جيميل وياهو وأوتلوك اتّفقوا جميعاً على نفس قواعد البريد الإلكتروني في 2026 — و15٪ فقط من الشركات سريعة النمو تُفعّل الحماية فعلياً

كل عمل يعمل على بريد إلكتروني لا يراقبه أحد حتى يتعطّل: الفاتورة من نظام CRM، الإيصال من الدفع، إعادة تعيين كلمة المرور، تأكيد الحجز، متابعة عرض السعر. لعشرين عاماً كان الافتراض الكامن تحت كل هذا بسيطاً — يستطيع أيٌّ كان إرسال بريد يدّعي أنه من أي نطاق، وكان يصل عادةً، لأن الخادم المستقبِل لم يكن لديه طريقة حقيقية للتحقّق من صدق ذلك الادّعاء. ذلك الافتراض انتهى. في 2026، مزوّدو صناديق البريد الثلاثة الذين يديرون الغالبية الساحقة من صناديق بريد الأعمال في العالم — جيميل وياهو وأوتلوك — يرفضون أو يدفنون بريداً لا يستطيع إثبات مصدره الحقيقي.

هذا التحوّل لم يحدث بين ليلة وضحاها، لكنه تقارب بسرعة. جوجل وياهو تحرّكتا أولاً، وفرضتا قواعد مصادقة المرسلين بالجملة اعتباراً من فبراير 2024. مايكروسوفت تبعتهما على جدولها الخاص — تحذيرات في أغسطس 2025، تطبيق تدريجي في سبتمبر، تطبيق كامل بحلول نوفمبر — و2026 هو العام الذي توقّفت فيه الثلاث عن منح استثناءات لنطاق أكمل جزءاً من الإعداد فقط. العمل الذي لم يُعِد النظر في إعداد بريده منذ إطلاق الموقع لم يعد مُستثنى؛ إنه ببساطة يخسر بريده بصمت.

حجم الفجوة هو الحقيقة الفعلية. تحليل 2026 لـ5.5 مليون نطاق وجد أن حتى DMARC — السجلّ الوحيد الذي يُخبر الخادم المستقبِل بما يفعله فعلياً برسالة منتحَلة — منشور على 30.4٪ منها فقط. ونشره ليس كتفعيله: من بين شركات Inc. 5000، أسرع الشركات المتوسطة نمواً في أمريكا، 76.2٪ لديها سجلّ DMARC، لكن 15.2٪ فقط ضبطته ليمنع أي شيء فعلياً. الـ85٪ الباقية نشرت سياسة وتركتها بلا أنياب. تلك الفجوة — لا هل سمعت بـSPF وDKIM وDMARC، بل هل تفعل شيئاً فعلياً — هي ما يدور حوله هذا المقال.

ابدأ بما تفعله السجلّات الثلاثة فعلياً، لأن الفرق بينها هو بالضبط حيث تقصّر معظم الإعدادات. SPF قائمة: تُخبر الخادم المستقبِل أيّ خوادم بريد مسموح لها بالإرسال باسم نطاقك. DKIM توقيع تشفيري يُرفَق بكل رسالة، يثبت أنها لم تُعدَّل أثناء النقل وأنها فعلاً وُقِّعت من خادم صرّحت له. DMARC هي طبقة السياسة فوق الاثنين — تُخبر الخادم المستقبِل بما يفعله حين تفشل رسالة في اختبار SPF أو DKIM: لا شيء، مجرّد تسجيلها (p=none)، إرسالها إلى البريد المزعج (p=quarantine)، أو رفضها كلّياً (p=reject). يمكن لنطاق أن يملك SPF وDKIM مُعدَّين بشكل مثالي ويبقى مع ذلك مفتوحاً تماماً للانتحال، لأنه من دون DMARC عند p=reject، لا شيء يمنع فعلياً رسالة مزوَّرة من خادم مشابه — إنها فقط تُعلَّم في تقرير لا يقرؤه أحد.

الجدول الزمني للتطبيق هو ما يجعل 2026 العام الذي توقّف فيه هذا عن كونه اختيارياً. إرشادات جوجل الخاصة بالمرسلين تُعرّف المرسل بالجملة بأنه أي جهة ترسل نحو 5,000 رسالة أو أكثر يومياً إلى حسابات جيميل الشخصية، وتشترط SPF ومحاذاة DKIM وسجلّ DMARC، إضافة إلى إلغاء اشتراك بنقرة واحدة ومعدّل شكاوى بريد مزعج أقل من 0.3٪ — مُطبَّقة منذ فبراير 2024، وياهو تعكس السقف نفسه ^[1]. مايكروسوفت وصلت إلى القواعد نفسها بجدول مختلف: التحذيرات للمرسلين بحجم كبير بدأت في أغسطس 2025، والتطبيق التدريجي عبر سبتمبر، ووصل لتطبيقه الكامل في نوفمبر 2025، مع رفض البريد غير المتوافق إلى عناوين Outlook.com وHotmail الآن رفضاً كاملاً برسالة الخطأ "550 5.7.515 — النطاق المرسِل لا يستوفي مستوى المصادقة المطلوب" ^[2]. بحلول 2026 تقاربت الشركات الثلاث التي كانت متباينة في هذا الشأن على سقفٍ واحد فعلياً، ويصف متتبّعو الصناعة 2026 بأنه العام الذي توقّف فيه مزوّدو صناديق البريد عن التسامح مع إعدادات جزئية أو حالات حديّة كانوا يغضّون الطرف عنها ^[5].

أرقام التبنّي تُظهر مدى بُعد معظم النطاقات عن ذلك السقف. تحليل DMARCguard لعام 2026 لـ5.5 مليون نطاق وجد SPF موجوداً على 56.0٪، وDMARC على 30.4٪، وDKIM — الأقل تبنّياً من الثلاثة رغم أنه الذي يمنع تعديل الرسالة أثناء النقل — على 22.7٪ فقط ^[3]. هذا يعني أن غالبية النطاقات التي ترسل بريداً اليوم ليس لديها أي سجلّ يُوجّه خادماً مستقبِلاً بما يفعله برسالة مزوَّرة تحمل اسمها.

وحتى حين يكون DMARC موجوداً، غالباً ما يكون رمزياً فقط. التقرير نفسه يُقسّم التبنّي حسب حجم الشركة: نطاقات Fortune 500 — أكبر الشركات وأكثرها موارد — منشورة بنسبة 95٪ ومُفعَّلة فعلياً عند p=reject بنسبة 62.7٪. شركات Inc. 5000، أسرع الشركات المتوسطة نمواً في أمريكا وأقرب تطابق لجمهور فلوكا نفسه، منشورة بنسبة 76.2٪ لكن مُفعَّلة بنسبة 15.2٪ فقط ^[3]. الـ85٪ الباقية تقف عند p=none — مراقبة فقط — ما يعني أن فاتورة مزوَّرة تحمل نطاقهم بالضبط تصل إلى صندوق وارد العميل وتبدو شرعية تماماً، ويكتشف المالك الحقيقي الأمر، إن اكتشفه أصلاً، من تقرير إجمالي لم يكن أحد يراجعه.

المصادقة ليست الشيء الوحيد الواقف بين بريد أُرسِل وآخر قُرِئ. معيار صناعي لعام 2026 يضع متوسط معدّل وصول الرسائل لصندوق الوارد عالمياً عند 87.2٪، ما يعني أن واحداً تقريباً من كل سبعة رسائل عمل شرعية لا يصل صندوق الوارد إطلاقاً — مقسّمة بين الهبوط في البريد المزعج (10.5٪) والاختفاء تماماً بلا أثر (6.4٪) ^[4]. معدّل وصول أوتلوك نفسه أقل بشكل ملحوظ من جيميل (75.6٪ مقابل 87.2٪)، فالعمل الذي يستخدم عملاؤه في الغالب عناوين أوتلوك أو هوتميل يبدأ من موقع أضعف قبل أن تدخل المصادقة في الصورة أصلاً.

بالنسبة لعمل صغير أو متوسط، لا شيء من هذا مشكلة بريد تسويقي — إنها مشكلة أنظمة، لأن البريد المعرَّض للخطر فعلياً هو بريد معاملاتي: الفاتورة من نظام المحاسبة، الإيصال من الدفع، تأكيد الموعد من تدفّق الحجز، إعادة تعيين كلمة المرور من بوابة العميل. إن كان النطاق الذي يرسل هذا قد أُعِدّ مرّةً، منذ سنوات، من قِبل من بنى الموقع، ولم يُعَد النظر فيه حين أُضيف نظام CRM أو أداة فوترة لاحقاً، فمن المرجّح جداً أن ذلك المرسل الجديد غائب تماماً عن سجلّ SPF — وبريده هو بالضبط النوع الذي يفشل بصمت، بلا ارتداد يصل أحداً، بلا خطأ يراه إنسان. العميل يفترض ببساطة أن الفاتورة لم تصل قط، أو أسوأ، يفترض أن العمل تجاهله.