محلّل ترويسات البريد الإلكتروني — تتبّع رسالة وافحص SPF وDKIM وDMARC

ماذا تسجّل ترويسات رسالة البريد عن مصدرها؟

يضيف كل خادم بريد يمرّر الرسالة سطر Received في أعلاها، فيُقرأ المسار من الأحدث إلى الأقدم (RFC 5321)، ويسجّل خادم الاستقبال لديك في ترويسة Authentication-Results ‏(RFC 8601) هل نجح SPF وDKIM وDMARC؛ ولا ينجح DMARC إلا إذا نجح SPF أو DKIM لنطاق محاذٍ لعنوان From ‏(RFC 7489). وكل ترويسة تقع تحت سطور خادمك يستطيع المرسل كتابتها، فلا يُعتدّ بالنتيجة إلا إذا كان authserv-id الخاص بها هو نظام الاستقبال لديك، وحتى النجاح يقول أيّ نطاق كفل الرسالة، لا أن الطلب الذي فيها صادق.

ملاحظة أمنية: قد تجتاز الرسالة كل الفحوص وتبقى احتيالاً من نطاق شبيه. أكّد طلبات تغيير الدفع وطلبات بيانات الدخول عبر قناة تثق بها مسبقاً، لا عبر عنوان الرد في الرسالة نفسها.

كيفية استخدام محلّل ترويسات البريد الإلكتروني

افتح الرسالة في برنامج البريد واعرض مصدرها: «عرض الرسالة الأصلية» في Gmail، أو «ملف» ثم «خصائص» في Outlook، أو «عرض» ثم «الرسالة» ثم «كل الترويسات» في Apple Mail.
انسخ كل شيء من أول سطر في الترويسات حتى أول سطر فارغ، والصقه في الحقل.
اضغط «حلّل الترويسات» وابدأ بقسم «الاكتشافات»: البنود عالية الخطورة ومتوسطتها هي ما يستدعي التصرّف.
اقرأ «نتائج المصادقة» و«هوية المرسل والمحاذاة» لتعرف هل يدعم عنوانَ From فحصٌ ناجح ومحاذٍ، ثم «محطات Received» لترى المسار الذي سلكته الرسالة.

مزايا محلّل ترويسات البريد الإلكتروني

يقرأ كتلة الترويسات كاملةً داخل متصفحك: يفكّ الترويسات المطويّة على أكثر من سطر، ويحلّ ترميز الأسماء والعناوين غير اللاتينية، ويتجاهل نص الرسالة إن لُصق خطأً
يسرد كل محطة Received من الأقدم إلى الأحدث — المضيف المرسِل وعنوانه وخادم الاستقبال والبروتوكول وTLS والوقت بتوقيت UTC والتأخير منذ المحطة السابقة — مع زمن العبور الكلي
يعرض أحكام SPF وDKIM وDMARC مع النتيجة كما سُجّلت حرفياً (softfail أو temperror …)، واسم الخادم الذي سجّلها، والترويسة التي أُخذت منها
يفحص المحاذاة على طريقة DMARC: هل يطابق نطاقُ المغلّف (Return-Path) ونطاقاتُ توقيع DKIM نطاقَ From، مطابقةً تامة أو مرنة
يكشف علامات التحذير مع درجة خطورة لكل منها: Reply-To على نطاق آخر، أو اسم عرض يُظهر عنواناً مختلفاً، أو ترويسة From أو Subject مكررة، أو محارف مخفية، أو غياب DNS العكسي، أو أعلام الاستعجال، أو سكربتات الإرسال الجماعي
يسرد كل عنوان مرشّح لمنشأ الرسالة (X-Originating-IP وX-Sender-IP وأقدم محطة Received من عنوان عام)، وينبّه حين تتعارض
يقرأ أحكام مرشّحات البريد العشوائي من ترويسات SpamAssassin وRspamd وMicrosoft ‏(SCL) وProofpoint وBarracuda وAmazon SES

المدخلات والمخرجات

المدخلات

ترويسات الرسالة — كتلة الترويسات الكاملة لرسالة واحدة كما يعرضها برنامج البريد، حتى 2 ميغابايت؛ ويُتجاهل أي نص بعد السطر الفارغ.
لا شيء غير ذلك: لا يلزم عنوان ولا نطاق ولا إعداد، ولا يُجلب أي شيء.

المخرجات

الملخص والاكتشافات — الأحكام الثلاثة وعدد المحطات وزمن العبور، وكل اكتشاف مع درجة خطورته ومعناه.
نتائج المصادقة وهوية المرسل والمحاذاة — النتيجة المسجّلة لكل من SPF وDKIM وDMARC مع الخادم الذي كتبها، ونطاقات From والمغلّف والتوقيع، وهل هي متحاذية.
محطات Received والعناوين المرشّحة للمنشأ وبيانات الرسالة — المسار من الأقدم مع الأوقات والتأخير، والعناوين التي قد تكون الرسالة بدأت منها، وFrom وTo وSubject وDate وMessage-ID وReturn-Path كما كُتبت.
تواقيع DKIM ومرشّح البريد العشوائي وملاحظات المحاذاة و«كيف تقرأ هذه النتيجة» — نطاق كل توقيع ومحدّده وخوارزميته، وأحكام المرشّحات، وكيف تقرّرت المحاذاة، وما لا يستطيع التحليل إثباته.

مثال على محلّل ترويسات البريد الإلكتروني

رسالة تجتاز SPF وDKIM لنطاق آخر وتفشل في DMARC

الإدخال:

ترويسات رسالة «From: Example Accounts Payable ‏<accounts@example.com>» مع «Reply-To: ap-desk@payments-update.example»، أُرسلت عبر mail.billing-portal.example واستقبلها mx.google.com (المثال المدمج في الأداة).

النتيجة:

الملخص: SPF ناجح · DKIM ناجح · DMARC غير ناجح · محطات Received ‏3 · زمن العبور 00:00:10 · اكتشافات عالية الخطورة 1 · اكتشافات متوسطة الخطورة 1
الاكتشافات: عالٍ — فشل DMARC ‏(سجّل خادم الاستقبال أن عنوان From لا يدعمه نجاحٌ محاذٍ لـ SPF ولا لـ DKIM) · متوسط — الردود تذهب إلى عنوان آخر · منخفض — مضيف مرسِل بلا DNS عكسي مطابق · منخفض — موسومة بالاستعجال · منخفض — برنامج إرسال يستحق التدقيق
نتائج المصادقة: SPF ‏pass وDKIM ‏pass وDMARC ‏fail — سجّلها جميعاً mx.google.com في أحدث ترويسة Authentication-Results
هوية المرسل والمحاذاة: نطاق From هو example.com · نطاق المغلّف (Return-Path) هو billing-portal.example · SPF محاذٍ لعنوان From: لا · DKIM محاذٍ لعنوان From: لا
محطات Received: ‏1 ‏WIN-7Q2J4KD ‏203.0.113.77 ← mail.billing-portal.example ‏09:13:59 · ‏2 ← mx.google.com ‏+00:00:09 · ‏3 ‏+00:00:01

كيف تقرأ نتائج محلّل ترويسات البريد الإلكتروني

ظهور DMARC «غير ناجح» يعني أن خادم الاستقبال سجّل أن عنوان From لا يدعمه نجاحٌ محاذٍ لـ SPF ولا نجاحٌ محاذٍ لـ DKIM. هكذا تبدو الرسائل المزوّرة، لكن هكذا تبدو أيضاً الرسائل التي أُعيد توجيهها أو مرّت عبر قائمة بريدية؛ فإن طلبت الرسالة مالاً أو بيانات دخول أو تغيير حساب بنكي، فتحقّق منها عبر قناة أخرى قبل أن تتصرف.

نجاح SPF وDKIM مع «محاذٍ لعنوان From: لا» يعني أن الفحصين كفلا نطاقاً آخر — خدمة إرسال أو اسماً شبيهاً — لا العنوان الذي يراه القارئ. وهكذا يبدو البريد المرسل عبر خدمة لا توقّع باسم نطاق From، ويبدو كذلك البريد الآتي من نطاق شبيه.

«غير مسجّلة» يعني أن أي مستقبِل موثوق لم يكتب نتيجة لذلك الفحص، وليس فشلاً. وإن ظهرت في الاكتشافات ترويسة Authentication-Results أجنبية فهي تفسّر سبب استبعاد نتيجة ما.

الاكتشافات عالية الخطورة أسباب لعدم الثقة بالرسالة (فشل DMARC، أو عنوان مخفي في اسم العرض، أو محارف مخفية داخل عنوان)، والمتوسطة تستحق نظرة ثانية، أما المنخفضة والمعلوماتية فتصف الرسالة أكثر مما تتّهمها.

التأخير بين محطتين من دقائق إلى ساعات يعني غالباً انتظاراً في الطابور أو قائمة رمادية لا تلاعباً، أما التأخير السالب فيعني أن ساعتَي خادمين مختلفتان أو أن المرسل كتب سطر Received بنفسه.

متى تستخدم محلّل ترويسات البريد الإلكتروني

معرفة ما سجّله خادم الاستقبال عن رسالة تطلب تغيير بيانات الدفع أو إعادة تعيين كلمة المرور — هل يدعم نطاقَ From فيها فحصٌ ناجح ومحاذٍ — قبل التصرّف بناءً عليها.
شرح سبب وصول رسالة زميل أو عميل إلى البريد العشوائي: غياب DKIM، أو نطاق مغلّف غير محاذٍ، أو غياب DNS العكسي.
معرفة أين تأخرت رسالة بطيئة: المحطة ذات التأخير الطويل تسمّي الخادم الذي احتجزها.
جمع الحقائق اللازمة لبلاغ إساءة: العناوين المرشّحة للمنشأ، وخدمة الإرسال، والسطر الذي كتبه خادم الاستقبال بنفسه.

استكشاف الأخطاء وإصلاحها

«لم يُعثر على أسطر ترويسات»: يبدأ النص الملصوق بمحتوى الرسالة. انسخ المصدر الأصلي الذي يبدأ بأسطر مثل Received: أو Delivered-To:.
كل الأحكام «غير مسجّلة»: نُسخت الترويسات من مجلد «المرسَل» لدى المرسل، أو أن خادم الاستقبال لا يكتب Authentication-Results. حلّل النسخة الموجودة في صندوق المستلم.
نتيجة موصوفة بأنها «ليست من خادم الاستقبال»: بوابة أمام صندوق بريدك تكتب النتائج باسم آخر. إن كانت البوابة تابعة لك فنتائجها موثوقة، وإلا فعاملها على أنها ادعاء من المرسل.
أسطر «ضُمّت إلى الترويسة التي فوقها»: فقدت النسخة المسافات البادئة للترويسات المطويّة. انسخ من عرض المصدر الخام لا من عرض منسّق.

الأسئلة الشائعة حول محلّل ترويسات البريد الإلكتروني

من أين أحصل على الترويسات الكاملة لرسالة ما؟

في Gmail افتح الرسالة ثم قائمة النقاط الثلاث واختر «عرض الرسالة الأصلية». في Outlook لسطح المكتب افتح الرسالة ثم «ملف» ثم «خصائص» وانسخ مربع «ترويسات الإنترنت»، وفي Outlook على الويب استخدم قائمة «إجراءات إضافية» ثم «عرض» ثم «عرض تفاصيل الرسالة». وفي Apple Mail اختر «عرض» ثم «الرسالة» ثم «كل الترويسات»، وفي Thunderbird ‏«عرض» ثم «مصدر الرسالة». انسخ كل شيء من السطر الأول حتى أول سطر فارغ، فاللصق المقتطع يُخفي محطات ونتائج.

أي ترويسة Authentication-Results هي التي تحسم النتيجة؟

أحدث ترويسة كتبها خادم الاستقبال لديك، أي أعلى ترويسة يطابق معرّفها (authserv-id) مضيفاً في الجزء الخاص بالاستقبال من سلسلة Received. أما الترويسة المكتوبة باسم آخر فتُعرض على أنها ليست من خادم الاستقبال ولا تُعتمد. ولا يمكن تمييز ترويسة مزوّرة تنسخ اسم خادمك بالضبط عن الحقيقية؛ وما يحمي منها هو أن خوادم الاستقبال تحذف الترويسات الواردة التي تدّعي اسمها (RFC 8601 §5)، فتأكد أن نظام بريدك يفعل ذلك.

لماذا تظهر بعض الأوقات «كما كُتبت» دون تحويل؟

لأن التاريخ الخالي من المنطقة الزمنية، أو الحامل لاختصار مثل IST أو BST يعني فروقاً مختلفة في أماكن مختلفة، لا يمكن وضعه على خط زمني. فيعرضه المحلّل كما كُتب تماماً، ويستبعده من حساب التأخير وزمن العبور، ويصرّح بذلك بدلاً من تخمين الفرق.

هل عنوان IP المنشأ هو حاسوب المرسل؟

ليس بالضرورة. فترويسة X-Originating-IP تكتبها خدمة البريد التي يستخدمها المرسل، وX-Sender-IP تكتبها مرشّحات Microsoft، وأقدم سطر Received من عنوان عام قد يكتبه المرسل نفسه. لذلك يُعرض كل مرشّح مع مصدره، وإذا تعارضت فاعتمد السطر الذي كتبه خادمك عن المضيف الذي سلّمه الرسالة.

هل يثبت «DKIM ناجح» هوية من أرسل الرسالة؟

يثبت أن نطاق التوقيع (d=) كفل الترويسات الموقّعة ونص الرسالة كما وصلت. ولا يدعم عنوانَ From إلا إذا كان هذا النطاق محاذياً لنطاق From، وهذا بالضبط ما يفحصه DMARC؛ فنجاح التوقيع باسم نطاق خدمة إرسال لا يقول شيئاً عن عنوان From.

هل تُرفع ترويساتي أو يُبحث عنها في أي مكان؟

لا. يجري التحليل داخل متصفحك ولا يُرسل شيء ولا يُخزَّن. ولأنه لا يجري أي طلب شبكي، فلا تُتحقق تواقيع DKIM من المفتاح المنشور ولا تُفحص العناوين في القوائم السوداء؛ ويتولى ذلك عند الطلب فاحص القوائم السوداء لعناوين IP وفاحص سجل DKIM.

ملاحظات تقنية

كتلة الترويسات هي رأس الرسالة وفق RFC 5322: تُفكّ الحقول الطويلة عند فواصل الأسطر التي أدخلها المرسل، وتُحلّ الأسماء والعناوين غير اللاتينية من «الكلمات المرمّزة» في RFC 2047، ويُفترض أن تظهر حقول مثل From وSubject وMessage-ID مرة واحدة فقط. وكل خادم بريد يمرّر الرسالة يضيف حقل Received في الأعلى (RFC 5321 §4.4)، فتُقرأ الكتلة من الأحدث إلى الأقدم، وتعكسها الأداة لتعرض الرحلة بترتيبها.

تسجّل خوادم الاستقبال نتائج فحوصها في Authentication-Results ‏(RFC 8601): أول رمز فيها هو authserv-id الذي يسمّي النظام الكاتب، تليه نتائج مثل spf=pass smtp.mailfrom=… وdkim=fail header.d=… وdmarc=fail header.from=…. ولأن أي طرف في أعلى المسار يستطيع كتابة ترويسة كهذه، فلا يُعتدّ إلا بترويسات المستقبِل نفسه (RFC 8601 §5): تأخذ الأداة كل حكم من أحدث Authentication-Results يطابق معرّفها مضيفاً من جزء الاستقبال في سلسلة Received، وتعود إلى أحدث Received-SPF لحكم SPF ‏(RFC 7208 §9.1)، وتصف أي ترويسة أخرى بأنها أجنبية.

لا ينجح DMARC ‏(RFC 7489 §3.1) إلا إذا نجح SPF لنطاق مغلّف، أو نجح DKIM لنطاق توقيع، يكون محاذياً لنطاق From: النطاق التنظيمي نفسه في الوضع المرن، والنطاق ذاته في الوضع الصارم. ويُحسب النطاق التنظيمي من قائمة اللواحق العامة (Public Suffix List) المضمّنة في الأداة. أما مجموعات ARC ‏(RFC 8617) فتُلخَّص ولا تحسم أي حكم، لأنها تسجّل ما رآه وسيط.

لا يُحسب التأخير إلا بين محطات يحمل تاريخها منطقة زمنية صالحة؛ أما التاريخ الخالي من المنطقة أو الحامل لاختصار ملتبس (IST وBST وAST) فيُبقى كما كُتب ويُتخطّى، وإذا قيس تأخير عبر محطة كهذه ذُكرت المحطة التي يبدأ منها القياس.

الحدود ومنهجية القياس

لا يُتحقق من شيء عبر الإنترنت: لا تُفحص تواقيع DKIM مقابل المفتاح المنشور، ولا يُبحث عن العناوين في القوائم السوداء، ولا يُعاد تقييم SPF — تعرض الأداة ما سجّلته خوادم الاستقبال فقط.

الترويسات الواقعة تحت سطور خادم بريدك يمكن أن يكتبها المرسل. ولا يمكن تمييز ترويسة Authentication-Results مزوّرة تنسخ authserv-id خادمك بالضبط عن الحقيقية؛ والحماية الوحيدة منها أن يحذف خادم الاستقبال هذه الترويسات عند الوصول (RFC 8601 §5).

عنوان المنشأ مرشّح فحسب: يمكن لجهة الإرسال أن تكتب X-Originating-IP وأقدم أسطر Received، ويظهر لمستخدمي البريد عبر الويب أو VPN عنوانُ مزوّد الخدمة.

الأوقات دقيقة بقدر دقة ساعة كل خادم فقط، والتواريخ الخالية من منطقة زمنية صالحة لا تُحوَّل.

الأمان والخصوصية

تُحلَّل الترويسات داخل متصفحك ولا تُرسل ولا يُبحث عنها ولا تُخزَّن، فتبقى أسماء الأشخاص وعناوينهم الواردة فيها على جهازك.

المراجع

RFC 8601: Message Header Field for Indicating Message Authentication StatusIETF · 2019ترويسة Authentication-Results: معرّف authserv-id ونتيجة كل طريقة، ولماذا يجب على المستقبِل حذف الترويسات التي تدّعي اسمه.
RFC 5322: Internet Message FormatIETF · 2008صياغة رسائل البريد الإلكتروني وعناوينه (local-part@domain) التي تُقاس المدقّقات وفقها.
RFC 5321: Simple Mail Transfer ProtocolIETF · 2008بروتوكول SMTP نفسه، ومنه القسم 5.1: كيف يرتّب الخادم المرسِل سجلات MX حسب التفضيل، ويخلط المتساوية منها عشوائياً، ويرجع إلى عنوان النطاق نفسه عند غياب MX.