دليل: المصادقة

كيف تُعد DKIM

يوقّع DKIM كل رسالة بمفتاح خاص وينشر المفتاح العام المقابل في DNS الخاص بك، فيستطيع المستقبِل التحقق من النطاق الذي تحمّل مسؤولية الرسالة ومن أن الأجزاء الموقَّعة لم تُعدَّل في الطريق.

آخر مراجعة: 4 نوفمبر 2026

ما الذي يثبته توقيع DKIM

يضيف DomainKeys Identified Mail أو DKIM (المعيار RFC 6376) إلى كل رسالة ترويسة DKIM-Signature. تذكر هذه الترويسة النطاق الموقِّع (d=) والمحدد (s=)، وتسرد الترويسات الموقَّعة، وتحمل قيمة تجزئة لنص الرسالة وتوقيعًا يشملهما.

يجلب المستقبِل المفتاح العام من DNS، ويتحقق من التوقيع، ويعيد حساب تجزئة النص. والنتيجة pass تعني أن النطاق الموقِّع تحمّل مسؤولية الرسالة وأن الأجزاء الموقَّعة لم تتغير بعد التوقيع.

أين يوجد المفتاح

المفتاح العام سجل TXT في selector._domainkey.yourdomain. يتيح المحدد للنطاق الاحتفاظ بعدة مفاتيح في الوقت نفسه، مثل مفتاح لكل خدمة إرسال، أو مفتاح قديم وآخر جديد أثناء التبديل.

تولّد خدمة الإرسال زوج المفاتيح، وتحتفظ بالمفتاح الخاص، وتعطيك السجل الذي تنشره. انسخ القيمة كما هي تمامًا، فحرف واحد ناقص في قيمة p= يُفشل كل التواقيع.

تتجاوز المفاتيح الطويلة 255 حرفًا، وهو حد السلسلة الواحدة في TXT. يقسمها معظم مزودي DNS تلقائيًا، فإن لم يفعل مزودك فأدخل القيمة على شكل عدة سلاسل بين علامات اقتباس يجمعها المستقبِلون.
انشر السجل بوصفه سجل TXT عاديًا، من دون وكيل أو إعادة كتابة من خدمة DNS.

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...

طول المفتاح والخوارزمية

ينص RFC 8301 على أن الموقِّعين يجب أن يستخدموا مفاتيح RSA لا يقل طولها عن 1024 بت، وينبغي أن تكون 2048 بت على الأقل، ويجب ألا يوقّعوا بـ rsa-sha1. ومفتاح RSA بطول 2048 بت مع rsa-sha256 هو الخيار الشائع اليوم، ويقبله كل مزودي صناديق البريد الكبار.

ما الذي يكسر التوقيع

كل ما يغيّر الترويسات الموقَّعة أو النص بعد التوقيع: قائمة بريدية تضيف تذييلًا أو تعدّل الموضوع، أو بوابة أمان تعيد كتابة الروابط، أو خادم يعيد ترميز الرسالة. وتتسامح طريقة التطبيع relaxed (c=relaxed/relaxed) مع تغييرات المسافات وحالة الأحرف في أسماء الترويسات، لا مع تغييرات المحتوى.

أما إعادة التوجيه البسيطة فتُبقي التوقيع سليمًا عادة، ولهذا يُعد DKIM النصف الأمتن من DMARC.

تحقق من النتيجة

أرسل رسالة إلى صندوق بريد تملكه واقرأ ترويسة Authentication-Results، والمطلوب هو dkim=pass مع header.d= مساوية لنطاقك. فإن كان نطاق d= هو نطاق مزودك لا نطاقك، فالرسالة موقَّعة لكنها لن تكون محاذية لأغراض DMARC.

كيف تتعامل Mail.Land مع DKIM

عند إضافة نطاق، تولّد Mail.Land له زوج مفاتيح RSA بطول 2048 بت، وتعطيك سجل TXT واحدًا تنشره في mlnd._domainkey.yourdomain (المحدد هو mlnd). وتُوقَّع كل رسالة من ذلك النطاق بمفتاحه الخاص ونطاقك في d=، فيتحاذى DKIM مع عنوان From لديك.

DKIM إلزامي: يجب التحقق من SPF وDKIM وDMARC جميعًا قبل أن يتمكن النطاق من الإرسال.

إعداد DNS في توثيق Mail.Land