosoft للمرسلين بكميات كبيرة.

ولا يزال كثير من النطاقات الكبيرة غير محمي. ففي فحصنا لأعلى 1,000 نطاق في قائمة Tranco في أكتوبر 2026، لم يكن لدى 26.5% منها سجل DMARC، ولم يكن 38.3% منها يطبّق سياسة DMARC إلزامية.

ما الذي لا يفعله DMARC؟

DMARC قوي في مواجهة هجوم محدد واحد: البريد الذي يضع نطاقك الدقيق في From. لكنه لا يوقف:

• النطاقات المشابهة مثل examp1e.com، التي لها سجلات DNS خاصة بها. راجع التصيّد الاحتيالي عبر النطاقات المشابهة.
• حيل اسم العرض، حيث يقول الاسم «المدير التنفيذي» بينما العنوان صندوق بريد مجاني.
• البريد العشوائي والتصيّد الاحتيالي المرسَل إليك من نطاقات تجتاز المصادقة بشكل صحيح.

إنه يحمي نطاقك في صناديق بريد الآخرين. أما البريد الوارد إلى نطاقك أنت فلا يزال يحتاج إلى فلترة للبريد الوارد.

أدلتنا عن DMARC

الخطوات التالية

1. افحص نطاقك باستخدام DMARC Checker (أداة فحص DMARC). يُظهر ما إذا كان لديك سجل، وما السياسة، وما إذا كان الإبلاغ مُعدًّا.
2. إذا لم يكن لديك سجل، فاجمع قائمة بجهاتك المرسلة وتأكد من SPF وDKIM باستخدام SPF Checker (أداة فحص SPF) وDKIM Checker (أداة فحص DKIM).
3. انشر p=none مع عنوان للتقارير باستخدام DMARC Record Generator.
4. راجع تقارير شهر واحد على الأقل، وأصلح الجهات المرسلة الفاشلة، ثم انتقل إلى quarantine وreject.

يحمي DMARC اسم نطاقك في أماكن أخرى. أما البريد الوارد إليك، فإن فلتر البريد الوارد مثل iBlockSpam يفحصه بحثًا عن البريد العشوائي والتصيّد الاحتيالي وانتحال الهوية قبل أن يصل إلى مستخدميك؛ راجع كيف يعمل.

بمجرد أن يتضمن سجلك عنوانًا للتقارير، يمكن لخدمة مراقبة DMARC من iBlockSpam قراءة التقارير اليومية نيابةً عنك وإخبارك متى تصبح جهاتك المرسلة جاهزة لسياسة أكثر صرامة. وإذا كنت تريد فقط أن تعرف متى تتغير سجلات DMARC أو SPF أو MX لديك، فإن خدمة Free Domain Watch (المراقبة المجانية للنطاق) تفحصها أسبوعيًا مجانًا.

تصفّح أدلتنا الأخرى عن SPF وDKIM وDMARC.