أمن البريد الإلكتروني: كيف تحمي نطاق شركتك من الانتحال بـ SPF وDKIM وDMARC

يستطيع أي شخص من الناحية التقنية أن يرسل رسالة بريد يكتب في خانة المرسل فيها عنوانًا من نطاق شركتك، لأن بروتوكول البريد الإلكتروني صُمم في الأصل دون آلية للتحقق من هوية المرسل. وهذا ما يستغله المحتالون حين ينتحلون صفة الشركة أمام عملائها أو مورّديها، فيطلبون تحويلات أو بيانات دخول.

يشرح هذا المقال ثلاث آليات تسد هذه الفجوة، هي SPF وDKIM وDMARC، وكيف تعمل معًا، وكيف تطبقها الشركة على مراحل دون أن تتعطل رسائلها المشروعة.

1. لماذا يُعد انتحال النطاق خطرًا على الشركة

حين تصل رسالة إلى عميل تحمل اسم شركتك وعنوانها، فإنه يتعامل معها بثقة يصعب على المحتال اكتسابها بأي وسيلة أخرى. ولذلك يُستخدم انتحال النطاق في احتيال الفواتير، ورسائل التصيد التي تطلب تحديث بيانات الدفع، وانتحال صفة المدير أمام الموظفين.

ولا يقتصر الضرر على الخسارة المالية المباشرة لمن يقع في الفخ. فالرسائل المنتحلة تُضعف سمعة النطاق لدى مزودي البريد، فتبدأ رسائل الشركة الحقيقية بالوصول إلى مجلد الرسائل غير المرغوب فيها. كما أن العملاء الذين تعرضوا للاحتيال باسم الشركة قد يفقدون الثقة في مراسلاتها كلها.

مثال توضيحي: لنفترض أن محتالًا أرسل إلى عملاء شركة توريد رسالة من عنوان يبدو أنه قسم الحسابات لديها، يخبرهم فيها بتغيير الحساب البنكي. إذا كان نطاق الشركة محميًا بسياسة DMARC صارمة، فإن مزودي البريد لدى العملاء سيرفضون الرسالة قبل أن تصل إلى صناديقهم.

2. SPF: تحديد الخوادم المسموح لها بالإرسال

يعمل SPF من خلال سجل نصي تنشره الشركة في نظام أسماء النطاقات، يذكر الخوادم والخدمات المصرح لها بإرسال البريد باسم النطاق. وحين يستقبل خادم بريد رسالة، يتحقق من أن الخادم المرسل مدرج في هذا السجل.

• حصر جميع المرسلين: يشمل ذلك مزود البريد الرئيسي، ومنصة الرسائل التسويقية، ونظام الفوترة، وأداة خدمة العملاء التي ترسل إشعارات.
• سجل واحد فقط: يجب أن يكون للنطاق سجل SPF واحد يجمع جميع المصادر، لأن وجود سجلين يُفسد التحقق.
• حد الاستعلامات: يفرض المعيار حدًا أقصى لعدد الاستعلامات التي يحتاجها التحقق، فتراكم الإضافات قد يجعل السجل غير صالح.
• الختام الصارم: ينتهي السجل بقاعدة تحدد مصير الرسائل من خوادم غير مدرجة، ويُفضل الانتقال إلى الصيغة الصارمة بعد التأكد من اكتمال القائمة.
• حدوده: يتحقق SPF من النطاق التقني للمرسل لا من العنوان الذي يراه المستخدم، وقد يفشل عند إعادة توجيه الرسائل.

3. DKIM: توقيع رقمي يثبت أن الرسالة لم تُعدَّل

يضيف DKIM توقيعًا رقميًا إلى كل رسالة صادرة، يُنشأ بمفتاح خاص يحتفظ به خادم الإرسال، بينما يُنشر المفتاح العام المقابل في نظام أسماء النطاقات. ويستخدم الخادم المستقبل المفتاح العام للتحقق من أن الرسالة صادرة فعلًا من جهة تملك المفتاح الخاص، وأن محتواها وعناوينها الأساسية لم تتغير في الطريق.

وميزة DKIM أنه يبقى صالحًا في الغالب حتى عند إعادة توجيه الرسالة، على خلاف SPF. ويحتاج كل نظام يرسل باسم الشركة إلى إعداد توقيعه الخاص، إذ يوفر معظم مزودي البريد والمنصات التسويقية سجلات DKIM جاهزة تُضاف إلى النطاق. ويُستحسن استخدام مفاتيح بطول مناسب وتغييرها بصورة دورية.

مثال توضيحي: لنفترض أن شركة تستخدم مزود بريد للموظفين ومنصة منفصلة لرسائل النشرة البريدية. تنشر الشركة سجل DKIM لكل منهما بمحدد مختلف، فيُتحقق من رسائل كل نظام بمفتاحه، ويمكن تغيير مفتاح أحدهما دون المساس بالآخر.

4. DMARC: السياسة التي تربط الآليتين وتحدد المصير

لا يكفي SPF وDKIM وحدهما، لأن أيًا منهما لا يربط نتيجته بالعنوان الظاهر للمستخدم في خانة المرسل، ولا يخبر الخادم المستقبل بما يفعله عند الفشل. وهنا يأتي DMARC، وهو سجل ثالث في نظام أسماء النطاقات يشترط أن ينجح أحد التحققين مع تطابق نطاقه مع نطاق العنوان الظاهر، ويحدد ما يحدث للرسائل التي لا تستوفي ذلك.

• سياسة المراقبة: تُسلَّم الرسائل كالمعتاد، مع إرسال تقارير إلى الشركة عن نتائج التحقق.
• سياسة الحجر: تُوجَّه الرسائل الفاشلة غالبًا إلى مجلد الرسائل غير المرغوب فيها.
• سياسة الرفض: تُرفض الرسائل الفاشلة ولا تصل إلى المستلم إطلاقًا.
• التقارير المجمعة: يرسل مزودو البريد تقارير دورية تبين من يرسل باسم نطاقك ونتائج التحقق لكل مصدر.
• النطاقات الفرعية: يمكن تحديد سياسة خاصة بها، فالمحتالون يستغلون أحيانًا نطاقات فرعية لم تُحمَ.

5. خطة تطبيق تدريجية لا تعطل البريد المشروع

الخطأ الأكثر شيوعًا هو تفعيل سياسة الرفض مباشرة، فتتوقف رسائل فواتير أو إشعارات صادرة من نظام نسيه الجميع. والطريق الآمن هو التدرج، مع قراءة التقارير في كل مرحلة قبل الانتقال إلى التالية.

• الجرد: اسأل كل قسم عن الأنظمة والخدمات التي ترسل بريدًا باسم الشركة، ولا تكتفِ بما يعرفه الفريق التقني.
• الضبط: أعدّ SPF وDKIM لكل مصدر مشروع، وتأكد من تطابق نطاقاته مع النطاق الظاهر.
• المراقبة: انشر DMARC بسياسة المراقبة مع عنوان لاستقبال التقارير، واقرأها مدة كافية لاكتشاف المصادر المنسية.
• الحجر التدريجي: انتقل إلى الحجر، ويمكن تطبيقه على نسبة من الرسائل أولًا ثم توسيعها.
• الرفض: حين تتأكد من أن جميع المصادر المشروعة تجتاز التحقق، انتقل إلى سياسة الرفض.
• النطاقات غير المستخدمة: انشر لها سياسة رفض مباشرة، لأنها لا ترسل بريدًا مشروعًا أصلًا.

6. ما بعد DMARC: حماية البريد الوارد والموظفين

تحمي هذه السجلات الثلاثة نطاق شركتك من أن يُنتحل، لكنها لا تمنع المحتال من استخدام نطاق يشبهه بفارق حرف، ولا من مراسلة موظفيك من نطاقه الخاص. ولذلك تحتاج الشركة إلى طبقة حماية للبريد الوارد أيضًا، تشمل تصفية الرسائل والمرفقات والروابط، والتحقق من نتائج DMARC للرسائل القادمة من نطاقات أخرى.

كما يُفيد تنبيه الموظفين بصريًا حين تصل رسالة من خارج الشركة، ومراقبة تسجيل النطاقات المشابهة لنطاق الشركة للتحرك مبكرًا. وتبقى التوعية ضرورية، لأن موظفًا مدربًا على التحقق من طلبات تغيير الحسابات البنكية يوقف ما قد تعجز عنه التقنية.

مثال توضيحي: لنفترض أن موظفًا تلقى رسالة من نطاق يختلف عن نطاق مورّد معروف بحرف واحد. تجتاز الرسالة التحقق لأن المحتال ضبط سجلات نطاقه، لكن تنبيه الرسالة الخارجية وتدريب الموظف على مقارنة العنوان يكشفان الحيلة.

الخلاصة

حماية نطاق الشركة من الانتحال تقوم على ثلاثة سجلات تعمل معًا: SPF يحدد من يُسمح له بالإرسال، وDKIM يثبت أن الرسالة لم تُعدَّل، وDMARC يربطهما بالعنوان الظاهر ويحدد مصير الرسائل الفاشلة ويرسل تقارير عمن يرسل باسمك. ابدأ بجرد كل نظام يرسل بريدًا باسم الشركة، ثم اضبط السجلات وانشر DMARC بسياسة المراقبة، واقرأ التقارير قبل التدرج نحو الحجر ثم الرفض. وأضف إلى ذلك حماية للبريد الوارد وتوعية للموظفين، لأن هذه السجلات تحمي اسمك لكنها لا تكشف وحدها كل محاولة احتيال تصل إلى صناديق فريقك.