أداة فحص SPF وDMARC

RSS

Test a domain's email authentication: SPF, DKIM and DMARC records are checked for syntax, lookup limits and policy strength, with plain-English fixes.

مصادقة البريد الإلكتروني لـ google.com

SPFصالح
DKIMلم يُعثر عليه في المحدِّدات الشائعة
DMARCp=reject

SPF (Sender Policy Framework)

1/10 استعلامات DNS
v=spf1 include:_spf.google.com ~all
  • سجل SPF صالح وينتهي بـ ~all.

DKIM (DomainKeys Identified Mail)

فحصنا المحدِّدات الشائعة (google, selector1, selector2, default, k1, s1, s2, dkim, mail, smtp, mandrill, everlytickey1) ولم نعثر على مفتاح DKIM.

توجد مفاتيح DKIM في <selector>._domainkey.google.com، ويختار كل مزوّد بريد إلكتروني المحدِّدات الخاصة به، لذا قد يوجد مفتاح حتى إن لم نتمكن من تخمين المحدِّد. ابحث عن المحدِّد في قيمة s= ضمن ترويسة DKIM-Signature في رسالة من هذا النطاق وأدخله أعلاه.

DMARC

v=DMARC1; p=reject; rua=mailto:mailauth-reports@google.com
السياسة (p)
reject
سياسة النطاقات الفرعية (sp)
مثل p
التقارير المجمّعة (rua)
mailto:mailauth-reports@google.com
النسبة المئوية (pct)
100%
المحاذاة
DKIM: R, SPF: R (R = مرنة، S = صارمة)
  • يُطبَّق DMARC بـ p=reject مع تفعيل التقارير.

عرض سجلات MX لـ google.com (يدير البريد Google Workspace).

لماذا تهمّ SPF وDKIM وDMARC

صُمّم البريد الإلكتروني دون التحقق من هوية المرسل، فيستطيع أي شخص وضع نطاقك في سطر «From». وتعالج ذلك ثلاثة معايير قائمة على DNS. ومنذ فبراير 2024 تشترطها Google وYahoo على مرسلي البريد بالجملة، وأصبح غياب هذه السجلات سببًا شائعًا لوصول البريد المشروع إلى مجلد الرسائل غير المرغوب فيها.

  • SPF يسرد الخوادم المسموح لها بإرسال البريد باسم نطاقك، في سجل TXT يبدأ بـ v=spf1.
  • DKIM يضيف توقيعًا تشفيريًا إلى كل رسالة؛ ويتحقق المستلمون منه بمفتاح عام منشور في selector._domainkey.yourdomain.
  • DMARC (في _dmarc.yourdomain) يخبر المستلمين بما يفعلونه عندما لا يتوافق SPF وDKIM مع نطاق From (none أو quarantine أو reject) وإلى أين تُرسل التقارير.

ما الذي تختبره هذه الأداة

  • وجود SPF، ووجود سجل واحد فقط، وانتهاؤه بـ ~all أو -all (وليس +all أبدًا)، وبقاء إجمالي استعلامات DNS، بما فيها آليات include: المتداخلة، ضمن حد RFC 7208 البالغ 10.
  • مفاتيح DKIM على المحدِّد (selector) الذي تدخله، أو على اثني عشر محدِّدًا شائعًا تستخدمها Google Workspace وMicrosoft 365 وخدمات الإرسال المعروفة.
  • وجود DMARC، وسلامة السياسة، وانطباقها على 100% من البريد، وإرسال التقارير المجمّعة لتعرف من يرسل باسمك.

أمثلة على السجلات

example.com.         TXT  "v=spf1 include:_spf.example.net ip4:192.0.2.0/24 -all"
_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s"
s1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh…"

خطة التطبيق الموصى بها

  1. انشر SPF بحيث يغطي كل خدمة ترسل باسمك، وينتهي بـ ~all.
  2. فعّل توقيع DKIM لدى كل مزوّد.
  3. انشر DMARC بالقيمة p=none مع عنوان rua، وراجع التقارير لمدة أسبوعين إلى أربعة أسابيع.
  4. انتقل إلى p=quarantine ثم إلى p=reject متى اجتاز كل البريد المشروع الفحص.

الشرح الكامل: شرح SPF وDKIM وDMARC.

الأسئلة الشائعة

هل أستخدم ~all أم -all؟

مع وجود DMARC يصلح كلاهما؛ فـDMARC هو الذي يحدد النتيجة. تُعد ~all نقطة بداية أكثر أمانًا، أما -all فهي أشد صرامة متى تأكدت من إدراج كل المرسلين.

ماذا يعني «too many DNS lookups» (عدد استعلامات DNS كبير جدًا)؟

يستهلك كل من include وa وmx وexists وredirect استعلامًا واحدًا، بما في ذلك ما يرد داخل السجلات المضمّنة. وإذا تجاوز العدد 10 فشل SPF للجميع. أزل الخدمات غير المستخدمة أو استبدل عمليات include بنطاقات ip4/ip6.

هل تحتاج النطاقات المركونة إلى هذه السجلات؟

نعم. احمِ النطاقات التي لا ترسل بريدًا أبدًا بالسجلين v=spf1 -all وv=DMARC1; p=reject.

آخر تحديث

تم النسخ إلى الحافظة