نموذج نضج تبني SPF (SPFAMM): مراحل SPF الست (2026)

Q: هل يجب أن أصل إلى -all لأكون آمنًا؟

لا. المرحلة 4 هي أحد طريقين، وليست شرطًا — فإبقاء ~all والفرض عبر DMARC p=reject يصل إلى الحماية نفسها لدى المستقبِلين الذين يُقيّمون DMARC. المطلوب هو الجدار: معرفة كل مرسِل قبل أن يفرض أي شيء التنفيذ.

نُشر 2026-07-03

الأرقام حتى 2026-06-29 · المنهجية الإصدار v7. نموذج مرجعي مدعوم بإحصاء متكرر لـ 261 مليون نطاق مُقيَّم؛ يعيد كل إصدار قياس المجتمع نفسه بحيث يمكن تتبّع الأرقام عبر الزمن. جميع الأرقام إجمالية — نحن لا ننشر أبدًا سجل نشاط تجاري فردي.

في أي مرحلة تقف الإنترنت؟

المرحلة 2.4 من أصل 6. بقياس 261 مليون نطاق، لم يصل النطاق المتوسط بعد إلى سياج SPF فعّال — وتسجّل الإنترنت ككلٍّ 29 من أصل 100 على مقياس قوة SPF. نشر SPF هو أكثر إجراءات أمن البريد الإلكتروني شيوعًا على الإطلاق (53.21% من النطاقات تقوم به)، ومع ذلك فإن معظم تلك السجلات تتوقف عند إعداد يطلب من المستقبِلين تسليم الرسائل المزوّرة على أي حال.

المشكلة ليست في التبني — بل في أن معظم إرشادات النضج تتوقف عند “لقد نشرنا SPF”، وكأن السجل نفسه هو الإنجاز. يمكن لسجل SPF أن يُصرّح للإنترنت بأكملها، أو ألّا يعبّر عن أي رأي، أو أن يُبطل نفسه بهدوء، أو أن يبقى عند softfail إلى الأبد لأن إحكامه يعني عملًا لم يجدوله أحد. النموذج المفيد يسمّي كل حالة من تلك الحالات. وهذا النموذج يفعل: نموذج نضج تبني SPF — SPFAMM، ست مراحل، وخطوة واحدة لكل منها، واسم يمكنك الاستشهاد به. إنه رفيق SPF لـ مراحل نضج DMARC الست.

ما هي مراحل نضج SPF الست؟

كل نطاق من النطاقات المُقيَّمة البالغ عددها 261 مليونًا يقع في مرحلة واحدة بالضبط من المراحل 1–5، وتجمع تلك المجتمعات الخمسة إلى إجمالي الإحصاء بدقة تامة؛ أما المرحلة 6 فهي المجموعة الفرعية المُحصَّنة المعدودة ضمن المرحلة 5. هذا ما يجعل SPFAMM قياسًا وليس مجرد لافتة.

المرحلة	الاسم	النطاقات	الحصة
1	غير محمي	121,145,609	46.4%
2	متساهل أو معطوب	7,798,366	3.0%
3	مُسيَّج بمرونة	70,368,600	27.0%
4	صارم	42,514,532	16.3%
5	متوائم	19,259,125	7.4%
6	مُحصَّن	10,092,481	3.87%

(المرحلة 6 هي المجموعة الفرعية المُحصَّنة من النطاقات المتوائمة في المرحلة 5، لذا فإن المراحل 1–5 تقسّم الإحصاء والمرحلة 6 تقع داخل المرحلة 5.)

المرحلة 1 — غير محمي. لا يوجد سجل v=spf1. لا يتحقق أي مستقبِل من أي شيء؛ وتزوير النطاق على مسار SPF أمر سهل. الخطوة: انشر سجل v=spf1 يسرد المرسِلين الحقيقيين لديك، وينتهي بمُؤهِّل فشل.

المرحلة 2 — متساهل أو معطوب. يوجد سجل لكنه لا يحمي شيئًا. تجمع هذه المرحلة النهايات عديمة الأنياب — ?all المحايد (3.0% من الناشرين) وسجادة الترحيب +all — إلى جانب السجلات المعطوبة: سجلات v=spf1 المتعددة، التي يُبطلها المعيار بالكامل، والسجلات المُجزّأة التي لا تحمل نهاية قابلة للاستخدام. هناك استثناء واحد: نحو 2.1 مليون سجل تنتهي بـ redirect=، وهو تفويض صحيح — سياستها الحقيقية توجد عند الهدف، ونحن نعدّها هنا فقط لأن سجلها الخاص لا يحمل أي حكم. الخطوة: سجل واحد، ونهاية حقيقية واحدة — ~all أو -all.

المرحلة 3 — مُسيَّج بمرونة. ينتهي السجل بـ ~all (softfail) دون أي شيء يفرض التنفيذ خلفه — 70.4 مليون نطاق، وهي أكبر مجتمع بين مراحل نشر SPF كلها. الـ softfail سياج حقيقي ببوابة غير مقفلة: يخبر المستقبِلين أن “البريد الوارد من جهة أخرى مزوّر على الأرجح”، ثم يطلب منهم تسليمه على أي حال. الخطوة: تسلّق الجدار — احسب كل مرسِل، ثم اسلك أيًّا من طريقي الصعود (أدناه).

المرحلة 4 — صارم. ينتهي السجل بـ -all: 42.5 مليون نطاق تنشر رفضًا صريحًا “ارفض الجميع عداي”، دون فرض DMARC خلفه بعد. هناك تحفّظ صادق واحد يقيسه قياسنا الآن كميًّا: سجل -all الذي يتجاوز حدّ العشر عمليات بحث يكون باطلًا مهما بدا صارمًا — 112,215 على الأقل من سجلات -all على الإنترنت في هذه الحالة. الخطوة: ضع سياسة DMARC فارضة للتنفيذ خلف السجل، بحيث يُتّخَذ إجراء تجاه حالات الفشل في كل مكان.

المرحلة 5 — متوائم. SPF — سواء المرن أو الصارم — يقف خلف DMARC بسياسة p=quarantine أو p=reject. هذه هي المرحلة التي يتوقف عندها فعليًّا انتحال نطاقك بالضبط لدى كل مزوّد صناديق بريد رئيسي: 19.3 مليون نطاق، منها 7.1 مليون تقرن ~all بالفرض (النمط الذي توصي به إرشادات Google للمرسِلين) و12.1 مليون تقرن -all به. الخطوة: أضف DKIM وواصل المراقبة — فالسجلات تتعفن.

المرحلة 6 — مُحصَّن. SPF زائد DKIM زائد DMARC فارض للتنفيذ — المجموعة المحمية بالكامل، 10,092,481 نطاق، 3.87% من الإنترنت — إضافةً إلى انضباط مراقبة الانحراف: سلاسل include: تتغيّر، والمزوّدون ينقلون عناوين IP، وأحدهم يوصل أداة جديدة ترسل باسمك. الخطوة: ابقَ هنا. إنها ممارسة، لا شارة.

مسار من لا يرسل بريدًا. يمكن للنطاق الذي لا يرسل أي بريد أن يقفز إلى القمة بتعديل واحد: SPF -all زائد DMARC p=reject. لا شيء مشروع يُحمى يعني لا جدار يُتسلَّق — وهو يغلق أحد أكثر متجهات انتحال الهوية شيوعًا على الإطلاق.

لماذا تتعثر الإنترنت عند المرحلة 3؟

لأن كل خطوة أخرى تقريبًا هي تعديل صغير في DNS، أما الخطوة للخروج من المرحلة 3 فهي عمل: إحصاء كل نظام يرسل باسمك بشكل مشروع — مزوّد صندوق البريد، ومنصة النشرة البريدية، ونظام CRM، وأداة الفوترة، والشيء الذي سجّله التسويق الربيع الماضي — وملاءمتها جميعًا في سجل واحد دون تجاوز ميزانية العشر عمليات بحث. هذا هو الجدار. ~all هو آخر درجة يمكن بلوغها دون القيام بذلك، ولهذا تستقر 70.4 مليون نطاق عندها.

من أعلى الجدار يوجد طريقان للصعود، وكلاهما يصل إلى المرحلة 5:

الإحكام إلى -all (عبر المرحلة 4) — رفض حازم في السجل نفسه. راجع ~all مقابل -all لمعرفة متى يكون هذا هو القرار الصحيح.
إبقاء ~all والفرض عبر DMARC p=reject — الطريق الذي توصي به الآن إرشادات Google ومعظم ممارسات قابلية التسليم، لأنه يحمي بالدرجة نفسها لدى المستقبِلين الذين يُقيّمون DMARC دون ارتداد البريد المُعاد توجيهه.

يُظهر الإحصاء ندرة إكمال أيٍّ من الطريقين: من بين 77.5 مليون سجل softfail، فقط 7.1 مليون — نحو واحد من كل 11 — لديها فرض خلفها.

كيف تُحتسب درجة قوة SPF؟

ببساطة، ونثبّت الأوزان بحيث تكون الدرجة قابلة للمقارنة من شهر إلى شهر: رصيد كامل للنطاقات التي يفرض شيء ما فيها التنفيذ (المرحلتان 5–6)، ونصف رصيد لسياج حقيقي لا يتخذ أحد إجراءً تجاهه (المرحلتان 3–4)، ولا شيء للسجلات الغائبة أو المتساهلة أو المعطوبة. على هذا المقياس تسجّل الإنترنت 29/100 حتى 2026-06-29. ما يقارب نصف المجتمع يسهم بصفر لأنه لا ينشر أي شيء على الإطلاق.

كيف أعرف مرحلة نطاقي؟

المراحل 1–4 قابلة للقراءة مباشرة من سجل DNS الخاص بك؛ والمرحلة 5 تضيف سياسة DMARC لديك؛ والمرحلة 6 تضيف DKIM. الشيء الوحيد الذي لا يمكن لنظرة واحدة أن تخبرك به هو ما إذا كان السجل الصارم قد تجاوز سرًّا حدّ عمليات البحث — وهذا يتطلب تحليل السلسلة، وهو ما يفعله مدقّقنا نيابةً عنك.

الأسئلة الشائعة

ما هو SPFAMM؟ نموذج نضج تبني SPF — النموذج المكوّن من ست مراحل في هذه الصفحة: غير محمي، متساهل/معطوب، مُسيَّج بمرونة، صارم، متوائم، مُحصَّن. مرحلة كل نطاق قابلة للحساب من DNS الخاص به: المراحل 1–5 تقسّم إحصاء الـ 261 مليون نطاق بالضبط، والمرحلة 6 هي المجموعة الفرعية المُحصَّنة ضمن المرحلة 5.

في أي مرحلة تقع معظم النطاقات؟ المرحلة 1 — 46.4% من النطاقات لا تنشر SPF على الإطلاق. ومن بين النطاقات التي تنشر بالفعل، تُعدّ المرحلة 3 (softfail دون فرض) أكثر نقاط الاستقرار شيوعًا، بـ 70.4 مليون نطاق. والمتوسط المرجّح بعدد النطاقات هو المرحلة 2.4.

هل الـ softfail ~all جيد بما يكفي؟ فقط مع سياسة DMARC فارضة للتنفيذ خلفه — هذا الاقتران هو المرحلة 5 والنمط الذي توصي به إرشادات Google للمرسِلين. وبمفرده يكون المرحلة 3: سياج حقيقي، بوابة غير مقفلة. المقارنة الكاملة في ~all مقابل -all.

هل يجب أن أصل إلى -all لأكون آمنًا؟ لا. المرحلة 4 هي أحد طريقين، وليست شرطًا — فإبقاء ~all والفرض عبر DMARC p=reject يصل إلى الحماية نفسها لدى المستقبِلين الذين يُقيّمون DMARC. المطلوب هو الجدار: معرفة كل مرسِل قبل أن يفرض أي شيء التنفيذ.

كم عدد النطاقات التي تكمل المراحل الست جميعها؟ 10,092,481 — 3.87% من الإنترنت — تحمل SPF وDKIM وسياسة DMARC فارضة للتنفيذ معًا. كل انتقال بين المراحل مجاني؛ والتفاصيل في القلة المحمية بالكامل.

تحقّق من موقع نطاقك

يقع نطاقك في مرحلة واحدة بالضبط من هذه المراحل الست، والخطوة التالية معروفة خلال 30 ثانية — مجانًا، وكل إصلاح على طول السلّم هو تغيير في DNS، لا عملية شراء.

تحقّق من نطاقك ← · أصلِح SPF ← · ~all مقابل -all ← · تقرير SPF PermError ← · مراحل نضج DMARC الست ← · بيانات إجمالية فقط. البيانات مُخزّنة ومُعالَجة في الاتحاد الأوروبي.