وثّق بريد نطاقك (SPF وDKIM وDMARC) في Google Workspace

المشكلة

ترسل عرض سعر أو فاتورة من بريد شركتك فتصل إلى البريد المزعج عند العميل. أو الأسوأ: يرسل أحدهم رسائل باسم نطاقك دون علمك فيخسر عملاؤك الثقة بك. الحل أن تثبت لمزودي البريد أن الرسائل الصادرة من نطاقك مصرّح بها، عبر ثلاثة سجلات DNS تُعرف بـ SPF وDKIM وDMARC.

الأداة

لوحة الإدارة في Google Workspace (Admin console) مع إعدادات DNS لدى الجهة التي اشتريت منها النطاق. تحتاج صلاحية المشرف الأعلى (super administrator) وصلاحية إعدادات Gmail لتوليد مفتاح DKIM. الخطوات مأخوذة من صفحات المساعدة الرسمية لـ Google Workspace.

الخطوات

1. افحص أولاً إن كان لنطاقك سجل SPF موجود، باستخدام إحدى أدوات الفحص المجانية على الإنترنت. إن وُجد فعدّله ولا تضف سجلاً ثانياً، لأن لكل نطاق سجل SPF واحداً.
2. أضف سجل SPF. من لوحة DNS أنشئ سجلاً من نوع TXT، والمضيف (Host) هو @ للنطاق الرئيسي، وقيمته إن كنت ترسل من Google فقط: v=spf1 include:_spf.google.com ~all. إن كنت ترسل أيضاً من خدمات أخرى (مثل منصة النشرات البريدية) فأضف include الخاص بها داخل السجل نفسه، وبحد أقصى 10 وسوم include. قد يطلب بعض المزودين وضع القيمة بين علامتي اقتباس. يستغرق التفعيل حتى 48 ساعة.
3. جهّز DKIM. إن فعّلت Gmail للتو، فانتظر من 24 إلى 72 ساعة قبل توليد المفتاح وإلا قد يظهر خطأ في سجل DKIM. في لوحة الإدارة اذهب إلى Apps ثم Google Workspace ثم Gmail، واضغط Authenticate email.
4. اختر النطاق من قائمة Selected domain، ثم اضغط Generate New Record. اختر طول المفتاح 2048 إن كان مزود النطاق يدعمه، وإلا فاختر 1024. أبقِ البادئة الافتراضية google إلا إن كانت مستخدمة لمفتاح آخر. اضغط Generate.
5. انسخ اسم المضيف (يكون بصيغة google._domainkey) والقيمة التي تبدأ بـ v=DKIM1; k=rsa; p=. لا تضغط Start authentication بعد.
6. أنشئ سجل TXT في لوحة DNS بهذا المضيف وهذه القيمة. إن رفض المزود القيمة لطولها فراجع حدود الطول في وثائقه. قد يحتاج DKIM إلى 48 ساعة ليعمل.
7. ارجع إلى Authenticate email، واختر النطاق، واضغط Start authentication. عند النجاح تتغير الحالة إلى Authenticating email with DKIM.
8. تحقق من DKIM: أرسل رسالة إلى عنوان Gmail آخر غير بريدك (الإرسال لنفسك لا يثبت شيئاً)، وافتح الرسالة ثم عرض الرأس الكامل، وابحث في سطر Authentication-Results عن نتيجة DKIM بقيمة pass.
9. بعد مرور 48 ساعة على تفعيل SPF وDKIM، جهّز DMARC. أنشئ مجموعة أو صندوق بريد مخصصاً لاستقبال تقارير DMARC اليومية، مثل dmarc@نطاقك.
10. أضف سجل TXT مضيفه _dmarc، وابدأ بسياسة المراقبة فقط: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. بعض مزودي DNS يضيفون اسم النطاق تلقائياً، لذلك راجع السجل بعد حفظه وتحقق منه بأداة فحص DMARC مجانية.
11. راجع التقارير أياماً أو أسابيع. إن ظهرت خدمات مشروعة تفشل في SPF وDKIM (نشرات، فواتير، متجر) فاضبطها مع مزودها. ثم انتقل إلى p=quarantine لإرسال المشبوه إلى البريد المزعج، وأخيراً p=reject. توصي Google بالبدء بـ none ثم الترقية تدريجياً، ويمكنك استخدام pct= لتطبيق السياسة على جزء من الرسائل أولاً.

التكلفة الحقيقية

لا تكلفة إضافية في Google Workspace نفسه، ولا في سجلات DNS لدى معظم مزودي النطاقات. التكلفة الفعلية هي وقتك في مراجعة التقارير، أو مبلغ خدمة تحليل تقارير DMARC إن أردت قراءتها بشكل مبسط.

البديل المجاني

إن كان بريدك عند مزود آخر غير Google، فالسجلات نفسها (SPF وDKIM وDMARC) موجودة عنده بقيم مختلفة، فاتبع وثائق مزودك. وأدوات فحص DNS المجانية على الإنترنت تكفي للتحقق من النتيجة.

تنبيهات

• لم نجرّب هذه الخطوات بأنفسنا بعد، وهي مبنية على صفحات المساعدة الرسمية الحالية من Google.
• لا تقفز مباشرة إلى p=reject: قد تُحجب رسائل مشروعة من خدمات لم تضبطها بعد.
• خيار ruf في DMARC غير مدعوم في Gmail، فاعتمد على تقارير rua.
• أي خدمة ترسل باسم نطاقك يجب أن تجتاز SPF وDKIM، فتأكد من إعدادها مع مزودها قبل تشديد السياسة.