دور سجلات DKIM في مصادقة البريد الإلكتروني
تعد آلية البريد المعرف بمفاتيح تشفيرية (DKIM) ركيزة أساسية في منظومة مصادقة البريد الإلكتروني وحماية نطاقات المؤسسات من التزوير والانتحال. تعتمد هذه الآلية على التشفير باستخدام المفاتيح العامة، حيث يقوم خادم البريد المرسل بتوقيع الرسائل الصادرة رقمياً باستخدام مفتاح خاص. في المقابل، يقوم خادم البريد المستلم بالتحقق من هذا التوقيع من خلال استرداد المفتاح العام المقابل المنشور في سجلات نظام أسماء النطاقات (DNS) الخاصة بنطاق المرسل.
يتم نشر هذا المفتاح العام في سجل DNS من نوع نصي (TXT). إذا كان السجل يحتوي على أخطاء في الصياغة، أو تنسيق غير صحيح، أو مفاتيح تشفيرية ضعيفة، فلن تتمكن خوادم الاستقبال من التحقق من التوقيع الرقمي، مما يؤدي إلى فشل مصادقة DKIM وتصنيف الرسائل كبريد مزعج أو رفض تسليمها بالكامل.
فحص سجلات DKIM محلياً
يتيح "DKIM مدقق السجل" لمديري النطاقات فحص مكونات سجل DKIM TXT وتحليلها بدقة قبل نشره في نظام أسماء النطاقات، أو استخدامه لأغراض استكشاف الأخطاء وإصلاحها. يقوم المدقق بتحليل السجل للكشف عن الإصدار، ونوع المفتاح، وحجم المفتاح، والخدمات المرتبطة، بالإضافة إلى تحديد المشكلات الهيكلية مثل الوسوم المكررة، أو التنسيقات المعطوبة، أو أطوال المفاتيح الضعيفة.
يتميز هذا الفحص بآلية معالجة محددة:
- معالجة محلية بالكامل: يتم فحص السجل محلياً داخل متصفح المستخدم. يبقى سجل DK الخاص بك في متصفحك.BroBroGo لا يقوم بتحميله أو حفظه.
- حدود الفحص: يقتصر هذا الفحص على نص السجل الملصق فقط. هذا هو التحقق من نص السجل المحلي. ولا يقوم بالاستعلام عن DNS أو التحقق من البريد الإلكتروني الموقع، لذا استخدم النتيجة كمراجعة للتكوين بدلاً من إثبات التسليم.
- الحد الأقصى للمدخلات: يقبل الحقل المخصص للمدخلات قيمة تصل إلى 20,000 حرف كحد أقصى.
قيود طول سجلات DNS TXT وتجزئة البيانات
عند التعامل مع سجلات DNS من نوع TXT، تفرض البروتوكولات قيوداً صارمة على حجم البيانات:
- يمكن أن يحتوي سجل DNS TXT على عدة سلاسل أحرف، بحيث تقتصر كل سلسلة على بايتات255.
- لتجاوز هذا الحد عند نشر مفاتيح تشفيرية طويلة (مثل مفاتيح RSA بحجم 2048 بت)، يتم تقسيم السجل إلى أجزاء مقتبسة متعددة داخل نفس السجل.
- يقوم المدقق بقبول أجزاء TXT المقتبسة وأقواس ملف المنطقة وضمها تلقائياً لتسهيل عملية الفحص.
إذا تجاوزت أي قطعة فردية الحد المسموح به، يعرض المدقق رسالة الخطأ: "تتجاوز قطعة TXT‹detail›حد255- بايت لسلسلة أحرف DNS واحدة.". وفي حال وجود خلل في التنسيق المقتبس، تظهر رسالة: "العرض التقديمي TXT المقتبس غير صحيح. احتفظ بجميع الأجزاء المقتبسة وأزل النص خارج علامتي الاقتباس.". وعند نجاح عملية الدمج، تظهر ملاحظة: "انضم إلى‹detail›قطع TXT المقتبسة قبل التحقق من السجل.".
أنواع المفاتيح التشفيرية وأحجامها المدعومة
يتعرف المدقق على نوعين من المفاتيح العامة المستخدمة في سجلات DKIM:
1. مفاتيح RSA
تعتبر مفاتيح RSA الأكثر شيوعاً، ويقوم المدقق بتحليل حجم المفتاح بالبت وتقييم قوته وفقاً للقواعد التالية:
- أقل من 1024 بت: تعتبر هذه المفاتيح غير صالحة وغير آمنة، ويطلق المدقق رسالة الخطأ: "مفتاح RSA هو بتات
‹detail›. يتطلب DKIM بتات1024على الأقل.". - بين 1024 بت وأقل من 2048 بت: تعتبر هذه المفاتيح صالحة للعمل ولكنها أضعف من المعايير الموصى بها حالياً، ويظهر المدقق تحذيراً نصّه: "مفتاح RSA هو بتات
‹detail›. يوصى باستخدام بتات2048أو أكثر.".
2. مفاتيح Ed25519
وهي مفاتيح تعتمد على تشفير المنحنيات الإهليلجية وتتميز بكفاءتها العالية وحجمها الصغير. يجب أن يفك تشفير هذا المفتاح إلى 32 بايت تماماً. إذا اختلف الحجم، تظهر رسالة الخطأ: "يقوم المفتاح Ed25519 بفك التشفير إلى‹detail›بايت بدلاً من32.".
قواعد صياغة وسوم DKIM والأخطاء الشائعة
يتكون سجل DKIM من قائمة من الوسوم والقيم المفصولة بنقاط فاصلة منقوطة. يطبق المدقق قواعد صارمة للتحقق من سلامة هذه الوسوم:
| الوسم | القاعدة والشروط | رسائل الخطأ والتحذيرات المرتبطة |
|---|---|---|
| v (الإصدار) | يجب أن يكون الوسم الأول في السجل إذا كان موجوداً، ويجب أن تكون قيمته بدقة DKIM1. |
"يجب أن تكون العلامةv=DKIM1 هي العلامة الأولى عندما تكون موجودة."<br>"يجب أن تكون العلامة v DKIM1 بالضبط، وليس “‹detail›”." |
| k (نوع المفتاح) | يجب أن تكون القيمة إما rsa أو ed25519. |
"نوع المفتاح “‹detail›” غير مدعوم. استخدمrsaأوed25519." |
| p (المفتاح العام) | وسم إلزامي يحتوي على المفتاح العام المشفر بصيغة Base64. إذا تُرِك فارغاً، فهذا يعني إبطال المفتاح. | "علامة المفتاح العام المطلوبة مفقودة."<br>"القيمة p ليست مفتاحًا عامًا صالحًا لنوع المفتاح المحدد."<br>"القيمة p فارغة، مما يؤدي إلى نشر مفتاح DKIM الذي تم إبطاله." |
| s (الخدمات) | يحدد الخدمات التي تستخدم هذا السجل، ويجب أن تحتوي القيمة على email أو *. |
"تحتوي القيمة s “‹detail›” على خدمة غير مدعومة. استخدم البريد الإلكتروني أو *." |
| h (خوارزميات الهاش) | يجب أن تسمح الخوارزمية المستخدمة بـ sha256. استخدام sha1 يعتبر ملغياً وغير آمن. |
"يجب أن تسمح العلامة h بـsha256لتوقيعات DKIM الحالية."<br>"sha1قديم بالنسبة لتوقيعات DKIM ويجب عدم استخدامه." |
أخطاء هيكلية عامة:
- غياب علامة التساوي: "يفتقد الحقل “
‹tag›” علامة يساوي." - تكرار الوسوم: "تظهر العلامة
‹tag›أكثر من مرة." - تسمية خاطئة للوسم: "اسم العلامة “
‹tag›” غير صحيح." - وسوم غير معروفة: "يتم الاحتفاظ بعلامة
‹tag›غير المعروفة ولكن لا يتم تفسيرها."
مخرجات تحليل السجل
عند إدخال السجل والنقر على تحقق من سجل DKIM، يعرض المدقق النتائج مقسمة كالتالي:
- تحليل DKIM: النتيجة الإجمالية لعملية الفحص.
- ملخص DKIM: ويشمل:
- الإصدار: رقم إصدار البروتوكول.
- نوع المفتاح: نوع التشفير المستخدم.
- حجم المفتاح: طول المفتاح بالبت.
- الخدمات: الخدمات المحددة للسجل.
- الحقول التي تم تحليلها: جدول يعرض علامة وكل القيمة المقابلة لها.
- سجل الملاحظات: يعرض تفاصيل تقنية إضافية مثل عدد قطع TXT، وما إذا كان السجل يستخدم القيمة الافتراضي، أو يشير إلى تم إبطال المفتاح، أو يتضمن حجماً غير معروف للمفتاح.
- حالة الأخطاء:
- في حال خلو السجل من المشاكل: "لم يتم العثور على خطأ في السجل أو تحذير رئيسي في القيمة الملصقة.".
- في حال وجود مشكلات: "حقول
‹fields›المحددة: أخطاء‹errors›وتحذيرات‹warnings›.". - إذا تم تقديم مدخلات فارغة: "أدخل سجل DKIM مدعوم." أو "قم بلصق سجل DKIM أولاً.".
الأسئلة الشائعة
لماذا يتم تقسيم سجلات DKIM الطويلة إلى سلاسل مقتبسة؟
يمكن أن يحتوي سجل DNS TXT على عدة سلاسل أحرف، بحيث تقتصر كل سلسلة على بايتات255. يقوم DNS بربط السلاسل بالترتيب، لذلك يجب أن تظل جميع القطع داخل سجل TXT واحد.
ما هي أنواع المفاتيح DKIM التي يتعرف عليها هذا المدقق؟
يتعرف على المفاتيح العامة RSA و Ed25519، ويتحقق من نموذج Base64 الخاص بهم، ويبلغ عن مفاتيح RSA الموجودة أسفل وحدات بت1024 باعتبارها غير صالحة والمفاتيح الموجودة أسفل وحدات بت2048 باعتبارها أضعف من الموصى بها.
هل تثبت النتيجة النظيفة أن DKIM يعمل؟
لا، هذه الصفحة تتحقق فقط من نص السجل الذي قمت بلصقه. ولا يقوم بالاستعلام عن DNS أو التحقق من توقيع الرسالة أو تأكيد اسم المحدد أو إثبات أن مستلمي البريد يمكنهم استرداد السجل.