DMARC چیست؟ توضیح p=none، quarantine و reject (۲۰۲۶)

منتشرشده 2026-07-01

ارقام تا تاریخ 2026-06-29 · روش‌شناسی نسخهٔ ۷. داده‌های سرشماری تجمیعی در سراسر 261 میلیون دامنهٔ نمره‌گذاری‌شده. DMARC همان سیاست DNS است که به سرورهای دریافت‌کنندهٔ ایمیل می‌گوید با پیام‌هایی که در احراز هویت شکست می‌خورند چه کنند. ببینید چگونه نمره می‌دهیم.

DMARC همان دستوری است که تعیین می‌کند یک ایمیل جعلی به نام شما رد شود، قرنطینه شود، یا مثل یک ایمیل عادی تحویل داده شود. این دستور سه تنظیم دارد — none، quarantine، reject — و تنها دو تنظیم آخر واقعاً از شما محافظت می‌کنند. در میان 261 میلیون دامنه، تنها 10.59٪ حالت اعمال را فعال کرده‌اند. بیشتر بقیه یا هیچ رکوردی منتشر نمی‌کنند (75.11٪) یا رکوردی صرفاً پایشی دارند که شبیه محافظت به نظر می‌رسد اما جلوی هیچ چیز را نمی‌گیرد (14.29٪). در ادامه کارکرد هر سیاست را می‌بینید.

سه سیاست DMARC چه معنایی دارند

DMARC، SPF و DKIM را به نشانی «From» قابل‌مشاهده پیوند می‌دهد و به دریافت‌کنندگان می‌گوید در صورت شکست چه کنند:

p=none (فقط پایش) — «بگذار عبور کند، اما برایم گزارش بفرست.» به‌عنوان یک گام اول موقت برای دیدن اینکه چه کسانی به نام شما ایمیل می‌فرستند مفید است. این تنظیم جعل‌ها را مسدود نمی‌کند. 14.29٪ از همهٔ دامنه‌ها اینجا قرار دارند — رایج‌ترین پیکربندی نادرست، چون در یک بازرسی سرسری قبول می‌شود در حالی که در را باز نگه می‌دارد.
p=quarantine — «ایمیل شکست‌خورده را به هرزنامه بفرست.» محافظت واقعی. 5.28٪ از دامنه‌ها از آن استفاده می‌کنند.
p=reject — «ایمیل شکست‌خورده را کاملاً رد کن.» قوی‌ترین تنظیم. 5.31٪ از دامنه‌ها از آن استفاده می‌کنند.

quarantine و reject در کنار هم — دو سیاست اعمال‌کننده — تنها 10.59٪ از دامنه‌ها را پوشش می‌دهند. تنها 8.89٪ گزارش‌های تجمیعی (rua) را جمع‌آوری می‌کنند که به شما می‌گوید چه کسی به نام شما ایمیل می‌فرستد.

«DMARC منتشر کردیم» با «DMARC را اعمال می‌کنیم» یکی نیست

این همان دام است. انتشار یک رکورد حس خط پایان را می‌دهد، اما رکورد p=none مثل یک دتکتور دود بدون باتری است — مشاهده می‌کند، اما عمل نمی‌کند. و اشتباه‌های تایپی بی‌سروصدا شما را به هیچ سیاستی تنزل می‌دهند: 48,648 دامنه (0.07٪ از رکوردهای DMARC) یک توکن سیاست دارند که دریافت‌کنندگان نمی‌توانند آن را بخوانند — غلط‌های املایی مثل quarentine یا زبان اشتباه — بنابراین مثل نبود سیاست تلقی می‌شود. ببینید چرا p=none محافظت نیست و اشتباه‌های تایپی DMARC.

چگونه DMARC را تنظیم کنم؟

آن را به ترتیب انجام دهید — اعمال کردن پیش از آنکه SPF و DKIM محکم باشند، ایمیل خودتان را برمی‌گرداند:

ابتدا SPF و DKIM را منتشر کنید و مطمئن شوید ایمیل قانونی شما هر دو را قبول می‌کند.
از p=none همراه با rua شروع کنید — رکوردی مانند v=DMARC1; p=none; rua=mailto:you@yourdomain. چند هفته گزارش‌ها را پایش کنید تا هر فرستندهٔ واقعی را شناسایی کنید.
به p=quarantine بروید، سپس پس از آنکه گزارش‌ها تمیز شدند به p=reject. این گام آخر همان مرحله‌ای است که واقعاً جلوی جعل هویت را می‌گیرد. ببینید رفع DMARC.

اعمال بر اساس پسوند دامنه

بالاتر بهتر است — سهمی که واقعاً جلوی جعل را می‌گیرد. تا تاریخ 2026-06-29:

پسوند دامنه	اعمال‌کنندهٔ DMARC
.nl (هلند)	29.43٪
.de (آلمان)	21.38٪
.uk (بریتانیا)	13.42٪
.com	9.50٪
.net	10.08٪
.org	10.01٪
.xyz	5.15٪

حتی قوی‌ترین پسوند بزرگ هم فقط روی اقلیتی از دامنه‌هایش اعمال می‌کند.

پرسش‌های پرتکرار

رکورد DMARC چیست؟ یک رکورد DNS TXT در _dmarc.yourdomain که با v=DMARC1 آغاز می‌شود و مقدار p= آن به دریافت‌کنندگان می‌گوید با ایمیلی که در احراز هویت شکست می‌خورد چه کنند: none، quarantine یا reject.

آیا p=none کافی است؟ نه. p=none فقط پایشی است و جلوی هیچ چیز را نمی‌گیرد. 14.29٪ از دامنه‌ها همین‌جا متوقف می‌شوند و همچنان قابل جعل باقی می‌مانند. تنها quarantine یا reject از شما محافظت می‌کند.

تفاوت quarantine و reject چیست؟ quarantine ایمیل شکست‌خورده را به هرزنامه می‌فرستد؛ reject آن را کاملاً رد می‌کند. reject قوی‌ترین است. تا تاریخ 2026-06-29، 5.28٪ از دامنه‌ها قرنطینه و 5.31٪ رد می‌کنند.

آیا DMARC ایمیل خودم را مسدود می‌کند؟ تنها در صورتی که SPF یا DKIM ابتدا درست تنظیم نشده باشند. به همین دلیل است که از p=none شروع می‌کنید، گزارش‌ها را پایش می‌کنید و پس از آنکه همهٔ فرستندگان واقعی شما قبول شدند، آن را سخت‌گیرانه‌تر می‌کنید.

آیا DMARC رایگان است؟ بله — یک رکورد DNS است. هزینهٔ آن زمانی است که برای پیاده‌سازی ایمن آن صرف می‌شود، نه پول.

DMARC دامنه‌تان را رایگان بررسی کنید

ببینید آیا سیاست DMARC شما واقعاً اعمال می‌شود — به‌صورت خصوصی و فقط برای مالک.

دامنهٔ خود را بررسی کنید ← · رفع DMARC ← · آیا کسی می‌تواند دامنهٔ من را جعل کند؟ ← · چگونه نمره می‌دهیم ← · فقط داده‌های تجمیعی. داده‌ها در اتحادیهٔ اروپا ذخیره و پردازش می‌شوند.