SPF وDKIM وDMARC في Exchange Online: إعداد مصادقة البريد الإلكتروني

By Mirko Peters · 2026-10-29

تعرّف على كيفية إعداد SPF وDKIM وDMARC في Exchange Online لتأمين نطاقك ومنع انتحال الهوية وضمان معدلات تسليم عالية للبريد الإلكتروني.

Automatically translated with AI from the original post. Read the English original

تأمين البريد الإلكتروني الصادر والوارد لمؤسستك في Microsoft 365 يتطلب إعداد SPF وDKIM وDMARC بشكل صحيح. يشرح هذا الدليل طريقة عمل بروتوكولات مصادقة البريد الإلكتروني الثلاثة هذه معًا في Exchange Online لحماية نطاقك من انتحال الهوية وهجمات التصيد الاحتيالي وإخفاقات التسليم غير المرغوب فيها.

النقاط الرئيسية

• يحدد SPF خوادم البريد الإلكتروني المخوّلة بإرسال الرسائل نيابةً عن نطاقك المخصص.
• يوقّع DKIM رسائلك الصادرة تشفيريًا للتحقق من عدم تعديل محتوى البريد الإلكتروني أثناء النقل.
• يستخدم DMARC نتائج SPF وDKIM معًا لتحديد الطريقة التي ينبغي لخوادم الاستلام أن تتعامل بها مع الرسائل غير المصادَقة التي تدّعي أنها صادرة عن مؤسستك.
• يوفر التوجيه الافتراضي عبر onmicrosoft.com تسليمًا أساسيًا، لكن النطاقات المخصصة تتطلب سجلات SPF وDKIM صريحة في نظام DNS العام لديك.
• تبدأ مراقبة DMARC الفعّالة بنهج "none" قبل الانتقال نحو تطبيق صارم للعزل أو الرفض.

فهم مصادقة البريد الإلكتروني في Exchange Online

عند الترحيل إلى Exchange Online، تركز المؤسسات غالبًا على ترحيل صناديق البريد وموصلات الهجين ومشاركة التقويم. غير أن ضبط تدفق البريد الإلكتروني يتطلب أكثر من مجرد توجيه سجلات MX إلى Microsoft. فبدون مصادقة بريد إلكتروني سليمة، كثيرًا ما تنتهي الاتصالات التجارية المشروعة في مجلدات الرسائل غير المرغوب فيها، أو الأسوأ من ذلك، ينتحل المهاجمون هوية علامتك التجارية بسهولة.

تعمل بروتوكولات مصادقة البريد الإلكتروني كجواز سفر رقمي وحراس أمن لنطاقك. فعندما يرسل صندوق بريد في Exchange Online رسالة إلى مستلم خارجي مثل Gmail أو Yahoo، تريد خوادم الاستلام دليلًا قاطعًا على أن الرسالة صادرة فعلًا عن مؤسستك ولم يزوّرها طرف خبيث. وهنا يصبح الثلاثي SPF وDKIM وDMARC أمرًا لا غنى عنه لأي مسؤول سحابي حديث.

دور SPF في Exchange Online

إطار سياسة المرسل (SPF) هو سجل TXT أساسي يُنشر في مزود DNS العام الخاص بك. ويسرد صراحةً عناوين IP والخدمات المعتمدة المسموح لها بإرسال البريد الإلكتروني نيابةً عن نطاقك. وبالنسبة إلى مستأجر Exchange Online، يجب أن يتضمن سجل SPF آلية التضمين الخاصة بـ Microsoft.

يبدو سجل SPF النموذجي لـ Exchange Online بسيطًا للغاية، ويتضمن عادةً include:spf.protection.outlook.com. عندما يتلقى خادم خارجي بريدًا من نطاقك، فإنه يستعلم عن نظام DNS العام، ويفحص سجل SPF، ويتحقق مما إذا كان عنوان IP لخادم الإرسال يطابق قائمتك المعتمدة. وإذا كانت مؤسستك تستخدم أدوات تسويق أو أنظمة تذاكر أو منصات موارد بشرية تُرسل بريدًا نيابةً عنك، فيجب دمج هذه الخدمات بعناية في سجل SPF الواحد لديك لتجنب أخطاء بناء الجملة وإخفاقات تجاوز حد الاستعلامات.

تطبيق توقيع DKIM

بينما يتحقق SPF من خادم الإرسال، يتحقق DomainKeys Identified Mail (DKIM) من سلامة الرسالة نفسها. يضيف DKIM توقيعًا رقميًا إلى ترويسة كل رسالة صادرة. ويرتبط هذا التوقيع تشفيريًا بمفتاح عام منشور في إعدادات DNS لنطاقك.

يجعل Exchange Online إعداد DKIM أمراً سهلاً عبر بوابة Microsoft Defender، غير أنه يتطلب إنشاء سجلات CNAME محددة لدى مزوّد خدمة DNS الخارجي الخاص بك. وبعد التفعيل، يقوم Exchange Online تلقائياً بتوقيع الرسائل الصادرة. وإذا اعترض طرف خبيث الرسالة وعدّلها أثناء انتقالها، فإن قيمة التجزئة المشفّرة تفشل في التحقق، مما يُنبّه بوابة البريد المستقبِلة فوراً إلى أن الرسالة قد تم العبث بها. ويُعدّ تفعيل DKIM خطوةً إلزامية لتحسين تسليم الرسائل لدى كبرى مزودي البريد الإلكتروني للمستهلكين والمؤسسات.

فرض سياسات DMARC

يجمع DMARC (Domain-based Message Authentication, Reporting, and Conformance) بين SPF وDKIM ضمن سياسة موحّدة. فسجل DMARC يُخبر خوادم البريد المستقبِلة بما ينبغي فعله إذا فشلت رسالة واردة في اجتياز فحصي SPF وDKIM معاً. والأهم من ذلك أن DMARC يُدخل أيضاً قواعد المواءمة (Alignment)، والتي تضمن أن النطاق الظاهر للمستخدم النهائي في الترويسة "From" يتطابق مع النطاقات التي يوثّقها SPF وDKIM.

عند البدء بـ DMARC في Exchange Online، ينبغي للمسؤولين أن يبدؤوا دائماً بسياسة مراقبة (p=none). يوجّه هذا الإعداد خوادم الاستقبال إلى إرسال تقارير XML مجمّعة وتقارير الطب الشرعي يومياً إلى عنوان الإبلاغ المحدد، دون حجب أي بريد. ويتيح تحليل هذه التقارير للمسؤولين اكتشاف المرسلين غير المصرّح لهم، وإصلاح الأنظمة الداخلية المهيّأة بشكل خاطئ، والانتقال تدريجياً بالسياسة إلى p=quarantine وأخيراً إلى p=reject لتحقيق أقصى حماية للنطاق.

معالجة المزالق الشائعة في تدفق البريد

حتى مع صحة إعدادات DNS، يواجه مسؤولو تدفق البريد في Exchange Online مشكلات دقيقة وخفية. ومن المشكلات الشائعة ما يظهر في عمليات النشر الهجينة، حيث تُوجَّه الرسائل عبر خوادم Exchange المحلية وعبر Exchange Online Protection (EOP). فإذا كانت موصّلات الترحيل الداخلية تفتقر إلى الأذونات المناسبة أو إلى تحديد عناوين IP المصدر، فقد تفشل الرسائل الصادرة في توقيع DKIM أو تُسبب إخفاقات ناعمة في SPF.

ومن التحديات المتكررة الأخرى أن تقوم التطبيقات الخارجية بإعادة إرسال البريد عبر Exchange Online باستخدام إرسال SMTP من جانب العميل أو طرق الإرسال المباشر. فإذا استخدمت هذه التطبيقات نطاقك المخصص الرئيسي في عنوان المرسل دون تفويضها صراحةً في سجل SPF الخاص بك، أو دون مصادقتها عبر صندوق بريد مخصص للتطبيق، فإن مرشحات البريد المزعج سرعان ما تُعلّم رسائلك. ومراجعة سجلات تتبّع الرسائل داخل مركز إدارة Exchange تساعد في تحديد فجوات المصادقة هذه قبل أن تؤثر في العمليات التجارية اليومية.

الخلاصة والخطوات التالية

إن تأمين نطاقك المخصص داخل Exchange Online يتجاوز بكثير إنشاء صناديق البريد الأساسية ومشاركة التقويم. فإتقان SPF وDKIM وDMARC يضمن أن تبقى اتصالات مؤسستك موثوقة ومتوافقة مع الأنظمة، وأن تصل بأمان إلى صناديق الوارد لدى المستلمين في كل مكان. ولاستكشاف بنية البريد الأساسية وصناديق البريد المشتركة واستراتيجيات السحابة مقابل الهجين، لا تفوّت الاستماع إلى الحلقة كاملة من البودكاست للحصول على شرح واضح وخالٍ من المصطلحات المعقدة لكل ما يجري داخل محرك البريد الإلكتروني المتميز لدى Microsoft.

الأسئلة المتداولة

ما هي سلسلة include الخاصة بـ SPF لـ Exchange Online؟

سلسلة include القياسية لـ SPF في Microsoft 365 Exchange Online هي include:spf.protection.outlook.com. وهي تُخبر خوادم الاستقبال بالثقة في البنية التحتية المعتمدة للإرسال السحابي لدى Microsoft فيما يخص نطاقك.

هل يفعّل Exchange Online خاصية DKIM تلقائياً؟

لا، فرغم أن Microsoft توفر البنية التحتية، إلا أن على المسؤولين تفعيل DKIM يدوياً في بوابة Microsoft Defender ونشر سجلات CNAME المطلوبة لدى مزوّد DNS العام الخاص بهم.

ما هي سياسة DMARC الموصى بها للبدء؟

السياسة الموصى بها للبدء هي p=none. فهي تتيح لك جمع تقارير DMARC المجمّعة وتقارير الطب الشرعي دون التأثير على تسليم البريد، مما يساعدك على تحديد مصادر البريد المشروعة قبل تطبيق سياسات الحجر أو الرفض الأكثر صرامة.

لماذا تذهب رسائل Exchange Online إلى البريد المزعج؟

غالباً ما تنتهي الرسائل في البريد المزعج إذا كان نطاقك يفتقر إلى سجلات SPF أو DKIM أو DMARC مُعدّة بشكل صحيح، أو إذا كان عنوان IP المُرسِل يملك سجل سمعة ضعيفاً. ويؤدي إعداد بروتوكولات المصادقة هذه إلى بناء سمعة المُرسِل وضمان وضع الرسائل في صندوق الوارد بشكل صحيح.