SPF وDKIM وDMARC: الدليل العملي

ثلاثة سجلات DNS تُثبت أن الرسائل المرسلة باسم نطاقك مصرَّح بها فعلًا. بدونها يسهل انتحال نطاقك وتزداد احتمالات وصول رسائلك إلى السبام.

SPF: من يحق له الإرسال؟

سجل TXT على النطاق يبدأ بـv=spf1 ويسرد الخوادم المصرَّح لها (ip4: وinclude: وmx…) وينتهي بقاعدة افتراضية: -all (رفض) أو ~all (رفض ناعم). ما يجب الانتباه إليه:

سجل SPF واحد فقط لكل نطاق؛ تعدّد السجلات يُسقط التحقق.
حد 10 استعلامات DNS (من include وa وmx وptr وexists وredirect) حسب RFC 7208؛ تجاوزه ينتج permerror. التفاصيل.
+all يسمح للجميع ولا يجوز استخدامه.

DKIM: هل الرسالة سليمة وموقّعة؟

يوقّع الخادم الرسالة بمفتاح خاص، وينشر النطاق المفتاح العام في سجل TXT على selector._domainkey.example.com. استخدم مفتاح RSA بطول 2048 بت (1024 هو الحد الأدنى المقبول عمليًا ويُفضَّل تجاوزه). المحدّد (selector) يختاره مزوّد الإرسال، ولا يمكن اكتشافه من النطاق وحده.

DMARC: ماذا يحدث عند الفشل؟

سجل TXT على _dmarc.example.com مثل: v=DMARC1; p=none; rua=mailto:reports@example.com. يربط DMARC بين النطاق الظاهر للمستلم (From) ونتيجة SPF أو DKIM (التوافق alignment)، ويحدد السياسة p=none (مراقبة) أو quarantine أو reject، ويطلب تقارير مجمّعة عبر rua.

الترتيب الموصى به

أنشئ SPF يشمل كل مزوّدي الإرسال الحقيقيين، وابدأ بـ~all.
فعّل توقيع DKIM لدى كل مزوّد.
انشر DMARC بـp=none مع rua وراقب التقارير أسابيع لاكتشاف مصادر الإرسال المجهولة.
انتقل تدريجيًا إلى quarantine ثم reject (يمكن استخدام pct للتدرّج).

متطلبات المرسلين الكبار (Gmail وYahoo)

منذ فبراير 2024 يشترط Gmail وYahoo على من يرسل آلاف الرسائل يوميًا (الحد المعلن لـGmail نحو 5000 يوميًا): مصادقة SPF وDKIM، وسجل DMARC، وإلغاء اشتراك بنقرة واحدة، وإبقاء نسبة شكاوى السبام دون 0.3% (والأفضل دون 0.1%). راجع وثائق المزوّدين للتفاصيل الحالية.

حدود المصادقة

المصادقة تثبت الهوية لا جودة المحتوى؛ فنطاق مصادَق قد تذهب رسائله للسبام بسبب السمعة أو المحتوى. وفحص السجلات لا يكشف كل محدّدات DKIM الممكنة.

طبّق ذلك

افحص نطاقك بأداة فاحص SPF/DKIM/DMARC، ثم تحقق من عناوين قائمتك بـمدقق البريد.

Three DNS records prove that messages sent in your domain's name are really authorised. Without them your domain is easy to spoof and your mail is more likely to land in spam.

SPF: who may send?

A TXT record on the domain starting with v=spf1 that lists authorised servers (ip4:, include:, mx…) and ends with a default rule: -all (fail) or ~all (soft fail). Watch out for:

Only one SPF record per domain; multiple records break validation.
The 10 DNS lookup limit (from include, a, mx, ptr, exists, redirect) under RFC 7208; exceeding it yields permerror. Details.
+all allows everyone and must not be used.

DKIM: is the message intact and signed?

The server signs the message with a private key, and the domain publishes the public key as a TXT record at selector._domainkey.example.com. Use an RSA key of 2048 bits (1024 is the practical minimum and should be exceeded). The selector is chosen by your sending provider and cannot be discovered from the domain alone.

DMARC: what happens on failure?

A TXT record at _dmarc.example.com such as v=DMARC1; p=none; rua=mailto:reports@example.com. DMARC ties the domain the recipient sees (From) to the SPF or DKIM result (alignment), sets the policy p=none (monitor), quarantine or reject, and requests aggregate reports via rua.

Recommended order

Create SPF covering all real senders, starting with ~all.
Enable DKIM signing at each provider.
Publish DMARC with p=none and rua, and watch reports for weeks to find unknown sending sources.
Move gradually to quarantine then reject (you can use pct to ramp up).

Bulk-sender requirements (Gmail and Yahoo)

Since February 2024, Gmail and Yahoo require senders of thousands of messages a day (Gmail's stated threshold is around 5,000 per day) to have SPF and DKIM authentication, a DMARC record, one-click unsubscribe, and a spam complaint rate below 0.3% (ideally under 0.1%). Check the providers' documentation for current details.

Limits of authentication

Authentication proves identity, not content quality; an authenticated domain can still be sent to spam because of reputation or content. And checking records cannot reveal every possible DKIM selector.

Put it into practice

Check your domain with the SPF/DKIM/DMARC Checker, then validate your list addresses with the Email Validator.

SPF وDKIM وDMARC: الدليل العمليSPF, DKIM & DMARC: the practical guide