كم من الوقت ينبغي أن أُبقي على نهج DMARC مضبوطًا على none في Microsoft 365؟

توصي Google وخبراء أمان البريد الإلكتروني بالإبقاء على نهج DMARC على p=none لمدة أسبوع واحد على الأقل. تضمن هذه المدة جمع تقارير الإجمال الشاملة التي تغطي تدفقات البريد التجاري الأسبوعية والدورية.

ماذا يحدث إذا نشرتُ سجلَّي DMARC لنطاقي المخصص؟

إن نشر عدة سجلات DMARC يُربك خوادم البريد المستقبِلة، فتنتهي إلى عدم تطبيق أي نهج على الإطلاق، مما يُبطل جهودك الأمنية بالكامل. تأكد دائمًا من أن نطاقك يحتوي على سجل TXT واحد فقط لـ DMARC.

دليل نشر DMARC في Microsoft 365: من None إلى Reject دون تعطيل البريد الإلكتروني

Q: لماذا أحتاج إلى تفعيل DKIM قبل تشغيل DMARC؟

يوقّع DKIM الرسالة تشفيريًا ويرافقها أثناء انتقالها، فيبقى صالحًا في سيناريوهات إعادة توجيه البريد التي كثيرًا ما تُفسد SPF. إن إعداد كلٍّ من SPF وDKIM بشكل صحيح يضمن نجاح محاذاة DMARC بصورة موثوقة.

Q: هل ترسل Microsoft 365 تقارير DMARC الجنائية؟

لا. فبينما ترسل Microsoft 365 تقارير الإجمال (RUA) إلى عنوان الإبلاغ المحدد لديك، فإنها لن تُنشئ أو ترسل تقارير الجنائية (RUF)، حتى وإن طُلبت في سجل DMARC الخاص بك.

By Mirko Peters · 2026-10-21

تعرّف على كيفية نشر DMARC بأمان في Microsoft 365، بدءًا من المراقبة وصولًا إلى الرفض الصارم، دون التأثير على تسليم رسائل البريد الإلكتروني المشروعة لمؤسستك.

Automatically translated with AI from the original post. Read the English original

Cover: SPF, DKIM and DMARC - Simply Explained

قد يبدو نشر بروتوكولات مصادقة البريد الإلكتروني عبر مستأجر Microsoft 365 كنزع فتيل قنبلة إن تم بترتيب خاطئ. يرشدك دليل نشر DMARC خطوةً بخطوة في Microsoft 365 هذا إلى الانتقال الآمن من المراقبة الأولية إلى نهج الرفض الصارم، دون أن تضيع عن غير قصد فواتير العمل المشروعة وحملات التسويق والتنبيهات الآلية في الفراغ.

النقاط الرئيسية

اتبع دائمًا الترتيب الصحيح لنشر مصادقة البريد الإلكتروني: SPF أولًا، ثم DKIM، وأخيرًا DMARC.
ابدأ بنهج DMARC على p=none لمراقبة حركة المرور ورسم خريطة لجميع خدمات الإرسال المشروعة والدخيلة.
تجنّب تجاوز حد الـ10 عمليات بحث في SPF عبر التدقيق الدقيق للخدمات الخارجية، مثل منصات التسويق ومكاتب المساعدة.
انتقل تدريجيًا عبر مرحلة الحجر وأدوات النسبة المئوية قبل الوصول إلى نهج الرفض الصارم.
اضبط تقارير الإجمال لتُوجَّه إلى صندوق بريد مشترك بدلًا من صندوق الوارد الفردي، لضمان الرؤية المستمرة.

قاعدة الترتيب الذهبية للنشر

إن تذكّرت مبدأً واحدًا خلال مشروع تعزيز الأمان، فليكن ترتيب النشر. كثيرًا ما تقع المؤسسات في المشكلات لأنها تطبّق المعايير بالترتيب المعكوس. ولأن نظام البريد يعتمد على بروتوكولات قديمة مثل SMTP صُمّمت للثقة لا للتحقق، فإن وضع نهج إنفاذ صارم قبل رسم خريطة البنية التحتية سيؤدي إلى فشل الرسائل المشروعة.

يبني التسلسل الصحيح شبكة أمان في كل مرحلة. يجب عليك أولًا إعداد قائمة الضيوف، ثم تطبيق الأختام المانعة للعبث، ولا تُدخل الحكم الذي يربط كل شيء إلا بعد ذلك. القفز إلى الأمام يترك لك التخمين بشأن تدفقات بريدك، والتخمين أسرع طريقة لأن تحظر الجهات الخارجية رسائل شركتك.

الخطوة الأولى: إعداد SPF ومخاطر حدود البحث

خطوتك الأولى هي نشر سجل Sender Policy Framework (SPF) في جذر نطاقك. فكّر فيه كقائمة الضيوف عند باب نادٍ حصري. فهو يحدد بوضوح للعالم الخوادم المسموح لها بإرسال رسائل بريد تحمل اسم نطاقك.

عند كتابة سجل SPF الأولي لـ Microsoft 365، اختم السجل بـ ~all (الفشل الناعم) بدلًا من -all (الفشل الصارم). يخبر ذلك خوادم الاستقبال بمعاملة الرسائل غير المصرح بها بحذر بدلًا من رفضها فورًا. تمنحك فترة السماح هذه مجالًا لاكتشاف الخدمات التي ربما أغفلتها.

تجنّب فخ عشر عمليات البحث

من أبرز المزالق في إدارة SPF حدُّ عمليات البحث العشر الصارم. في كل مرة يعالج فيها خادم الاستقبال سجل SPF الخاص بك ويصادف آلية تتطلب استعلام DNS منفصلًا، مثل منصة أتمتة تسويق خارجية أو مكتب مساعدة للعملاء أو مزوّد خدمة الرواتب، فإنها تستهلك عملية بحث واحدة من ميزانيتك.

إذا أضافت مؤسستك خدمات خارجية كثيرة، فسيتجاوز إجمالي عمليات البحث العشر، مما يتسبب في فشل تقييم SPF بالكامل. وتكشف عمليات فحص ملايين النطاقات أن نسبة مدهشة من الشركات تُفسد أمان بريدها الإلكتروني بهذه الطريقة دون قصد. راجع خدماتك بانتظام للحفاظ على بصمة SPF خفيفة.

الخطوة الثانية: تفعيل DKIM في Microsoft 365

بعد نشر قائمة المدعوين الخاصة بك، تحتاج إلى وسيلة تضمن عدم العبث بالرسائل أثناء نقلها. يعمل DomainKeys Identified Mail (DKIM) كختم شمع رقمي يُطبع على كل رسالة صادرة. ويتضمن توقيعًا تشفيريًا يشمل سطر الموضوع، ومتن الرسالة، وعنوان المرسل الظاهر.

ضمن Microsoft 365، تُوقَّع الرسائل المرسلة من نطاق onmicrosoft.com الافتراضي تلقائيًا. مع ذلك، يظل نطاق أعمالك المخصص بدون توقيع حتى تُهيّئ DKIM صراحةً في مركز الإدارة. ولتنفيذ ذلك بشكل صحيح، يجب إنشاء سجلّي المحدد selector1 وselector2 في DNS العام لديك. يتيح هذا الإعداد ذو المؤشرين لـ Microsoft تدوير مفاتيح التوقيع لاحقًا بسلاسة دون أي توقف للخدمة.

توصي Google ومزودو الخدمات الكبار الآخرون بترك SPF وDKIM يعملان بسلاسة لمدة 48 ساعة على الأقل قبل المساس بـ DMARC. تضمن فترة الاستقرار هذه أن الفحوصات الأساسية سليمة قبل وصول الحكم.

الخطوة الثالثة: نشر DMARC في وضع المراقبة

يعمل Domain-Based Message Authentication, Reporting, and Conformance (DMARC) كحكم. فهو لا يُجري اختبارًا خاصًا به على محتوى الرسالة، بل يفحص نتائج فحوصات SPF وDKIM لديك، ويتحقق مما إذا كانت متوافقة مع اسم النطاق الظاهر في سطر "من".

عند نشر سجل DMARC النصي (TXT) لأول مرة على _dmarc.yourdomain.com، يجب ضبط معامل السياسة على وضع المراقبة تحديدًا: p=none. وبقراءة هذا السجل من اليسار إلى اليمين، فإنه يخبر الخوادم المستقبِلة بالآتي: "هذا سجل DMARC، فلا تتخذ الآن أي إجراء إنفاذ إذا فشلت الفحوصات، وأرسل التقارير المجمّعة إلى عنوان البريد الإلكتروني هذا."

لا تتخطَّ مرحلة المراقبة هذه أبدًا. فتقارير التجميع اليومية (RUA) المسلَّمة كملفات XML ستكشف كل خدمة، سواء كانت مشروعة أم خبيثة، ترسل بريدًا نيابةً عن نطاقك. وجِّه هذه التقارير إلى صندوق بريد مشترك خاضع للمراقبة بدلًا من صندوق الوارد الخاص بموظف بعينه، حتى لا تضيع أثناء فترات الإجازات.

الخطوة الرابعة: الانتقال من العزل إلى الرفض

بمجرد أن تُظهر مراجعاتك الأسبوعية أن جميع تدفقات البريد المشروعة تجتاز المواءمة بنجاح، حان وقت شدّ البراغي. يمر معامل سياسة DMARC بثلاثة أوضاع تشغيلية مختلفة:

لا شيء (p=none): برج المراقبة. مرحلة رصد بحت، تُستخدم للتدقيق وجمع بيانات التقارير المجمّعة.
العزل (p=quarantine): ملصق التحذير. يوجّه الخوادم المستقبِلة إلى وسم الرسائل المشبوهة أو الفاشلة، وغالبًا ما يُوجّهها مباشرةً إلى مجلد الرسائل غير المرغوب فيها أو البريد العشوائي لدى المستلم.
الرفض (p=reject): الباب المغلق. يأمر المستقبِلين بتجاهل الرسائل غير الموثَّقة أو المنتحَلة تمامًا قبل أن تصل إلى صندوق الوارد.

لجعل هذا الانتقال أكثر سلاسة، استخدم مؤشرات النسبة المئوية لـ DMARC (pct=). يمكنك فرض العزل أو الرفض على جزء صغير من البريد الفاشل، مثل 10%، ثم 25%، ثم 50%، قبل الالتزام الكامل. يمنع هذا التدرج المتزايد تعطيلًا مفاجئًا للأعمال إذا غاب عن بالك أداة نشرات إخبارية مارقة.

الخاتمة

تأمين البنية التحتية للبريد الإلكتروني لمؤسستك ضد اختراق البريد الإلكتروني للأعمال (BEC) وانتحال النطاقات يتطلب صبرًا واستراتيجية نشر منهجية. فمن خلال إعداد SPF، وتفعيل DKIM، والرفع التدريجي لسياسة DMARC من المراقبة إلى الرفض الصارم، تحمي اسم شركتك وتضمن وصول اتصالاتك الأصيلة إلى وجهتها دائمًا.

للتعمق أكثر في آليات بروتوكولات مصادقة البريد الإلكتروني، استمع إلى الحلقة الكاملة للاطلاع على رؤى الخبراء، واستراتيجيات الهندسة العملية، والإرشادات التطبيقية لمستأجر Microsoft 365 الخاص بك.

الأسئلة المتداولة

إلى متى يجب أن أُبقي سياسة DMARC الخاصة بي مضبوطة على none في Microsoft 365؟

توصي Google وخبراء أمان البريد الإلكتروني بإبقاء سياسة DMARC مضبوطة على p=none لمدة أسبوع على الأقل. تتيح هذه المدة التقاط تقارير تجميعية شاملة تغطي تدفقات البريد التجارية الأسبوعية والدورية.

لماذا أحتاج إلى تفعيل DKIM قبل تشغيل DMARC؟

يوقّع DKIM الرسالة تشفيريًا ويرافقها أينما ذهبت، فيبقى توقيعه سليمًا في سيناريوهات إعادة توجيه البريد التي غالبًا ما تُفسد SPF. ويضمن إعداد SPF وDKIM بشكل صحيح أن تجتاز المواءمة في DMARC بموثوقية.

هل ترسل Microsoft 365 تقارير DMARC الجنائية (Forensic)؟

لا. على الرغم من أن Microsoft 365 سيرسل تقارير الإجمال (RUA) إلى عنوان الإبلاغ المحدد لديك، فإنه لن ينشئ أو يرسل تقارير الطب الشرعي (RUF)، حتى لو طُلبت في سجل DMARC الخاص بك.

ماذا يحدث إذا نشرتُ سجلي DMARC لنطاقي المخصص؟

يؤدي نشر عدة سجلات DMARC إلى تشويش خوادم البريد المستقبِلة، فتتوقف عن تطبيق أي نهج على الإطلاق، وهو ما يُلغي جهود الأمان لديك بالكامل. تأكد دائمًا من أن نطاقك يحتوي على سجل TXT واحد فقط من نوع DMARC.