الخلاصة

  • عرض Internet Society Pulse في 1 سبتمبر دراسة أجراها Palisade، وجدت سجلات DMARC صالحة لدى 58.1% من 99,300 نطاق جرى رصده.
  • لم يذكر 20.7% من النطاقات التي نشرت DMARC عنواناً للتقارير المجمعة. لا يثبت ذلك غياب كل أشكال المراقبة، ولا يكشف ما تعهّد المزوّد بتنفيذه.

يبدأ تشغيل البريد، ثم تضيف المؤسسة خدمة للفواتير وأخرى للتسويق وثالثة لخدمة العملاء. ترسل هذه الأنظمة باسم النطاق نفسه، لكن مَن يحتفظ بقائمة المرسلين المشروعين، ومَن يراجع إعدادات المصادقة، ومَن يجيز تغيير السياسة؟ سداد فاتورة استضافة البريد لا يجيب وحده عن هذه الأسئلة.

هذه زاوية الحوكمة التي يتيحها مقال ضيف نشره Internet Society Pulse في 1 سبتمبر. كاتبه Samuel Chenard هو CEO والمؤسس المشارك لـPalisade، ويعرض بحث شركته. ويوضح Internet Society أن آراء الضيوف لا تمثل بالضرورة رأيه. نحن أمام دراسة منشورة، لا توجيه مؤسسي جديد.

ما تقوله الأرقام وما لا تقوله

يفيد المعيار المقارن الذي نشره Palisade بأنه رصد 99,300 نطاق خلال ثماني دقائق في 14 أغسطس. بلغ عدد النطاقات التي نشرت DMARC صالحاً 57,732، أي 58.1% من العينة. ومن بين هذه النطاقات، طلب 36,938 نطاقاً عزل البريد الذي يفشل في الفحص أو رفضه، بنسبة 64%، فيما لم يدرج 11,959 نطاقاً عنواناً للتقارير المجمعة، بنسبة 20.7%.

إذن، النسبتان الأخيرتان تخصان ناشري DMARC، لا جميع النطاقات. وهذه نتائج نشرها الباحث ولم نكرر عملية المسح للتحقق منها بصورة مستقلة. كما أن العينة مأخوذة من نطاقات مواقع متقدمة في الترتيب، وليست تعداداً لكل بريد تستخدمه المؤسسات.

وتكشف سجلات MX البنية الظاهرة لاستقبال البريد، لا منصة الصناديق دائماً؛ فقد تحجب بوابة وسيطة الخدمة الموجودة خلفها. وحتى بعد تعديل المقارنات بحسب شرائح الترتيب، تبقى النتائج رصدية. لا تثبت أن اختيار مزوّد بعينه سبّب إعداداً معيناً، ولا تكشف إن كان عقد عميل ما قد نُفّذ.

يمكن إسناد العمل، لكن يجب تحديده

تربط مواصفة DMARC الحالية، RFC 9989، سياسة النطاق بالمصادقة المتوافقة ومتابعة المعلومات الراجعة وإصلاح مشكلات الإرسال المشروع. ويشمل تعريف مالك النطاق فيها مزوّدين يعملون نيابة عن عملائهم. لذلك يجوز تفويض هذه الأعمال؛ ولا تفرض المواصفة واجباً قانونياً لا يمكن إسناده إلى طرف آخر.

قد تكون قيمة الخدمة المُدارة في جمع هذه المهام بالذات. لكن تشغيل الصناديق، وإدارة DNS، وتحليل التقارير، والموافقة على تغيير السياسة، ليست عملاً واحداً بالضرورة. قد تتوزع بين فرق أو عقود مختلفة. اسم المزوّد لا يحدد هذا التوزيع.

كذلك لا تعني سياسة p=none الإهمال تلقائياً. توصي RFC 9989 بالبدء بها لاكتشاف المرسلين المشروعين الذين أُغفلوا ومعالجة مشكلات المصادقة قبل طلب إجراءات أشد. وقد تحتاج الرسائل النادرة إلى مدة رصد أطول.

غياب عنوان للتقارير لا يثبت غياب أي مراقبة أخرى. ووجوده لا يثبت وصول التقارير أو قراءتها؛ إذ تتضمن RFC 9990 شروطاً لاعتماد الوجهات الخارجية وتسليم التقارير. السجل العام لا يعرض طريقة العمل داخل المؤسسة.

اتفاق التشغيل لا يكتبه البروتوكول

يساعد التمييز الذي يطرحه Lu Heng بين مواصفة مشتركة محدودة وقرارات محلية على فهم الحالة. هذا إطار تحليلي للمقال، وليس شرطاً إضافياً صادراً عن IETF. فالقواعد المشتركة تتيح التعاون، لكنها لا توزع بنود كل عقد.

ليست الخلاصة إعادة كل البريد إلى المؤسسة. المطلوب توضيح ما إذا كان تحديث قائمة المرسلين، وفحص التقارير، وتعديل DNS، واعتماد السياسة مشمولاً في الخدمة، أو باقياً لدى العميل، أو مسنداً بعقد آخر. يمكن للاستعانة بمزوّد أن تخفف العبء حين ينتقل العمل المستمر معه ضمن نطاق واضح.

المصادر