الرسائل تذهب الى السبام؟ شرح SPF وDKIM وDMARC بالأمثلة

نُشر في 2026-10-12 · آخر تحديث 2026-11-01 · 9 دقائق قراءة

ترسل عرض سعر لعميل مهم في التجمع الخامس، ثم يتصل بك بعد يومين ليقول إنه وجده بالصدفة في مجلد السبام، أو لم يجده أصلًا. إذا كانت الرسائل تذهب الى السبام بانتظام، فالسبب في أغلب الحالات ليس كلمات الرسالة ولا المرفقات، بل غياب أو خطأ ثلاثة سجلات صغيرة في إعدادات DNS لدومينك: SPF وDKIM وDMARC. في هذا الدليل نقدم شرح SPF DKIM DMARC بلغة بسيطة، مع أمثلة سجلات تنسخها، وأخطاء شائعة نراها كثيرًا عند الشركات المصرية، وطريقة تتأكد بها بنفسك أن كل شيء يعمل.

لماذا الرسائل تذهب الى السبام أصلًا؟

بروتوكول البريد الإلكتروني صُمم منذ عقود، وفي الأصل لم يكن فيه أي تحقق من هوية المرسل. أي سيرفر في العالم يستطيع أن يرسل رسالة مكتوب فيها أنها من info@yourcompany.com. لهذا السبب انتشر التصيد الاحتيالي: رسالة تبدو من البنك أو من شركة الشحن وهي في الحقيقة من محتال.

خدمات البريد الكبيرة مثل Gmail وOutlook تعاملت مع المشكلة بأن أصبحت تسأل ثلاثة أسئلة عن كل رسالة تصلها:

• هل السيرفر الذي أرسل الرسالة مسموح له بالإرسال باسم هذا الدومين؟ (هذا دور SPF)
• هل الرسالة موقعة رقميًا من صاحب الدومين ولم تتغير في الطريق؟ (هذا دور DKIM)
• ماذا يريد صاحب الدومين أن نفعل إذا فشل الفحص؟ (هذا دور DMARC)

إذا لم تجد خدمة البريد إجابات واضحة، فهي تتعامل مع رسالتك بحذر: تضعها في السبام، أو ترفضها تمامًا. وبعد ذلك تأتي عوامل أخرى مثل سمعة الدومين، وشكوى المستلمين، ومحتوى الرسالة، لكن هذه السجلات الثلاثة هي الأساس الذي لا يمكن تجاوزه.

لو كنت ما زلت تستخدم بريدًا مجانيًا للعمل، أو لم تنشئ بعد ايميل باسم شركتك، فابدأ بدليل عمل ايميل باسم الشركة ثم عد إلى هنا.

SPF: قائمة السيرفرات المسموح لها بالإرسال

سجل SPF هو سجل من نوع TXT على الدومين الرئيسي، يحتوي على قائمة بالسيرفرات أو الخدمات المسموح لها بإرسال البريد باسمك. عندما تصل رسالة إلى Gmail من سيرفر غير موجود في القائمة، يعتبرها مشبوهة.

مثال لسجل SPF لشركة تستخدم بريد أوردراتك فقط:

النوع	الاسم	القيمة
TXT	@	v=spf1 include:_spf.orderatkeg.com ~all

معنى أجزاء السجل:

• v=spf1: إعلان أن هذا سجل SPF.
• include:_spf.orderatkeg.com: اسمح لكل السيرفرات المذكورة في سجل SPF الخاص بخدمة البريد.
• ~all: أي سيرفر آخر يُعامل كمشبوه (soft fail). البديل الأشد هو -all أي ارفض أي سيرفر آخر، ولا ننصح به إلا بعد أن تتأكد أنك أدرجت كل الخدمات التي ترسل باسمك.

القاعدة الذهبية: سجل SPF واحد فقط لكل دومين

هذا أشهر خطأ نراه. صاحب محل في مدينة نصر يستخدم بريد الشركة، ثم يشترك في برنامج محاسبة يرسل الفواتير باسمه، فيطلب منه البرنامج إضافة سجل SPF، فيضيف سجلًا ثانيًا بجوار الأول. النتيجة: وجود سجلين يبدآن بـ v=spf1 يجعل فحص SPF يفشل بالكامل (حالة اسمها PermError)، فتسوء الأمور بدل أن تتحسن.

الحل هو دمج السجلين في سجل واحد. لنفترض أن عندك هذين السجلين:

• v=spf1 include:_spf.orderatkeg.com ~all
• v=spf1 include:spf.invoices-app.example ~all

احذفهما معًا وضع مكانهما سجلًا واحدًا:

v=spf1 include:_spf.orderatkeg.com include:spf.invoices-app.example ~all

أي: v=spf1 مرة واحدة في البداية، ثم كل الـ include متتالية، ثم ~all مرة واحدة في النهاية. وانتبه لنقطة تقنية: فحص SPF مسموح له بعدد محدود من الاستعلامات (عشرة استعلامات DNS)، فلا تُضف include لخدمات لم تعد تستخدمها.

DKIM: توقيع رقمي على كل رسالة

DKIM يضيف توقيعًا رقميًا مخفيًا في رأس كل رسالة تخرج من سيرفر البريد. التوقيع يُصنع بمفتاح خاص سري موجود على السيرفر فقط، أما المفتاح العام فيُنشر في DNS لكي يتحقق به أي مستلم. إذا تغيرت الرسالة في الطريق، أو أرسلها شخص لا يملك المفتاح، يفشل التوقيع.

سجل DKIM يكون عادة من نوع TXT باسم فيه «selector» ثم ._domainkey. في أوردراتك الـ selector اسمه s1، فيكون السجل هكذا:

النوع	الاسم	القيمة (مختصرة)
TXT	s1._domainkey	v=DKIM1; k=rsa; p=MIIBIjANBgkq...

القيمة الحقيقية طويلة جدًا، ولا تكتبها بيدك أبدًا؛ انسخها كما هي من لوحة التحكم. ومن مزايا DKIM أن كل خدمة ترسل باسمك يمكن أن يكون لها selector مختلف، فلا يوجد تعارض مثل مشكلة SPF: يمكن أن يكون عندك s1._domainkey لبريدك و selector آخر لبرنامج الفواتير في نفس الوقت.

DMARC: السياسة والتقارير

DMARC هو السجل الذي يربط SPF وDKIM بالعنوان الذي يراه العميل في خانة «من». فهو لا يكتفي بأن ينجح SPF أو DKIM، بل يشترط أن يكون الدومين الناجح هو نفس دومينك الظاهر للمستلم (ما يسمى alignment). وهو يخبر خدمات البريد بما تفعله عند الفشل، ويطلب منها إرسال تقارير لك.

يُنشر DMARC كسجل TXT باسم _dmarc:

النوع	الاسم	القيمة
TXT	_dmarc	v=DMARC1; p=none; rua=mailto:dmarc@yourcompany.com

السياسة بالتدريج: none ثم quarantine ثم reject

لا تبدأ بالرفض مباشرة. الطريقة الآمنة ثلاث مراحل:

1. المرحلة الأولى p=none: راقب فقط. لا تتغير معاملة رسائلك، لكن تبدأ تقارير DMARC في الوصول إلى العنوان المذكور في rua، فتعرف منها كل الجهات التي ترسل باسم دومينك، ومنها خدمات نسيتها مثل نموذج الموقع أو برنامج الفواتير. اترك هذه المرحلة بضعة أسابيع.
2. المرحلة الثانية p=quarantine: بعد أن تتأكد أن كل مصادرك الشرعية تنجح في الفحص، اطلب من خدمات البريد وضع الرسائل الفاشلة في السبام. يمكنك البدء بنسبة جزئية مثل pct=25 ثم زيادتها.
3. المرحلة الثالثة p=reject: الرفض الكامل لأي رسالة تدعي أنها منك وتفشل في الفحص. هنا يصبح من الصعب جدًا على المحتالين انتحال اسم شركتك في رسائل تصيد لعملائك.

التقارير التي تصل على عنوان rua تكون ملفات تقنية مضغوطة. أنشئ لها صندوقًا منفصلًا أو alias حتى لا تزحم بريدك الأساسي.

كيف تقرأ «إظهار الأصل» في Gmail لتعرف لماذا الرسائل تذهب الى السبام

أسهل اختبار مجاني: أرسل رسالة من ايميل الشركة إلى حساب Gmail شخصي، ثم افتحها من المتصفح على الكمبيوتر:

1. اضغط على النقاط الثلاث بجوار زر الرد.
2. اختر «إظهار الأصل» (Show original).
3. في أعلى الصفحة سترى جدولًا صغيرًا فيه ثلاثة أسطر: SPF وDKIM وDMARC.

ما تريد أن تراه هو PASS في الثلاثة، ويجب أن يظهر بجوار SPF وDKIM اسم دومينك أو دومين خدمة البريد. وإذا رأيت:

• SPF: FAIL أو SOFTFAIL: السيرفر الذي أرسل غير موجود في سجل SPF، أو عندك سجلان.
• DKIM: FAIL أو لا يظهر DKIM أصلًا: سجل s1._domainkey غير موجود أو منسوخ بشكل ناقص.
• DMARC: FAIL: غالبًا SPF وDKIM نجحا لكن لدومين آخر غير دومينك، وهذا يحدث كثيرًا مع البرامج التي ترسل نيابة عنك.

ويمكنك أيضًا في نفس الرسالة الضغط على السهم الصغير تحت اسم المرسل لترى خانتي «أرسلت بواسطة» (mailed-by) و«موقعة من» (signed-by)؛ يجب أن يظهر فيهما دومينك.

متطلبات خدمات البريد الكبيرة للمرسلين بكثرة

خدمات البريد الكبيرة شددت قواعدها في السنوات الأخيرة على من يرسل أعدادًا كبيرة من الرسائل يوميًا، مثل النشرات والعروض. باختصار، هذه الخدمات تتوقع من المرسل:

• أن يكون SPF وDKIM مضبوطين وناجحين.
• أن يكون عنده سجل DMARC منشور، حتى لو بسياسة p=none.
• أن يكون الدومين في خانة «من» متطابقًا مع الدومين الذي نجح في الفحص.
• أن تحتوي الرسائل التسويقية على رابط إلغاء اشتراك واضح وسهل، ويُنفذ الطلب بسرعة.
• أن تبقى نسبة الشكاوى (ضغط المستلم على «إبلاغ عن سبام») منخفضة جدًا.

حتى لو كنت لا ترسل نشرات، فهذه القواعد تؤثر في الجميع، لأن الخدمات أصبحت أقل تسامحًا مع أي دومين بلا توثيق. وللحملات الكبيرة، الأفضل استخدام خدمة متخصصة في الإرسال الجماعي بدل صندوق بريد عادي، مع إضافتها إلى نفس سجل SPF وإعداد DKIM لها.

سيناريوهات مصرية شائعة وحلولها

الفواتير من برنامج المحاسبة تذهب للسبام

شركة توريدات في الإسكندرية تصدر فواتيرها من برنامج محاسبة على الإنترنت، والبرنامج يرسلها للعملاء وفي خانة «من» عنوان accounts@company.com. لكن الرسالة تخرج فعليًا من سيرفرات البرنامج، لا من سيرفر بريدك، فيفشل SPF وDMARC. الحل واحد من اثنين:

• إذا كان البرنامج يسمح بإعداد SMTP خاص، أدخل بيانات صندوقك: السيرفر mail.orderatkeg.com، المنفذ 465 مع SSL أو 587 مع STARTTLS، واسم المستخدم هو الايميل كاملًا. هكذا تخرج الفاتورة من بريدك وتنجح كل الفحوص.
• أو أضف include الخاص بالبرنامج إلى سجل SPF الموجود (دمج، لا سجل ثانٍ)، وفعّل DKIM الذي يوفره البرنامج إن وُجد.

نموذج التواصل في موقع ووردبريس لا تصل رسائله

عيادة في المنصورة عندها موقع ووردبريس فيه نموذج حجز. ووردبريس افتراضيًا يرسل البريد بدالة PHP العادية من سيرفر الموقع، بدون توقيع DKIM لدومينك، فتصل رسائل النموذج للسبام أو تختفي. الحل هو إضافة WP Mail SMTP، وهي متاحة بضغطة واحدة من لوحة أوردراتك ضمن استضافة ووردبريس:

1. أنشئ صندوقًا مخصصًا مثل website@clinic.com.
2. في إعدادات WP Mail SMTP اختر «Other SMTP»، والسيرفر mail.orderatkeg.com، والمنفذ 465 مع SSL.
3. اسم المستخدم هو الايميل كاملًا وكلمة مروره.
4. اجعل عنوان «From» هو نفس الصندوق، وأرسل رسالة اختبار من الإضافة.

أما إذا كان موقعك مبنيًا بمنشئ المواقع، فنموذج التواصل يرسل الرسائل إلى بريدك ويحفظها أيضًا في تبويب Messages، فلن تفقد أي طلب.

تغيير مزود البريد ونسيان السجلات القديمة

عند نقل البريد من مزودك الحالي، يبقى في DNS أحيانًا سجل SPF قديم أو MX قديم. راجع كل سجلات TXT بعد النقل، واحذف ما يخص المزود القديم. شرحنا أنواع السجلات بالتفصيل في دليل سجلات DNS: A وCNAME وMX وTXT.

خطوات عملية: اضبط SPF وDKIM وDMARC في ربع ساعة

1. افتح لوحة التحكم عند شركة الدومين، قسم إدارة DNS.
2. تأكد أن سجل MX يشير إلى mail.orderatkeg.com بأولوية 10.
3. ابحث عن أي سجل TXT يبدأ بـ v=spf1. إن وجد، أضف إليه include:_spf.orderatkeg.com؛ وإن لم يوجد، أنشئ السجل الجديد.
4. أضف سجل s1._domainkey بالقيمة المنسوخة من لوحة أوردراتك.
5. أضف سجل _dmarc بسياسة p=none أولًا.
6. انتظر انتشار السجلات، ثم اختبر بـ «إظهار الأصل» في Gmail.
7. بعد أسابيع من التقارير السليمة، ارفع السياسة إلى quarantine ثم reject.

وإذا كنت تربط الدومين بالموقع أيضًا، فصفحة ربط الدومين فيها كل السجلات المطلوبة. ولإعداد الصناديق على الموبايل بعد ذلك، راجع إضافة ايميل الشركة على الموبايل وOutlook.

ماذا نفعل نحن في أوردراتك؟

عند إضافة دومينك إلى ايميل الشركات من أوردراتك، نولد مفتاح DKIM خاصًا بدومينك تلقائيًا (selector s1)، ونعرض لك سجلات MX وSPF وDKIM وDMARC جاهزة للنسخ، ونوقع كل رسالة صادرة. وفي الاتجاه الآخر نفحص الرسائل الواردة من السبام وننقل المشبوه إلى مجلد Junk، ونفحص المرفقات من الفيروسات. كما نضع حدًا لعدد الرسائل في الساعة لكل صندوق، حتى لا يضر صندوق مخترق بسمعة الإرسال لبقية العملاء.

إذا كانت رسائل شركتك تذهب الى السبام وتريد بداية نظيفة بسجلات صحيحة من اليوم الأول، اطلع على الباقات والأسعار، وابدأ بباقة البريد فقط أو باقة تجمع الموقع والبريد معًا.

أسئلة شائعة

لماذا الرسائل تذهب الى السبام رغم أن محتواها عادي؟

غالبًا لأن سجلات SPF أو DKIM أو DMARC غير موجودة أو خاطئة، فلا تستطيع خدمة البريد التأكد أن الرسالة منك فعلًا. اختبر برسالة إلى Gmail واختر «إظهار الأصل».

هل يمكن وضع سجلي SPF لنفس الدومين؟

لا. وجود سجلين يبدآن بـ v=spf1 يجعل الفحص يفشل. ادمج كل الـ include في سجل واحد ينتهي بـ ~all.

ما الفرق بين SPF وDKIM وDMARC؟

SPF يحدد السيرفرات المسموح لها بالإرسال، وDKIM يوقع كل رسالة رقميًا، وDMARC يحدد ما يحدث عند الفشل ويرسل لك تقارير.

هل أبدأ DMARC بسياسة reject مباشرة؟

لا يُنصح بذلك. ابدأ بـ p=none وراقب التقارير، ثم انتقل إلى quarantine، ثم reject بعد التأكد أن كل مصادر الإرسال الشرعية تنجح.

لماذا رسائل نموذج موقع ووردبريس لا تصل؟

لأن ووردبريس يرسل افتراضيًا من سيرفر الموقع بدون توثيق. استخدم إضافة WP Mail SMTP واربطها بصندوق بريد حقيقي على دومينك.

اقرأ أيضًا