SPF وDMARC لنطاق للاستقبال فقط: أوقف الانتحال

اتجاهان، وقد هيّأت واحدًا منهما فقط

توجيه نطاق إلى هنا يتطلب سجل DNS واحدًا. وذلك السجل — MX — يجيب عن سؤال واحد بالضبط: إلى أين يذهب البريد الموجَّه إلى هذا النطاق؟ وهذا كل ما يحتاجه نطاق جامع، وبمجرد أن يُحلَّل السجل يعمل النطاق. لكنه أيضًا، في تلك اللحظة، مهيَّأ نصف تهيئة فقط، لأن اسم النطاق يُستخدم في اتجاهين وسجل MX لا يقول شيئًا عن الاتجاه الثاني.

الاتجاه الثاني هو المثير للاهتمام. لا شيء في بروتوكول البريد يمنع غريبًا من كتابة نطاقك في سطر From: لرسالة يرسلها من جهازه الخاص. فهو لا يحتاج إلى الوصول إلى DNS الخاص بك، ولا إلى مسجِّل نطاقك، ولا إلى صندوق بريدك — فالعنوان في الرسالة ادّعاء، لا بيانَ اعتماد، وكان كذلك دائمًا. وما يقرر ما إذا كان هذا الادّعاء يُصدَّق هو ما يقوله نطاقك عمّن يُسمح له بادّعائه:

النطاق الذي لا يقول شيئًا

لا يجد خادم الاستقبال لا SPF ولا سياسة DMARC، فيضطر إلى الاعتماد على استدلالاته الخاصة: السمعة، والمحتوى، وكيف تصرّف النطاق من قبل. والنطاق الحديث تمامًا الذي لا تاريخ له ولا سياسة هو تقريبًا الشيء المثالي لانتحاله، لأنه لا شيء يناقض الانتحال ولا شيء يُلام عليه بعد ذلك.

النطاق الذي يقول لا

الخادم نفسه يجد سياسة منشورة تنص على أنه لا آلة في أي مكان مخوَّلة بالإرسال باسم هذا النطاق، وأن ما يفشل ينبغي رفضه. فيتوقف الأمر عن كونه قرارًا تقديريًا. تُرفض الرسالة عند الباب، عادة من دون أن تصل حتى إلى مجلد البريد المزعج.

وهذا ليس افتراضًا نظريًا عن العلامات التجارية الكبرى. فالنطاقات التي لا بريد صادر لها تُختار تحديدًا لأنها بلا سياسة — فاسم لا يحميه أحد، يُستخدم لأسبوعين ثم يُترك، أثمن لمرسِل البريد غير المرغوب فيه من اسم يقاوم.

لماذا يمكنك تخطي الجزء الذي يستغرق من الجميع ستة أشهر

إن كنت قد قرأت أي شيء عن DMARC من قبل، فقد قرأت أنه مشروع طويل ودقيق. وهذه النصيحة صحيحة، لكنها لا تخصك. إنها مكتوبة لنطاق يرسل بريدًا، وهي طويلة لسبب واحد: قبل أن تستطيع إخبار العالم برفض كل ما يفشل، عليك أن تجد كل نظام يرسل باسمك بصورة شرعية وتجعل كل واحد منها ينجح في الفحص. وفي منظمة عادية تكون تلك القائمة أطول مما يتوقعه أي أحد، وتُكتشف بدل أن تكون معروفة سلفًا:

1. انشر سياسة لا تفعل شيئًا. يطلب p=none من المستقبِلين أن يُبلِّغوا دون تغيير أي شيء، حتى لا تقطع السياسة نفسها مرسِلاً نُسي أمره.
2. اقرأ التقارير لأسابيع. نظام الفوترة، ومكتب المساعدة، وأداة النشرة البريدية، ومنصة التوظيف التي اشترك فيها أحدهم عام 2019 — كل واحد منها يظهر كمصدر يفشل، وكل واحد يجب إما تخويله أو التخلي عنه.
3. شدِّد على مراحل. انتقل إلى quarantine، وانتظر، وراقب، ثم بعد ذلك فقط إلى reject، لأن كل خطوة في التشديد قد توقف بصمت بريدًا يعتمد عليه أحدهم.

كل واحدة من تلك الخطوات موجودة لحماية المرسِلين الشرعيين من سياستك أنت. أما النطاق الذي وُجِّه إلى صندوق بريد للاستقبال فقط فلا مرسِلين شرعيين له. فالقائمة ليست طويلة، ولا صعبة الاكتشاف، ولا مجهولة جزئيًا — إنها فارغة. وسياسة ترفض كل شيء لا يمكن أن تعطل مرسِلاً غير موجود أصلاً.

وثمة حجة من الدرجة الثانية أيضًا للانتقال مباشرة إلى الحالة النهائية. فالنطاق الجاثم على p=none ينشر سياسة لا تطلب شيئًا، ويعامله خادم الاستقبال بالقرب تمامًا من معاملة نطاق بلا أي سياسة على الإطلاق. السجل موجود، فيبدو الأمر وكأنه عولج — وهذا أسوأ من كونه ناقصًا بوضوح، لأن لا أحد يعود ليكمله.

السجلات الثلاثة

السجلات الثلاثة كلها من نوع TXT، وتُضاف كلها إلى جانب سجل MX الذي لديك بالفعل. وتُكتب الأسماء بالطريقة التي تريدها معظم لوحات DNS — نسبيًا إلى المنطقة، حيث يعني @ النطاق نفسه. وإن كانت لوحتك تطلب اسمًا مؤهَّلاً بالكامل، فاكتب بدلاً من ذلك yourdomain.com و_dmarc.yourdomain.com و*._domainkey.yourdomain.com.

إن كان مزوِّدك يشترط وضع القيمة بين علامتي اقتباس، فضعها. فبعض اللوحات تضيف علامات الاقتباس نيابة عنك فينتهي بها الأمر مخزَّنة مرتين، ما يُنتج سجلاً لا يستطيع أي مدقق قراءته — وإن عادت قيمة من dig محاطة بزوجين من علامات الاقتباس، فهذا ما حدث.

القيم الثلاث، جاهزة للّصق. انسخها بدل إعادة كتابتها: ففاصلة منقوطة ناقصة في سجل DMARC تجعل قائمة الوسوم كلها غير قابلة للتحليل، والسياسة غير القابلة للتحليل تُعامَل معاملة انعدام السياسة تمامًا.

SPF — على النطاق نفسهv=spf1 -allنسخ

DMARC — على الاسم _dmarcv=DMARC1; p=reject; sp=reject; adkim=s; aspf=sنسخ

DKIM — على الاسم *._domainkeyv=DKIM1; p=نسخ

ما الذي تفعله كل كلمة في تلك السجلات فعليًا

خمسة قرارات، ويستحق الأمر معرفة أيها أيّ — أساسًا لكي تتعرف لاحقًا على أيها يجب تخفيفه إن بدأ النطاق يومًا بالإرسال.

-all

نهاية سجل SPF، والجزء الوحيد منه المهم هنا. ويعني أن كل ما لم يُذكر أعلاه هو انتحال، ولا شيء مذكور أعلاه. أما البديل الشائع، ~all، فيعني على الأرجح انتحال، لكن سلِّمه رغم ذلك وضع عليه علامة — وهو الجواب الصحيح ما دمت لا تزال تكتشف مرسِليك، والخطأ حين تتيقن أنه لا يوجد أي منهم.

p=reject

ما ينبغي أن يفعله خادم الاستقبال بالبريد الذي يدّعي هذا النطاق ويفشل. none تعني الإبلاغ فقط، وquarantine تعني معاملته كمشبوه، وreject تعني رفضه أثناء محادثة SMTP. والرفض هو الخيار الذي يُبقي الرسالة بعيدًا كليًا عن نظر إنسان.

sp=reject

الأمر نفسه، مطبَّقًا على كل نطاق فرعي — بما في ذلك ما لا وجود له منها. فمن دونه يستخدم المنتحل billing.yourdomain.com، الذي لا سجلات خاصة به، فلا يرث شيئًا يوقفه. يفترض هذا الوسم افتراضيًا ما يقوله p، فيتصرف السجل بالطريقة نفسها من دونه؛ لكنه يُكتب صراحة لأن سياسة لا تراها حين تقرأ السجل مجددًا هي سياسة ستفترض أنها مفقودة.

adkim=s, aspf=s

المحاذاة الصارمة. تشترط أن يكون النطاق المُوثَّق هو نفسه النطاق الموجود في سطر From: بالضبط، لا مجرد نطاق قريب منه — فرسالة من anything.yourdomain.com لا يمكنها استعارة نجاح كان يخص النطاق الأصل. والمحاذاة المرنة هي الافتراضية، والصارمة هي ما ينبغي أن يقوله نطاق ليس لديه ما يخوِّله.

v=DKIM1; p=

مفتاح DKIM عام بلا مفتاح بداخله. وتنص المواصفة صراحةً على أن المفتاح الفارغ يعني مُلغى، فأي توقيع يذكر أي محدِّد تحت هذا النطاق يفشل في التحقق بدل أن يُتجاهل. ويغطي السجل الشامل كل اسم محدِّد قد يخترعه المنتحل، لأنه هو من يختار الاسم.

والسجل الذي يجب أن يبقى كما هو تمامًا

لا شيء مما سبق يمسّ البريد الوارد، ولا ينبغي له ذلك. سجل MX هو ما يجعل كل عنوان على النطاق صندوق بريد هنا، وهو يبقى دون تغيير من كل ذلك:

سجل MX — بلا تغيير10 smtp.grabmail.ioنسخ

السجلات الثلاثة الجديدة وهذا السجل تجيب عن أسئلة مختلفة، فهي لا تتداخل: تُقرأ SPF وDMARC بواسطة خوادم تقرر ما إذا كانت ستقبل بريدًا يدّعي أنه منك، ويُقرأ MX بواسطة خوادم تقرر أين تُسلِّم البريد الموجَّه إليك. والنطاق الذي يملك الأربعة معًا نطاق يستقبل كل شيء ولا يضمن أحدًا.

التحقق من عملك، بثلاثة أوامر

DNS ليس مكانًا للافتراض. كل واحد من هذه السجلات يُنشر ليقرأه غرباء، ما يعني أنك تستطيع قراءته تمامًا كما سيقرؤونه هم — بلا حساب، ولا أداة، ولا موقع تلصق فيه نطاقك:

$ dig +short TXT      yourdomain.com
dig +short TXT _dmarc.yourdomain.com
dig +short MX       yourdomain.com

استبدل نطاقك الخاص. وما تبحث عنه هو هذا، مع أو ناقص أي سجلات TXT أخرى قد تكون موجودة أصلاً على الاسم:

"v=spf1 -all"
"v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s"
10 smtp.grabmail.io.

أربع طرق يعود بها هذا خطأً، على وجه التقريب بحسب تكرار حدوثها:

الأمر الأول لا يجيب بشيء على الإطلاق

السجل لم ينتشر بعد، أو أُضيف إلى الاسم الخطأ. سجلات TXT على النطاق نفسه تُوضع على @، لا على www — ولوحة تفترض افتراضيًا آخر اسم عدّلته هي الجاني المعتاد.

يعود سجلا SPF اثنان

يُسمح للنطاق بسجل واحد بالضبط. واثنان ليسا أشد صرامة من واحد — بل خطأ دائم، وخادم الاستقبال الذي يجد اثنين يعامل فحص SPF كأنه معطوب لا كأنه فاشل. فإن كان لديك سجل SPF بالفعل، عدِّل ذلك السجل بدل إضافة سجل ثانٍ.

يعود سطر DMARC لكن لا شيء يفرضه

اقرأ القيمة بعناية: يجب أن تبدأ بـv=DMARC1، وتُفصل الوسوم بفواصل منقوطة. والسجل الذي يفتقد وسم الإصدار، أو الذي تحولت فيه فاصلة منقوطة إلى فاصلة عادية، ليس سياسة أضعف — بل سياسة غير قابلة للتحليل، وهذا يُحسب انعدامًا للسياسة تمامًا.

إجابة MX تغيّرت

ولم يكن ينبغي لها ذلك. فإن كان سطر MX مفقودًا الآن، أو يُظهر نقطة عارية، أو يسرد مضيفًا ليس smtp.grabmail.io، فتوقف وأعده إلى ما كان عليه قبل فعل أي شيء آخر — فذلك هو السجل الذي يعتمد عليه صندوق بريدك.

الجزء الذي يفوت الجميع تقريبًا: النطاقات الفرعية

لا يقسِّم DMARC وSPF مساحة الأسماء بالطريقة نفسها، وذلك الفارق هو حيث يتسرب نطاق محمي بعناية. فـsp=reject يغطي فعلاً كل نطاق فرعي، موجودًا كان أم لا. أما SPF فلا يعمل على هذا النحو إطلاقًا: إذ يُبحث عنه بحسب الاسم الدقيق في المغلّف، والاسم الذي لا سجل SPF خاصًا به لا سجل SPF له — فهو لا يرث سجل النطاق الأصل.

يغطي DMARC الصف الثاني بمفرده، فهذا احتياط إضافي لا ثغرة — لكن سجل SPF شامل يكلف سطرًا واحدًا ويغلق الفجوة على مستوى SPF أيضًا، وهذا مهم للمستقبِلين الذين يفحصون SPF ولا يطبقون DMARC:

SPF الشامل — سجل TXT إضافي واحد* TXT v=spf1 -allنسخ

السجل الشامل في DNS يجيب فقط عن الأسماء التي لا سجلات خاصة بها. فإن كان لدى mail.yourdomain.com بالفعل أي سجل TXT، فلا يُستشار السجل الشامل لذلك الاسم وستحتاج إلى نشر سجل SPF هناك صراحة. وبالنسبة لنطاق يُستخدم فقط كنطاق جامع، هذا الموقف نادر بما يكفي ليستحق معرفته لا التخطيط له.

التقارير، وهل تستحق الحصول عليها

لدى DMARC جانب خاص بالتقارير: أضف وسم rua ويرسل لك المستقبِلون المشاركون ملخصًا يوميًا بكل ما ادّعى أنه نطاقك وما حدث له. وهذا هو الجزء الوحيد من DMARC الذي يخبرك بشيء لم تكن تعرفه أصلاً، وعلى نطاق موجَّه إلى هنا لا يكلف جمعه شيئًا، لأن العنوان الذي تذهب إليه يمكن أن يكون عنوانًا على النطاق نفسه:

DMARC مع التقارير — استبدل النطاقv=DMARC1; p=reject; sp=reject; adkim=s; aspf=s; rua=mailto:dmarc@yourdomain.comنسخ

إرسال التقارير إلى عنوان على النطاق نفسه يتفادى جزءًا من المواصفة يوقع الناس في الخطأ: فإن سمّى rua عنوانًا على نطاق مختلف، وجب على ذلك النطاق الآخر أن ينشر سجلاً يخوِّله استقبال تقاريرك، وإلى أن يفعل لن يرسل معظم المرسِلين أي شيء. أما النطاق نفسه فلا سجل من هذا القبيل، ولا شيء يمكن أن يُخطأ فيه. وما يصل يستحق معرفة ماهيته قبل أن تفعِّله:

• إنها بصيغة XML، مضغوطة بـgzip، كمرفق. ليست ملخصًا تقرؤه مع فنجان قهوة. تتلقى النطاقات الصغيرة حفنة منها يوميًا من مزوِّدي صناديق البريد الكبار، كل واحدة بضع كيلوبايتات؛ وستحتاج إلى أداة تفك ضغطها وتقرؤها.
• الفراغ هو النتيجة الجيدة. النطاق الذي لا يرسل شيئًا ينبغي أن يُنتج تقارير لا تسرد سوى حالات فشل، والأسبوع الهادئ يعني أن لا أحد ينتحلك حاليًا — وهذه معلومة، والطريقة الوحيدة للحصول عليها.
• إنها تصل كبريد عادي. وهنا يعني ذلك صندوق بريد عادي: قابل للقراءة في المتصفح وعبر واجهة برمجة التطبيقات مثل أي شيء آخر، ويُحذف بعد 5 يومًا مع كل شيء آخر.

وإن كنت تفضل عدم جمعها إطلاقًا، فاترك الوسم كليًا. فسجل DMARC بلا rua سجل صالح تمامًا ويحمي بالقدر نفسه بالضبط؛ فالإبلاغ هو كيف تعرف ما يحدث، لا كيف تُفرض السياسة.

ما لا يفعله هذا

هذه السجلات ضيقة النطاق، والوضوح بشأن حدودها هو الفارق بين ضابط تعتمد عليه بصورة صحيحة وآخر تعتمد عليه بصورة خاطئة. أربعة أشياء لا تغطيها:

لا يُصفِّيان صندوق بريدك أنت

SPF وDMARC على نطاقك تعليمات موجهة إلى الخوادم التي تستقبل بريدًا منك. تقرؤها أنظمة بريد الآخرين، لا نظامك أنت أبدًا، وليس لها أي أثر على ما يظهر في النطاق الجامع. وما يصل يظل أيًّا كان ما يرسله العالم إلى عنوان بيانه الوحيد للاعتماد هو معرفته.

لا يوقفان اسمًا في سطر From

رسالة نصها Your Company <attacker@gmail.com> تجتاز كل فحص، لأن النطاق الذي جرى توثيقه هو فعلاً نطاق المهاجم. يحمي DMARC النطاق، لا اسم العرض الموضوع أمامه — وعلى الهاتف، غالبًا ما يكون اسم العرض هو كل ما يُعرض.

لا يمسّان نطاقًا شبيهًا

نطاق يبعد حرفًا واحدًا عن نطاقك هو نطاق شخص آخر بسجلات شخص آخر. لا شيء تنشره يصل إليه. تلك مشكلة تخص المسجِّل والمراقبة، وهي حقًا مشكلة مختلفة.

لا يجعلان صندوق البريد خاصًا

لا تزال لا كلمة مرور على عنوان هنا: فمن يعرفه يستطيع قراءته، وهذه هي الصفقة التي تعقدها الخدمة كلها. نطاقك الخاص يزيل التخمين، لا القراءة — والنسخة الصادقة من ذلك موجودة في دليل النطاقات الجامعة.

تنفيذ الأمر، من البداية إلى النهاية

المهمة كاملة، بالترتيب الذي يُبقي النطاق يعمل في كل خطوة:

1. تأكد من MX أولاً. يجب أن يجيب dig +short MX yourdomain.com بـsmtp.grabmail.io ولا شيء غيره. أصلح ذلك قبل إضافة أي شيء، لأن الباقي عديم القيمة على نطاق لا يستقبل.
2. أضف سجل SPF على @، ما لم يكن هناك سجل بالفعل — وفي هذه الحالة عدِّله، لأن وجود اثنين خطأ لا إعدادًا أشد صرامة.
3. أضف سجل DMARC على _dmarc، مباشرة إلى السياسة الصارمة. لا طرح تدريجي يُمرحَل هنا ولا شيء يتعطل بتخطيه.
4. أضف سجل DKIM الشامل على *._domainkey، وسجل SPF الشامل إن كنت تريد إغلاق مستوى النطاقات الفرعية مرتين.
5. اقرأ الأربعة كلها مجددًا باستخدام dig، مقابل محلل عام، بمجرد أن يكون الـTTL قد نفد.
6. أرسل لنفسك شيئًا. ابعث بريدًا إلى أحد عناوينك الخاصة على النطاق من أي مكان وافتح صندوق البريد. فإن وصل، يكون جانب الاستقبال قد نجا من التغيير، وهو التراجع الوحيد الذي يستحق التحقق منه.

بذلك يكون النطاق قد اكتمل: يقبل كل عنوان ستخترعه عليه يومًا، ولا يضمن أحدًا على الإطلاق. وإن لم تكن قد وصّلت النطاق بعد، ابدأ بدليل النطاق الجامع — فهو سجل واحد ونفس الدقائق الخمس — ثم عد إلى هذه الصفحة بعد ذلك، وهذا هو الترتيب الذي لا يترك شيئًا منجزًا نصفه فقط.

أسئلة