SPF وDKIM وDMARC للمتاجر الإلكترونية: متطلبات Gmail وYahoo

ما وظيفة SPF وDKIM وDMARC، وما الذي تشترطه Gmail وYahoo وOutlook.com على المرسلين، وكيف تضبطها على Shopify وWooCommerce وتصل إلى p=reject.

فريق تحرير FixReportsمدة القراءة: 10 دقيقة

لكي تستوفي متطلبات Gmail وYahoo للمرسلين، يحتاج كل متجر إلكتروني إلى SPF أو DKIM على نطاق الإرسال، ويحتاج المرسلون بكميات كبيرة إلى الاثنين معًا، إضافة إلى سجل DMARC بسياسة لا تقل عن p=none، مع محاذاة نطاق From الظاهر للعميل مع SPF أو DKIM. ويجب على المرسلين بكميات كبيرة أيضًا توفير إلغاء الاشتراك بنقرة واحدة في رسائل التسويق، وإبقاء معدل الإبلاغ عن رسائلهم بوصفها رسائل غير مرغوب فيها دون 0.3%. على Shopify يعني ذلك توثيق نطاق المرسل من لوحة الإدارة وإضافة سجل DMARC؛ وعلى WooCommerce يعني الإرسال عبر مزوّد بريد إلكتروني موثَّق. وبمجرد أن تُظهر تقارير DMARC أن كل رسائلك المشروعة تجتاز التحقق، يمكنك نقل السياسة تدريجيًا نحو p=reject.

أبرز النقاط

ما الذي تفعله SPF وDKIM وDMARC فعليًا؟

يحدد SPF الجهات المسموح لها بالإرسال باسم نطاقك، ويوقّع DKIM كل رسالة، ويربط DMARC الاثنين بعنوان From الذي يراه عملاؤك.

السجلما الذي يثبتهأين يوجدالمعيار
SPFأن خادم الإرسال مصرَّح له بالإرسال عن النطاق المستخدم في المغلف (MAIL FROM)سجل TXT على النطاقRFC 7208 (يفتح في علامة تبويب جديدة)
DKIMأن الرسالة موقّعة من النطاق ولم تُعدَّل أثناء النقلسجل TXT في selector._domainkey.example.comRFC 6376 (يفتح في علامة تبويب جديدة)
DMARCأن SPF أو DKIM نجح لنطاق متحاذٍ مع نطاق From الظاهر؛ ويُخبر الخوادم المستقبِلة بما تفعله عند الفشل وإلى أين ترسل التقاريرسجل TXT في _dmarc.example.comRFC 9989 (يفتح في علامة تبويب جديدة)

من السهل أن تغفل عن المحاذاة (alignment). فقد تجتاز منصة البريد لديك فحص SPF لنطاق الارتداد (bounce) الخاص بها، بينما يُظهر عنوان From نطاق متجرك. هذه الرسالة تجتاز SPF لكنها تفشل في DMARC ما لم يكن توقيع DKIM باسم نطاقك.

ما الذي تشترطه Gmail وYahoo على المرسلين؟

تشترط الخدمتان المصادقة على كل مرسل، وتضيفان قواعد أشد على المرسلين بكميات كبيرة.

بالنسبة إلى جميع المرسلين، تشترط Gmail وجود SPF أو DKIM، وسجلات DNS أمامية وعكسية صالحة، وTLS، وتنسيقًا متوافقًا مع RFC 5322، ومعدل رسائل غير مرغوب فيها أقل من 0.3% في Postmaster Tools (Google (يفتح في علامة تبويب جديدة)). وتشترط Yahoo وجود SPF أو DKIM على الأقل، ومعدل رسائل غير مرغوب فيها أقل من 0.3% (Yahoo Sender Hub (يفتح في علامة تبويب جديدة)). أما المرسلون بكميات كبيرة فعليهم ما يلي:

المتطلبGmailYahoo
SPF وDKIMكلاهماكلاهما
DMARCمطلوب؛ ويمكن أن تكون السياسة noneسياسة صالحة لا تقل عن p=none، ويجب أن ينجح DMARC
المحاذاةمحاذاة نطاق From مع نطاق SPF أو DKIMالشرط نفسه؛ وتُقبل المحاذاة المرنة (relaxed)
إلغاء الاشتراك بنقرة واحدةلرسائل التسويق والرسائل التي اشترك فيها المستلم، وفق RFC 8058، إضافة إلى رابط ظاهرترويسة List-Unsubscribe مع دعم النقرة الواحدة لرسائل التسويق والرسائل التي اشترك فيها المستلم
تنفيذ طلبات إلغاء الاشتراكخلال 48 ساعة (موصى به)خلال يومين
معدل الرسائل غير المرغوب فيهاأقل من 0.3%؛ وتوصي Google بأن يكون أقل من 0.10%أقل من 0.3%

بعض التفاصيل تهم المتاجر بشكل خاص:

  • تحتسب Gmail الرسائل حسب النطاق. تُحتسب الرسائل الصادرة من النطاق الأساسي نفسه ضمن حد 5,000 رسالة، لذا تتراكم رسائل الطلبات والتسويق وردود الدعم معًا.
  • لا تُحتسب إلا حسابات Gmail الشخصية. لا تنطبق الإرشادات على الرسائل المرسلة إلى حسابات Google Workspace.
  • البريد المعاملاتي معفى من إلغاء الاشتراك بنقرة واحدة. لكن تأكيدات الطلبات تظل بحاجة إلى المصادقة.

يعتمد إلغاء الاشتراك بنقرة واحدة على ترويستين معرَّفتين في RFC 8058 (يفتح في علامة تبويب جديدة)، ويشترط هذا المعيار أيضًا وجود توقيع DKIM صالح يغطيهما:

List-Unsubscribe: <https://example.com/unsubscribe/opaquepart>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

للتأكد من أن منصة التسويق لديك تضيفهما، افتح المصدر الخام لإحدى حملاتك.

ما الذي تغيّر بعد فبراير 2024؟

شُدِّد الإنفاذ على مراحل، واعتمد مزوّدو صناديق بريد آخرون قواعد مماثلة.

التاريخالتغييرالمصدر
فبراير 2024دخول متطلبات Gmail وYahoo حيّز التنفيذ (طبّقت Yahoo الإنفاذ تدريجيًا)Google (يفتح في علامة تبويب جديدة)، Yahoo (يفتح في علامة تبويب جديدة)
يونيو 2024Gmail: يصبح المرسلون بكميات كبيرة الذين يتجاوز معدل الرسائل غير المرغوب فيها لديهم 0.3% غير مؤهلين للتخفيف (mitigation)الأسئلة الشائعة في Gmail (يفتح في علامة تبويب جديدة)
1 يونيو 2024الموعد النهائي الذي حددته Gmail لتطبيق إلغاء الاشتراك بنقرة واحدة لدى المرسلين الذين كان لديهم رابط لإلغاء الاشتراك بالفعلالأسئلة الشائعة في Gmail (يفتح في علامة تبويب جديدة)
5 مايو 2025متطلبات Outlook.com للنطاقات التي ترسل أكثر من 5,000 رسالة يوميًا؛ ويذكر تحديث Microsoft بتاريخ 29 أبريل أن الرسائل التي تفشل تُرفض بالرمز 550 5.7.515Microsoft (يفتح في علامة تبويب جديدة)
نوفمبر 2025Gmail تكثّف الإنفاذ، بما في ذلك الرفض المؤقت والدائمالأسئلة الشائعة في Gmail (يفتح في علامة تبويب جديدة)
مايو 2026RFC 9989 يحل محل RFC 7489 بوصفه مواصفة DMARCIETF (يفتح في علامة تبويب جديدة)

تنطبق قواعد Outlook.com على عناوينها الاستهلاكية (outlook.com وhotmail.com وlive.com)، وتشترط نجاح SPF وDKIM، ووجود DMARC بسياسة لا تقل عن p=none مع محاذاته مع SPF أو DKIM.

كيف تضبط SPF وDKIM وDMARC على Shopify؟

وثّق نطاق المرسل من لوحة إدارة Shopify، ثم أضف سجل DMARC واحدًا لدى مزوّد DNS.

يذكر دليل إعداد البريد الإلكتروني (يفتح في علامة تبويب جديدة) في Shopify أنه اعتبارًا من 1 فبراير 2024 تشترط Gmail وYahoo نطاقًا موثَّقًا وسجل DMARC للإرسال من عنوان يحمل اسم علامتك التجارية. وإذا لم تكن سجلات المصادقة مضبوطة، تعيد Shopify كتابة عنوان المرسل بصيغة store+123@shopifyemail.com. الخطوات:

  1. في لوحة إدارة Shopify، انتقل إلى الإعدادات > الإشعارات (Settings > Notifications).
  2. في قسم بريد المرسل الإلكتروني (Sender email)، انقر توثيق نطاقك (authenticate your domain).
  3. أضف كل سجلات CNAME المعروضة لدى مزوّد DNS. قد يختلف عددها. وتذكر Shopify أن هذه السجلات تتولى SPF وDKIM لعنوان المرسل، وأنك لا تحتاج إلى إضافة عناوين IP.
  4. انتظر مدة تصل إلى 48 ساعة حتى تسري تغييرات DNS.
  5. أضف سجل TXT باسم _dmarc وقيمة v=DMARC1; p=none;، وهي القيمة الافتراضية التي تستخدمها Shopify.

إذا اشتريت نطاقك من Shopify أو نقلته إليها، فإن Shopify تدير هذه السجلات نيابةً عنك. وتنبّه Shopify أيضًا إلى أن النطاق لا يمكن أن يحتوي إلا على سجل DMARC واحد، وإلى ضرورة حذف إعدادات المحاذاة الصارمة (adkim=s أو aspf=s) أو تغييرها إلى r.

تغطي مصادقة Shopify البريد الذي ترسله Shopify فقط. فإذا كنت تستخدم منصة أخرى للحملات، أو نظامًا لمكتب المساعدة، أو Google Workspace لبريد الموظفين، فإن كلًّا منها يحتاج إلى إعداد DKIM خاص به، وإلى إدخال SPF خاص به إذا كان يستخدم نطاقك لرسائل الارتداد.

كيف تضبط مصادقة البريد الإلكتروني في WooCommerce؟

أرسل بريد WooCommerce عبر مزوّد مخصص يوقّع الرسائل باسم نطاقك، كما توصي وثائق WooCommerce نفسها.

يرسل WooCommerce البريد باستخدام الدالة wp_mail() في WordPress، وتوصي الأسئلة الشائعة حول البريد الإلكتروني (يفتح في علامة تبويب جديدة) في وثائقه بمزوّد SMTP مخصص، لأنه أكثر موثوقية من دالة البريد في خادمك. إعداد نموذجي:

  1. اختر مزوّدًا للبريد المعاملاتي ووثّق نطاقك لديه. سيعطيك المزوّد سجلات DKIM وقيمة include الخاصة بـ SPF لتنشرها.
  2. اربط WordPress بهذا المزوّد عبر إضافة SMTP أو API.
  3. اضبط عنوان المرسل (From address) في WooCommerce > الإعدادات > البريد الإلكتروني (WooCommerce > Settings > Emails) على عنوان ضمن نطاقك. ويحذّر WooCommerce من أن الرسائل المرسلة من عنوان عام، مثل عنوان على Gmail أو Yahoo، يُرجَّح أن تصل إلى مجلد الرسائل غير المرغوب فيها أو أن تُحظر.
  4. انشر سجل DMARC في _dmarc.yourdomain.
  5. راجع WooCommerce > الحالة > السجلات (WooCommerce > Status > Logs) وصفِّ النتائج حسب المصدر transactional-emails لترى الرسائل التي أُرسلت أو فشلت.

إذا كانت شركة الاستضافة ترسل أيضًا بريدًا باسم النطاق، فوثّقها أو أوقف ذلك. فأي نظام يرسل باسم نطاقك دون SPF أو DKIM متحاذٍ سيفشل في DMARC.

ما حد الاستعلامات العشرة في SPF، وكيف تبقى دونه؟

يمكن أن يستخدم فحص SPF عشرة مصطلحات على الأكثر تتطلب استعلامات DNS؛ وإذا زاد مصطلح واحد تكون النتيجة permerror، فلا ينجح SPF.

يسرد RFC 7208، القسم 4.6.4 (يفتح في علامة تبويب جديدة) المصطلحات التي تُحتسب: الآليات include وa وmx وptr وexists، والمُعدِّل redirect. أما الآليات ip4 وip6 وall فلا تُحتسب. وتُحتسب أيضًا عمليات include المتداخلة داخل عمليات include لديك، لأن الحد ينطبق على عملية التقييم بأكملها. ويوصي RFC كذلك بألا يتجاوز عدد «الاستعلامات الفارغة» (void lookups، أي الاستعلامات التي لا تعيد إجابة) اثنين، وينص على عدم نشر الآلية ptr.

طرق البقاء دون 10 استعلامات:

  • احذف عمليات include الخاصة بخدمات لم تعد تستخدمها.
  • استخدم ip4 أو ip6 للخوادم التي تديرها بعناوين ثابتة.
  • انقل بريد التسويق إلى نطاق فرعي مثل news.example.com، فله سجل SPF خاص به وعدّاد استعلامات خاص به.
  • لا تنشر أبدًا سجلَّي SPF. فالمعيار RFC 7208 يمنع تعدد السجلات، ويعيد التقييم حينها permerror.
example.com.        TXT  "v=spf1 include:_spf.google.com include:spf.example-esp.com ~all"
news.example.com.   TXT  "v=spf1 include:spf.example-marketing.com ~all"

القيمتان spf.example-esp.com وspf.example-marketing.com مجرد مثالين، وتحل محلهما القيم التي يطلب منك مزوّدوك استخدامها.

كيف تنقل DMARC من p=none إلى p=reject؟

ابدأ بالسياسة p=none مع تفعيل التقارير، وأصلح كل مصدر مشروع تكشفه التقارير، ثم شدّد السياسة.

المرحلةالسجلالهدف
1. المراقبةv=DMARC1; p=none; rua=mailto:dmarc@example.comجمع التقارير التجميعية عن الجهات التي ترسل باسم نطاقك
2. الإصلاحبلا تغييرجعل كل مصدر مشروع يجتاز SPF أو DKIM متحاذيًا
3. العزل (Quarantine)v=DMARC1; p=quarantine; rua=mailto:dmarc@example.comيذهب البريد الذي يفشل في التحقق إلى مجلد الرسائل غير المرغوب فيها
4. الرفض (Reject)v=DMARC1; p=reject; rua=mailto:dmarc@example.comيُرفض البريد الذي يفشل في التحقق

لا تنتقل إلى المرحلة التالية إلا عندما تُظهر التقارير أن منصة متجرك وأداة التسويق ومكتب المساعدة وبريد الموظفين تجتاز جميعها التحقق. والتقارير التجميعية معرَّفة في RFC 9990 (يفتح في علامة تبويب جديدة). وإذا كان عنوان rua على نطاق آخر، مثل نطاق خدمة تقارير، فيجب على ذلك النطاق نشر سجل يأذن باستقبال التقارير.

تقترح الأدلة القديمة الطرح التدريجي باستخدام pct=25 أو pct=50. لكن RFC 9989 أزال pct (وأصبح قيده في السجل «تاريخيًا»، أي historic) لأن القيم غير 0 و100 كانت تُطبَّق بطرق غير متسقة. وبدلًا منه، يطلب t=y من الخوادم المستقبِلة تطبيق السياسة الأدنى التالية، مثل العزل بدلًا من الرفض. استخدم t=y بدلًا من النسب الجزئية إذا أردت خطوة تجريبية.

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com"
_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

تتيح لك السياسة المُفعَّلة أيضًا استخدام BIMI، الذي يعرض شعارك في صناديق البريد التي تدعمه. وتشترط Gmail لذلك أن تكون سياسة DMARC بقيمة p=quarantine أو p=reject، إضافة إلى شهادة Verified Mark Certificate أو Common Mark Certificate (Google (يفتح في علامة تبويب جديدة)). أما البريد الوارد إلى نطاقك، فيتيح لك MTA-STS (RFC 8461 (يفتح في علامة تبويب جديدة)) أن تطلب من خوادم الإرسال رفض التسليم إلى خوادم البريد لديك إذا لم توفر TLS بشهادة موثوقة.

كيف تتحقق من سجلات متجرك؟

استعلم عن أنواع السجلات الثلاثة باستخدام dig، أو استخدم أداة فحص تقرؤها نيابةً عنك.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short TXT selector._domainkey.example.com

يحدد مزوّدك محدِّد DKIM (selector)، ويمكنك العثور عليه في قيمة s= ضمن ترويسة DKIM-Signature في رسالة أرسلتها. يقرأ تقرير قابلية تسليم البريد الإلكتروني سجلات DNS العامة لنطاقك، ويحصي استعلامات SPF، ويجرّب محدِّدات DKIM الشائعة، ويفحص سياسة DMARC وrua وpct وBIMI وMTA-STS. السجلات الصحيحة تساعد، لكن لا توجد مجموعة سجلات تضمن وصول الرسائل إلى صندوق الوارد، لأن مزوّدي صناديق البريد يأخذون في الحسبان أيضًا الشكاوى من الرسائل غير المرغوب فيها وسلوك الإرسال.

الأسئلة الشائعة

هل أحتاج إلى DMARC إذا كان متجري يرسل أقل من 5,000 رسالة يوميًا؟

لا تشترط Gmail وجود DMARC إلا على المرسلين بكميات كبيرة، لكن Shopify تشير إلى أن Gmail وYahoo تشترطان نطاقًا موثَّقًا وسجل DMARC للإرسال من عنوان يحمل اسم علامتك التجارية. وسجل p=none منخفض المخاطر ويوفر لك التقارير، لذا ينبغي لمعظم المتاجر نشر سجل من هذا النوع.

هل يمكن أن يحتوي نطاقي على سجلَّي SPF؟

لا. ينص RFC 7208 على أن النطاق يجب ألا يحتوي على أكثر من سجل SPF واحد، وإذا حدث ذلك يعيد تقييم SPF النتيجة permerror. ادمج جميع جهات الإرسال في سجل واحد.

هل سيحظر p=reject رسائل الطلبات التي يرسلها متجري على Shopify؟

لا، ما دامت سجلات CNAME الخاصة بـ Shopify مضبوطة، وكانت تقارير DMARC تُظهر أن بريد Shopify يجتاز DKIM متحاذيًا. راجع التقارير قبل تجاوز p=none، وأبقِ المحاذاة مرنة كما توصي Shopify.

هل لا يزال الوسم pct في DMARC صالحًا؟

أزال RFC 9989، المنشور في مايو 2026، الوسم pct وقدّم t=y لوضع الاختبار. ولا تزال إرشادات BIMI من Google تطلب pct=100، وهي القيمة الافتراضية عند غياب الوسم، لذا فإن حذف pct هو الخيار الأبسط في السجلات الجديدة.

هل يضمن اجتياز SPF وDKIM وDMARC وصول رسائلي إلى صندوق الوارد؟

لا. المصادقة شرط وليست ضمانًا. فـ Gmail وYahoo تنظران أيضًا في معدلات الشكاوى من الرسائل غير المرغوب فيها، وطريقة التعامل مع طلبات إلغاء الاشتراك، وتنسيق الرسائل.

المصادر

كل الأدلة