الخادمُ المستقبِل يسأل عن بريدك ثلاثة أسئلة: أأُرسل من جهازٍ مسموحٍ له بالإرسال عن هذا النطاق، أعُبث به في الطريق، وما العمل إن كانت الإجابات لا. وSPF وDKIM وDMARC هي تلك الإجابات الثلاث، وكلُّها سجلّاتُ DNS.

‏SPF — من يجوز له الإرسال

v=spf1 ip4:203.0.113.10 include:_spf.google.com -all
  • سجلُّ SPF واحد لكلّ نطاق. واثنان خطأٌ دائم لا دمج — وهو أشيعُ عيوب الثلاثة.
  • عشرُ عمليّات بحثٍ في الـ DNS بحدٍّ أقصى. فكلُّ include يُحسَب، وما بداخله من include يُحسَب أيضًا. وما فوق العشر إخفاق.
  • ‏-all معناه ارفض، و~all معناه عامله معاملة المشبوه. ابدأ بـ ~all وضيّق حين تنظف التقارير.

‏DKIM — أعُبث به

dig +short selector1._domainkey.yourdomain.com TXT

خادمُك يوقّع كلّ رسالة، والمفتاحُ العامّ يسكن الـ DNS تحت مُنتقٍ. فإن غاب السجلُّ أو بُتِر — والمفاتيحُ الطويلة كثيرًا ما تُلصَق لصقًا رديئًا فتُقطَع — فشلت كلُّ رسالةٍ في الفحص.

‏DMARC — ما العمل مع الإخفاقات

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com; pct=100

ابدأ عند p=none. فهي لا تغيّر شيئًا في التسليم وتبدأ التقاريرُ بالوصول، وهي تخبرك من يُرسل بصفتك. ثمّ انتقل إلى quarantine ثمّ إلى reject حين تنظف التقارير.

اختبر ما لديك فعلًا

dig +short yourdomain.com TXT | grep spf1
dig +short _dmarc.yourdomain.com TXT
# then send a message to a checker and read the headers it returns

المحاذاة: الجزءُ الذي يوقع الناس

‏DMARC يشترط أن يطابق نطاقُ From الظاهر النطاقَ الذي اجتاز SPF أو DKIM. فالإرسالُ عبر طرفٍ ثالث بنطاق ارتداده يجتاز SPF ويظلّ يفشل في DMARC، لأنّ المحاذاة خاطئة. اضبط المُرسِل بنطاقك أنت، أو اعتمد على DKIM موقَّعًا بنطاقك.

وإن كان البريد يهبط في المزعج رغم اجتياز الثلاثة، انظر البريد يذهب إلى المزعج والـ DNS العكسيّ لخادم بريد.