في 8 أبريل 2026، نشرت شركة أمن البلوكتشين TrustNFT.io الموجودة في ميامي ورقة عمل تقنية تؤكد أن (DMARC) (المصادقة والإبلاغ والامتثال المستند إلى النطاق) يترك ثلاث فجوات حرجة في أمان البريد الإلكتروني للشركات لا يمكن لأي مقدار من الإعدادات أن يسدها. تستهدف الورقة المعنونة "فجوة المصادقة: لماذا DMARC وحده غير كافي" قادة أمن تكنولوجيا المعلومات والرئيس التنفيذي لأمن المعلومات وإدارة المخاطر، وتجادل بأن التحقق من النطاق المرتكز على البلوكتشين هو طبقة الثقة الموجهة للمستهلك التي لا يمكن لمكدس المصادقة الموجود توفيرها. بالنسبة لمتخصصي التسويق عبر البريد الإلكتروني والفرق القائمة على النمو الذين يعتمدون على البريد الإلكتروني كقناة إيرادات، فإن النتائج لها آثار مباشرة على القابلية للتسليم وثقة العلامة التجارية وعائد الحملات.
الفجوات الثلاث التي لا يستطيع DMARC سدها
الفجوة الأولى هي هجمات النطاقات المزيفة. يحمي DMARC النطاق المسجل بالضبط فقط ولا يوفر أي حماية ضد رسائل البريد الإلكتروني المرسلة من عناوين مزيفة يسجلها المجرمون لانتحال هويات العلامات التجارية الرئيسية. أكد باحثو الأمن هذا بشكل مستقل، مشيرين إلى أنه حتى مع المصادقة الصحيحة والفرض، فإن DMARC فعال فقط ضد الانتحال المباشر للنطاق ولا يمكنه منع النطاقات المزيفة أو النطاقات الشقيقة.
في فترة مراقبة واحدة مدتها 30 يوما، أبلغ مستخدمو TrustNFT Guardian عن التصيد الاحتيالي من أربعة نطاقات مزيفة منفصلة تستهدف شركة خدمات واحدة رئيسية، وجميعها اجتازت مصادقة DMARC لنطاقاتها الاحتيالية الخاصة. تفاصيل هذا مهمة: اجتاز فحص DMARC لأن النطاق الاحتيالي كان لديه سجلات صحيحة خاصة به. عمل البروتوكول بالضبط كما هو مصمم، لكن هجوم التصيد الاحتيالي نجح على أي حال.
الفجوة الثانية هي غياب أي إشارة ثقة مرئية للمستهلك. يعمل DMARC بالكامل في الخلفية. حتى عندما يكون لدى الشركة فرض DMARC مثالي، لا يرى المستهلكون أي شارة أو مؤشر أو تأكيد مرئي بأن البريد الإلكتروني أصيل، تاركا لهم لا توجد طريقة للتمييز بين بريد إلكتروني متوافق مع DMARC ومحاكاة احترافية.
الفجوة الثالثة تتعلق بأرقام التبني الخام. وفقا لـ Newswire، تؤكد الورقة البيضاء أن أقل من 50% من شركات Fortune 500 نشرت أي سجل DMARC، وأقل من 30% لديها المعيار المكون على مستوى فرض الحماية الأكثر حماية.
ما تظهره البيانات الأوسع
صورة التبني أكثر تعقيدا مما تقترحه الورقة البيضاء، والبحث الحديث الآخر يستحق الفهم إلى جانبها.
وفقا لـ تقرير EasyDMARC 2026 لتبني وفرض DMARC، وصل تبني Fortune 500 إلى 475 من أصل 500 شركة، مع أكثر من 80% في سياسات على مستوى الفرض. هذا يتعارض مع رقم TrustNFT، على الرغم من أن التناقض ربما ينعكس عندما تم التقاط كل مجموعة بيانات وكيفية تعريف "سجل DMARC صحيح".
حيث توافق كلا المصدرين هو الفجوة الهندسية أسفل Fortune 500. فقط 15.2% من شركات Inc. 5000 وصلت إلى مستوى الفرض p=reject، وأكثر من النصف يجلس على سياسة مراقبة فقط p=none التي توفر الرؤية لكن تتركهم معرضين لهجمات التصيد الاحتيالي. البيانات على مستوى النطاق الأوسع أكثر كآبة: اعتبارا من ديسمبر 2025، فقط 14.9% من النطاقات من عينة من 73.3 مليون طبقت أي سياسة DMARC، وفقط 2.5% فرضت إعداد p=reject الأكثر صرامة، مع 83.9% من جميع النطاقات التي لم تظهر أي سجل DMARC مرئي على الإطلاق، وفقا لـ متتبع تبني DMARC العالمي Red Sift.
كما تلاحظ EasyDMARC في تقريرها لعام 2026، أصبح تبني DMARC منتشرا على نطاق واسع، لكن التبني وحده لا يضمن الحماية. نفذت العديد من المنظمات سجلات DMARC لتلبية المتطلبات التقنية لكنها لم تتقدم إلى سياسات تحجب بنشاط البريد الإلكتروني المنتحل.
بالنسبة لمتخصصي التسويق عبر البريد الإلكتروني، النتيجة العملية حقيقية. تُظهر أبحاث أمان نطاق CSC أن 80% من النطاقات التي تشبه العلامات التجارية Global 2000 يملكها أطراف ثالثة، و 42% من تلك مكونة لإرسال البريد الإلكتروني. عندما يرسل المجرمون رسائل بريد إلكتروني مقنعة تشبه العلامات التجارية وتجتاز فحوصاتهم الخاصة بـ DMARC، فإن المستقبلين الذين يتضررون غالبا ما يتوقفون عن التفاعل مع العلامة التجارية الحقيقية بالكامل.
اقتراح البلوكتشين
تتضمن ورقة عمل TrustNFT خريطة طريق تنفيذ رباعية الطبقات تغطي SPF و DKIM و DMARC والتحقق من البلوكتشين، إلى جانب مقارنة تقنية بما تحميه كل طبقة والثغرات التي تبقى دون معالجة بدون المكدس الكامل.
يشير بحث الشركة إلى أن تنفيذ مكدس المصادقة الكامل مع التحقق من النطاق المرتكز على البلوكتشين يقلل هجمات الانتحال الناجحة بنسبة تصل إلى 67% عند النشر الكامل. يتيح TrustNFT Verify للشركات تسجيل نطاقاتها الموجهة على البلوكتشين من خلال عملية تتطلب إضافة سجل DNS واحد، مع اكتمال التحقق الكامل عادة خلال 48 ساعة.
من الجدير بالملاحظة أن TrustNFT بائع لديه منتج تجاري للبيع. يأتي رقم 67% من بحث الشركة الخاص، والورقة البيضاء بمثابة حجة تقنية وملعب للمنتج. التحقق المستقل من هذا الادعاء غير متاح حتى الآن.
ما يجب على متخصصي البريد الإلكتروني الاستفادة منه
يبقى DMARC أساسا لا يمكن التفاوض عليه. كان متوسط تكلفة الخرق المتعلق بالتصيد الاحتيالي حوالي 4.88 مليون دولار في عام 2025، والمنظمات الأمريكية التي فرضت DMARC على مستوى السياسة قللت من تسليم التصيد الاحتيالي الناجح من 69% إلى 14%، وفقا لـ تقرير EasyDMARC 2025 لتبني DMARC. وحده هذا يبرر الوصول إلى p=reject.
لكن ورقة TrustNFT تسلط الضوء على شيء غالبا ما يغفل عنه متخصصو التسويق: المصادقة غير مرئية للعملاء. عندما يتم انتحال علامتك التجارية عبر نطاق مزيف، لا يستطيع المشتركون لديك التمييز بين الفرق، والضرر الذي يلحق بالسمعة ينزل عليك بغض النظر عن نظافة سجلات DNS الخاصة بك.
الأولويات الفورية لأي فريق تسويق أو نمو واضحة:
- نقل سياسة DMARC الخاصة بك من
p=noneإلىp=quarantineأوp=reject - قم بإعداد
RUAالتقارير المجمعة حتى تتمكن من رؤية من يرسل نيابة عنك - راقب تسجيلات النطاقات المزيفة التي تستهدف علامتك التجارية
- تأكد من أن كل منصة إرسال تابعة لجهات خارجية (ESP أو CRM أو بريد معاملات) مدرجة بشكل صحيح في سجل
SPFالخاص بك وتوقيع معDKIM
ما إذا كان التحقق من البلوكتشين يصبح طبقة سائدة في مكدس ثقة البريد الإلكتروني يبقى أن نرى. ما هو واضح بالفعل هو أن DMARC وحده لم يتم تصميمه أبدا لحل مشكلة انتحال العلامات التجارية على مستوى نظام النطاق البيئي، ومعاملته كحل كامل يترك كلا من عملائك وسمعة المرسل الخاصة بك معرضة للخطر.
