الخلاصة

  • أصبحت المراجعة 01 من مسودة أفضل ممارسات DKIM2 التابعة لمجموعة DKIM متاحة في 9 سبتمبر 2026. وهي Internet-Draft نشطة، لا وثيقة BCP منشورة ولا قراراً من IETF بإيقاف الآليات القائمة.
  • توصي المسودة بتوقيع البريد الصادر بواسطة DKIM1 وDKIM2 معاً حتى يصبح DKIM2 «واسع الانتشار فعلياً»، من دون تحديد عتبة أو مقام أو فترة أو شرائح أو جهة تعلن الوصول.
  • يستطيع المستقبِل استخدام النسب اليومية التي يراها لتطوير سياسته المحلية، لكنه لا يرى جميع المرسلين والمعيدين والشبكات اللازمة لإثبات حالة المنظومة كلها.
  • يمكن لسجل خروج مجمّع يحمي الخصوصية أن يثبت النطاق والاستثناءات والقرار وشروط الرجوع. هذا اقتراح تحليلي من Daniel Kade، وليس مطلباً في المسودة.

العبارة تحدد الغاية ولا تحدد لحظة الوصول

ظهرت المراجعة 01 في 9 سبتمبر. ويقول سجل تغييراتها إن الأقسام أعيد تنظيمها وتسميتها، وإن تعديلات واسعة أُجريت بسبب استمرار تطور DKIM2 وطول الفترة منذ المراجعة 00. تسجل صفحة Datatracker الوثيقة في مجموعة DKIM بحالة WG Document، وبحالة I-D Exists لدى IESG، من دون shepherd أو Area Director مسؤول أو موعد telechat.

يذكر رأس المسودة أن الحالة المقصودة هي Best Current Practice، بينما تعرض Datatracker حالياً Intended RFC status: None. لا تمنح أي من العبارتين الوثيقة وضع BCP أو RFC الآن؛ فهي قابلة للتعديل أو الاستبدال أو الانتهاء من دون نشر.

في القسم 3.3، التوجيه بسيط: ينبغي للمرسل أن يوقع الرسائل الخارجة باستخدام DKIM1 وDKIM2 إلى أن يصبح نشر DKIM2 «effectively ubiquitous». تتكرر العبارة مرتين، لكن لا يصاحبها رقم. لا نعرف هل يُحسب عدد الرسائل أم النطاقات أم المؤسسات أم المسارات الكاملة، ولا نعرف نافذة القياس أو التغطية الجغرافية.

كما لا توجد جهة واحدة مخولة بالإعلان. يسيطر المرسل على توقيعه، والمستقبِل على التحقق والتصرف، والمعيد على مقطعه من المسار. أما مجموعة العمل فتدير نص المسودة ولا تدير كل نظام بريد. هذه اللامركزية ليست خللاً؛ الخلل أن قرارات خروج مختلفة قد تحمل الوصف نفسه ولا تحمل الدليل نفسه.

ويجب فصل توصيتين. فالقسم 3.2 يوصي بتوقيعات DKIM2 متعددة باستخدام خوارزميات مختلفة، بينما يتناول 3.3 التعايش بين DKIM1 وDKIM2. الاستعداد لتعدد الخوارزميات داخل النظام الجديد لا يثبت انتهاء الحاجة إلى التوافق مع النظام القديم.

النسبة اليومية تقيس نافذة المستقبِل

إذا وصلت الرسالة بلا DKIM2، فعلى المستقبِل القادر على DKIM1 أن يعود إلى سياسة التصرف المعتادة لديه. وتستطيع هذه السياسة أن تتغير مع مراقبة النسبة اليومية للرسائل التي تحمل DKIM2 والتي لا تحمله، ومعرفة كيفية تفاعل أصحاب صناديق البريد مع النوعين. وفي فترة الانتقال، لا ينبغي أن يكون الغياب وحده سبباً للرفض.

يحمي هذا النهج من تحويل عدم التبني إلى خطأ تلقائي. لكنه يجعل الغياب متعدد المعاني: مرسل لم يتبنَّ، أو معيد غير مشارك، أو استثناء معروف، أو توقيع أزيل في الطريق، أو خطأ في التصنيف.

ولا يرى كل مستقبِل المجتمع نفسه. مزود بريد استهلاكي كبير يرى حملات كثيفة، وبوابة مؤسسة ترى مورديها وعملاءها، وقائمة بريدية تغيّر شكل المسار، ومشغل إقليمي يرى توزيعاً جغرافياً مختلفاً. إذا عُدّت الرسائل سيطر كبار المرسلين على النتيجة؛ وإذا عُدت النطاقات اختفى فرق الحجم؛ وإذا بدأ العد بعد مرشح الإساءة خرج جزء من المقام أصلاً.

إذن قد تكون النسبة صحيحة حسابياً ومحدودة مؤسسياً. تكفي لتعديل سياسة المستقبِل، ولا تكفي لإعلان حالة الإنترنت ما لم يُكشف النطاق والاستثناء والوزن والمدة.

حالات المسار الثلاث ليست درجات انتشار عالمية

يصف القسم 6 ثلاث حالات. Never Left تعني أن كل نطاق إداري مشارك وقّع عند الخروج. وIn and Out تعني أن بعض المقاطع شارك وبعضها لم يشارك. أما Never Entered فتعني وصول الرسالة بلا أي توقيع DKIM2. تفيد هذه الأوصاف في فهم رحلة رسالة بعينها، لا في إجراء تصويت على جاهزية العالم.

ويبرز هنا دور معيد التوجيه. فعلى المعيد المشارك أن يحاول التحقق من توقيعات DKIM2 وDKIM1 الموجودة، ثم يضيف توقيع DKIM2 إلى كل رسالة يعالجها حتى إن لم يغير محتواها. ويوضع التوقيع عند آخر قفزة قبل أن تغادر الرسالة بنيته التحتية. لذلك قد يكون الطرفان النهائيان جاهزين وتبقى الحلقة الوسطى غير جاهزة.

يتوقع القسم 7.1 أن يعتمد المستقبلون أساساً على DKIM2 مع نضج النشر، حتى لا تستمر مسارات التحقق المتوازية إلى الأبد. إلا أن «النضج» غير معرف أيضاً. المسودة تعطي اتجاهاً، لا اختبار نهاية.

أما الأقسام المحاطة بعلامات استفهام عن DMARC وSPF فتصفها المقدمة بأنها مسائل لم تحسمها مجموعة العمل وأن نصها تخميني. هي تستكشف مستقبلاً ممكناً ولا تعلن إيقاف DKIM1 أو DMARC أو SPF.

اختفاء التوقيع من نطاق معروف يحتاج فئة مستقلة

يعرض قسم الأمن خطر خفض المستوى في فترة التعايش. فقد يستطيع طرف على المسار نزع توقيع DKIM2، فيجعل مستقبِلاً لم يفرض DKIM2 بعد يعود إلى معالجة أضعف تعتمد DKIM1 وحده. وتقترح المسودة تدقيقاً إضافياً عندما يصل بريد من نطاق معروف باستخدام DKIM2 حاملاً DKIM1 معقولاً ومن دون DKIM2.

هذا تحليل خطر لا تقرير حادثة. ولا تقدم المصادر معدل هجمات. لكن المثال يبين ضعف خانة واحدة باسم «بلا DKIM2». فالنطاق الذي لم يُرَ قط مع DKIM2 لا يحمل الإشارة نفسها التي يحملها نطاق اختفى توقيعه بعد تاريخ ثابت.

كما يفرض ذلك أن يكون قرار الخروج قابلاً للرجوع منذ البداية. ينبغي تحديد محفزات مثل ارتفاع النطاقات المعروفة التي تصل بـDKIM1 فقط، أو هبوط السلاسل المكتملة، أو تدهور التسليم لشريحة مستثناة، قبل أن تقع المشكلة لا بعدها.

سجل خروج صغير بدلاً من شهادة انتشار عالمية

لا أقترح نسبة عالمية موحدة. أقترح أن يحتفظ كل مشغل يقلل التوقيع المزدوج أو التحقق المتوازي بسجل يتضمن:

  1. الجهة المعلنة ودورها والقرار الذي تسيطر عليه؛
  2. شرائح المرسلين والمعيدين والمستقبلين التي قُيّمت؛
  3. المقام وطريقة الوزن والاستثناءات ومدة الرصد؛
  4. معدلات وجود DKIM2 والسلسلة الكاملة والجزئية والغياب؛
  5. نتائج التحقق ومؤشرات التسليم أو التفاعل المستخدمة فعلاً؛
  6. النطاقات المعروفة باستخدام DKIM2 التي وصلت من دونه؛
  7. الفئات التي ما زالت تعتمد على DKIM1؛
  8. العتبة وإصدار السياسة اللذان حكما القرار؛
  9. وقت القرار ومحفز الرجوع وموعد المراجعة التالية.

يمكن نشر هذه العناصر في صورة مجمعة. لا حاجة إلى كشف عنوان مستلم أو سلوك فرد أو محتوى رسالة. لكن يجب وسم النتيجة بوضوح: جاهزية محلية، أو جاهزية شريحة ترابط مسماة، أو دليل أوسع جمعه مجتمع ما.

يتبع هذا منطق الحد الأدنى للمواصفة الأولية في مقال Heng Lu: توحيد أقل قدر من الدليل المشترك اللازم للتنسيق، مع ترك التبني والقرار لمن يتحمل آثارهما.

حدود الاستنتاج

يثبت تاريخ الوثيقة النسخ والحالات، ويبين الفرق الرسمي بين 00 و01 حجم التحرير. كما أن مواصفة DKIM2 الأساسية ووثيقة DNS ما تزالان مسودتين.

توفر RFCs الحالية سياق DKIM وSPF وAuthentication-Results وDMARC، لكنها لا تقيس تبني DKIM2. ولا تحوي المصادر تعداداً تمثيلياً أو تكلفة كلية أو حادثة مقاسة أو تاريخ إيقاف. لذلك لا يستنتج المقال نسبة نشر أو موعد نهاية.

المصادر