مصادقة البريد
SPF وDKIM وDMARC وMTA-STS وTLS-RPT — الوجود والصياغة والإنفاذ وقوة المفاتيح — إضافةً إلى هل تعرض خوادم البريد STARTTLS وأي سجلات MX معلّقة. أي هل يمكن انتحال نطاقك، وهل يمكن خفض تشفير البريد الوارد إليه إلى نص صريح.
وحدة AthonisOne 07 من 08
الوضع الأمني الخارجي
كل ما يراه العالم منك، مقروءًا من حيث يراه.
كل وحدة أخرى تقرأ داخل البيئة التقنية. أما هذه فتقرأ ما تنشره البيئة للعالم — DNS ومصادقة البريد والشهادات والترويسات التي ترسلها المواقع العامة — وتبيّن أين يمكن انتحال نطاق، وأين يمكن خفض تشفير البريد إلى نص صريح، وأين يسلّم سجلٌّ منسيّ اسمًا إلى غريب. والمستوى الأول لا يحتاج إلا اسم نطاق.
ما الذي تجيب عنه
الأسئلة التي وُجدت هذه الوحدة لتجيب عنها.
- 01 هل يستطيع مهاجم إرسال بريد يبدو صادرًا من نطاقنا؟
- 02 هل DNS لدينا موقَّع ومثبَّت ومفوَّض تفويضًا صحيحًا — وهل توشك التواقيع على الانتهاء؟
- 03 أي شهاداتنا العامة تنتهي خلال الأسبوعين المقبلين، وأيها غير موثوق؟
- 04 هل يفرض كل موقع عام HTTPS ويرسل HSTS؟
- 05 هل تحمي شبكة توصيل المحتوى الخادم الأصلي، أم يمكن بلوغه مباشرةً من حولها؟
- 06 هل ثمة نطاق فرعي يشير إلى مورد أوقفناه يمكن لغيرنا المطالبة به؟
- 07 هل سياسة مكافحة التصيّد التي ضبطناها مطبَّقة فعلًا على أحد؟
ما الذي تفحصه
بالتفصيل.
سلامة إعدادات DNS
قفل المسجِّل، واتساق التفويض، وسلوك خوادم الأسماء، وسجلات CAA، وDNSSEC سلسلةً كاملة: موقَّعة، ومثبَّتة عند المسجِّل، وتطابق DS مع المفتاح، وانتهاء التواقيع، وقوة الخوارزمية.
الشهادات وترويسات الويب
لكل اسم مضيف عام: شهادات منتهية أو توشك، وشهادات لا تتسلسل إلى جذر موثوق، وعدم تطابق الأسماء، ومفاتيح ضعيفة، وإصدارات TLS قديمة. وهل يعيد HTTP الصريح التوجيه، وهل يُرسل HSTS فعلًا.
سجلات النطاق وحافة شبكة توصيل المحتوى
برمز Cloudflare: نطاقات فرعية تشير إلى استضافة أُوقفت يمكن لأي أحد إعادة إنشائها، وسجلات CNAME معلّقة، وعناوين خاصة في النطاق العام، ووضع TLS في شبكة توصيل المحتوى نحو الخادم الأصلي، وخوادم أصلية يمكن بلوغها متجاوزةً الوكيل.
وجها مصادقة البريد
اربط Exchange Online فتقرأ الوحدة ما تفعله منصة بريدك نفسها بالبريد — النطاقات المقبولة وتوقيع DKIM، وقواعد تدفق البريد والموصّلات وهل تشترط TLS، والمجالات البعيدة، وسياسات المصادقة، وسياسات مكافحة البريد العشوائي ومكافحة التصيّد ومكافحة البرامج الضارة والروابط الآمنة والمرفقات الآمنة — إلى جانب ما تنشره نطاقاتك، في صفٍّ واحد.
من تصل إليه السياسة فعليًا
قد تكون السياسة مُفعَّلة ومضبوطة وتجتاز التدقيق، ولا تقع في مسار بريد أحد. تبيّن الوحدة من تصل إليه كل سياسة حماية — وتسمّي النطاقات التي يرسل المستأجر بصفتها ولا يراقبها أحد.
نتائج مُصنَّفة
كل نتيجة مع الدليل وراءها، لا مجرد وسم للخطورة.
دليل النتائج
شرح مدمج لكل نتيجة — ما هي، ولماذا تهمّ، وماذا تفعل.
مؤشر الوضع الأمني
يُحتسب من النتائج ويُتتبَّع عبر الزمن.
أدلة الامتثال
نتائج مربوطة بضوابط الأطر التي تُسندها.
كيف تحكم
حيث تمتنع عن الادّعاء الزائد.
الفحص الذي يخمّن يُنتج نتائج زائفة، والنتائج الزائفة تعلّم الفريق تجاهل النتائج الحقيقية. هذه هي المواضع التي تتحفّظ فيها هذه الوحدة.
- البحث الذي لم يُجب يُعرض غير مُقاس، لا سجلًّا غائبًا. وانقطاع خدمة تحليل الأسماء يُنتج فجوة مرئية، لا سيلًا من النتائج الزائفة.
- عرض خادم البريد للتشفير لا يُحكم عليه إلا إذا أجرى محادثة. والذي يرفض الجهاز يُعرض غير مُقاس.
- النطاقات التي لا تستقبل بريدًا لا يُطلب منها MTA-STS ولا TLS-RPT؛ والتي لا تنشر أي بنية بريد لا يُطلب منها DKIM. ويظل SPF وDMARC مطلوبين، ليقولا إن النطاق لا يرسل شيئًا.
- الحكم الذي يحتاج النطاق كله يُحجَب حين يكون الجذر وحده مرئيًا — فكل نطاق يبيّن إلى أي حدّ اكتملت قراءة نطاقه.
- في تثبيت معزول تمامًا تعمل الوحدة دون إعداد، وتُعرض فحوصها غير مُقاسة بدل ادّعاء نتيجة.
ما الذي تقرؤه
متصلة بما تشغّله بالفعل.
- نطاقاتك المتاحة على الإنترنتمصادقة البريد والتفويض وDNSSEC والشهادات وترويسات الويب — دون أي بيانات اعتماد
- Cloudflareسجلات النطاق وحالة DNSSEC وإعدادات أمن الحافة، برمز وصول محدود النطاق للقراءة فقط. ويُرفض مفتاح API العام القديم
- Microsoft Exchange Onlineإعدادات مستأجر البريد فقط، عبر صلاحيات تطبيق للقراءة فقط مع دور Exchange للقراءة فقط
ما لا تفعله أبدًا
الحدّ، معلنًا بوضوح.
- لا تفحص محيطك أبدًا. لا ماسح منافذ، ولا استكشاف شامل، ولا تعداد مسارات — حركة المرور الصادرة الوحيدة هي استعلامات DNS وعمليات البحث في سجلات المسجِّلين والمصافحات مع الأسماء التي تنشرها.
- لا ترسل شيئًا عبر خادم بريد أبدًا. يتوقف فحص خادم البريد عند المصافحة.
- لا تقرأ بريد أحد أبدًا. يُقرأ المستأجر للإعدادات فقط — لا نص رسالة ولا موضوعها ولا مستلمها ولا مرفقها.
- لا تخزّن محتوى الصفحات ولا مواد الجلسات أبدًا، ولا تسلّم قائمة نطاقاتك إلى طرف ثالث.
تُعدّ نتائج هذه الوحدة دليلًا في مجالات ضوابط مصادقة البريد وأمن DNS ودورة حياة الشهادات والتشفير وحماية البيانات أثناء النقل في كل إطار مُفعَّل.
تعمل مع
مجموعة بيانات واحدة، فتجيب الوحدات بعضها عن بعض.
اطّلع على ما ستقوله وحدة الوضع الأمني الخارجي عن بيئتك التقنية.
تُرخَّص وحدها، وعلى المنصة نفسها التي تعمل عليها كل وحدة أخرى. سنُريك الإجابة — وما الذي ستقول إنها لم تستطع قياسه.