البريد الاحترافي على نطاقك مع Acrux Mail

نقل بريد شركة من عشرة موظفين إلى نطاقها يمر دون أن تضيع رسالة إن سار بالترتيب الصحيح، ويكلّفك أسبوعاً من الرسائل الضائعة إن بدأ بتغيير سجل MX. الترتيب الصحيح: خطط العناوين، ثم أنشئ الصناديق، ثم أضف سجلات المصادقة وأبقِ البريد الوارد على المزوّد القديم، ثم انسخ البريد القديم، ثم بدّل MX وانسخ ما وصل في أثناء ذلك، ثم تحقق وشدّد. هذا الدليل يمشي معك في هذه الخطوات على البريد الإلكتروني للأعمال من إليفانتي بالشراكة مع Acrux Mail، وينطبق أغلبه على أي خدمة بريد على نطاقك.

01خطط العناوين قبل أن تنشئها

العنوان الذي تطبعه على بطاقة أو فاتورة لا تغيّره بسهولة، فقرر قبل أن تنشئ أول صندوق. لشركة حلويات عائلية اسمها «كنافة عمّان» على النطاق knafeh-amman.com، تبدو الخطة هكذا:

• صيغة واحدة للأسماء: الاسم الأول مثل rana@، أو الاسم والعائلة مثل rana.haddad@. قرر من الآن ماذا تفعل حين يتشابه اسمان، واعتمد طريقة واحدة لكتابة الأسماء العربية بالحروف اللاتينية، فلا يكتب موظف mohammad@ وآخر muhammad@.
• العناوين الوظيفية: sales@ وinfo@ أسماء بديلة توصل إلى أشخاص، وinvoices@ صندوق مشترك يتابعه فريق المحاسبة. هكذا لا يتغير العنوان المطبوع حين يتغير الفريق.
• العناوين التقنية: postmaster@ يشترطه معيار SMTP، وabuse@ يتوقعه من يبلغك عن إساءة، وdmarc@ يستقبل تقارير DMARC. اجعلها أسماء بديلة توصل إلى من يدير البريد.

02سجلات DNS التي تضيفها

كل خدمة بريد على نطاقك تحتاج السجلات نفسها، والذي يتغير قيمها. انسخ القيم الدقيقة من منطقة العملاء بعد التفعيل، فما في الجدول أسماء مثال. والسجل الوحيد الذي يغيّر مسار بريدك الوارد هو سجل MX، لذلك يأتي في آخر الجدول، يوم التبديل:

وثلاث قواعد تمنع أكثر الأخطاء شيوعاً:

• سجل SPF واحد: إن كان موقعك يرسل بريد النماذج من خادمه، فأضف خادمه إلى السجل نفسه، مثل v=spf1 include:spf.mail.example ip4:198.51.100.20 ~all. سجلان يُفشلان التحقق كله، وللسجل حد أقصى من 10 استعلامات DNS.
• DMARC بالتدريج: ابدأ بالسياسة p=none، واقرأ التقارير أسبوعين أو ثلاثة لتتأكد أن كل ما يرسل باسمك ينجح في التحقق، ثم انتقل إلى quarantine ثم reject.
• لا تحذف سجلات المزوّد القديم مبكراً: أبقِ MX القديم حتى يوم التبديل، وأبقِ مفتاح DKIM القديم منشوراً أياماً بعده، فبعض الرسائل الموقّعة به تكون ما تزال في الطريق.

TTL ويوم التبديل

قبل التبديل بيوم على الأقل، خفّض TTL لسجل MX الحالي إلى 300 ثانية. المحلّلات التي حفظت السجل بمدة 3600 أو 86400 ثانية ستسأل عنه من جديد بعد خمس دقائق فقط، فيصل التبديل إلى العالم بسرعة، وتستطيع التراجع بسرعة إن احتجت. وبعد أن يستقر البريد على الخدمة الجديدة، أعد TTL إلى 3600. نشرح كيف تنتشر تغييرات DNS في مقال مستقل على المدونة.

03إعداد برامج البريد

أغلب برامج البريد الحديثة تجد إعداداتها وحدها حين تكتب عنوانك وكلمة المرور، إن كانت سجلات الإعداد التلقائي منشورة. وإن لم تجدها، فهذه القيم القياسية، وأسماء الخوادم الدقيقة في منطقة العملاء:

اسم المستخدم هو العنوان كاملاً، مثل rana@knafeh-amman.com، وخادم الإرسال يطلب المصادقة بكلمة المرور نفسها، ففعّل خيار «خادم الإرسال يتطلب المصادقة» إن سألك البرنامج.

استخدم IMAP لا POP3. يُبقي IMAP الرسائل على الخادم ويزامن المجلدات وحالة المقروء بين الهاتف والحاسوب، أما POP3 فينزّل الرسائل إلى جهاز واحد ويحذفها من الخادم في إعداده الشائع، فتختفي من الهاتف ولا تشملها سياسة الحفظ. ولا ترسل من برامج البريد عبر المنفذ 25: هو منفذ النقل بين الخوادم، وكثير من مزوّدي الإنترنت يحجبونه. منفذا الإرسال 465 و587 صُمّما لهذا، ويشترطان المصادقة.

04نقل البريد من المزوّد القديم

الخطة التي لا تضيع فيها رسالة تنسخ البريد على مرحلتين:

1. 01أنشئ الصناديق الجديدة، وانشر SPF وDKIM وDMARC، وأبقِ MX على المزوّد القديم.
2. 02انسخ البريد القديم كله إلى الصناديق الجديدة. هذه المرحلة الأطول، وتجري والفريق يعمل كالعادة.
3. 03في يوم التبديل غيّر MX إلى الخدمة الجديدة، واطلب من الفريق إضافة الحسابات الجديدة إلى برامجه.
4. 04بعد يوم أو يومين، شغّل النسخ مرة ثانية لينقل ما وصل إلى الصندوق القديم أثناء انتشار التغيير.
5. 05أبقِ الحساب القديم 30 يوماً للقراءة فقط، ثم أغلقه.

وأداة imapsync هي المعيار في نقل البريد بين خادمي IMAP: تنقل المجلدات والرسائل وحالة المقروء، ولا تكرر ما نقلته قبلاً، فتستطيع تشغيلها مرتين بلا قلق. وهي غير موجودة في مستودعات Ubuntu الحالية، فأسهل طريقة لتشغيلها حاويتها الرسمية على Docker:

# ضع كلمة مرور كل حساب في ملف خاص بدل كتابتها في الأمر، مثل old-rana وnew-ranamkdir -p "$HOME/imap-pass" && chmod 700 "$HOME/imap-pass"# التشغيل الأول تجريبي: --dry يعرض ما سيُنقل دون أن ينقل شيئاًdocker run --rm -v "$HOME/imap-pass:/pass:ro" gilleslamiral/imapsync imapsync \  --host1 imap.old-provider.example --user1 [email protected] --passfile1 /pass/old-rana \  --host2 imap.mail.example --user2 [email protected] --passfile2 /pass/new-rana \  --ssl1 --ssl2 --automap --dry# إن بدا الناتج صحيحاً، أعد الأمر نفسه دون --dry، ثم كرره بعد التبديل

صندوق بحجم 10 غيغابايت قد يستغرق ساعات بحسب سرعة الخادمين، فابدأ النسخة الأولى قبل يوم التبديل بيومين أو ثلاثة، وكرر الأمر لكل صندوق.

05التأمين بعد التفعيل

• كلمات المرور: كلمة مرور طويلة وفريدة لكل صندوق، لا تُستخدم في أي خدمة أخرى، ويحفظها مدير كلمات مرور. وفعّل المصادقة متعددة العوامل لكل حساب حيثما أُتيحت.
• قواعد إعادة التوجيه: راجعها في الصناديق كل شهر. المهاجم الذي يسرق كلمة مرور ينشئ عادة قاعدة صامتة تنسخ البريد إلى عنوانه، وتبقى تعمل بعد أن تغيّر كلمة المرور.
• POP3: إن لم يحتجه أحد فلا تضبطه على أي جهاز، فكل بروتوكول لا تستخدمه باب إضافي لتخمين كلمات المرور.
• DMARC حتى reject: بعد أسابيع من التقارير النظيفة، شدّد السياسة إلى quarantine ثم reject، فيُرفض كل من ينتحل نطاقك.

06تحقق من كل شيء

# السجلات كما يراها العالمdig +short MX knafeh-amman.comdig +short TXT knafeh-amman.com | grep spf1dig +short TXT _dmarc.knafeh-amman.com# مفتاح DKIM: استبدل selector بالمحدِّد الذي يظهر في منطقة العملاءdig +short TXT selector._domainkey.knafeh-amman.com# شهادة خادم IMAP وإصدار TLSopenssl s_client -connect imap.mail.example:993 -servername imap.mail.example -brief </dev/null

ثم أرسل رسالة من حسابك الجديد إلى عنوان على Gmail، وافتحها بخيار «إظهار الرسالة الأصلية»: يجب أن ترى PASS أمام SPF وDKIM وDMARC. ولترى وصول سجل MX الجديد إلى العالم استخدم أداة فحص انتشار DNS من إليفانتي، وللتحقق من شهادة خادم IMAP على المنفذ 993 أو خادم الإرسال على 465 استخدم أداة فحص شهادة SSL.

المشكلةرسائل جديدة تصل إلى الصندوق القديم بعد التبديل

الحلمحلّلات ما تزال تحفظ MX القديم حتى تنتهي مدة TTL. انتظر، ثم شغّل imapsync مرة ثانية لنقل ما وصل هناك.

المشكلةالبرنامج يستقبل، والإرسال يُرفض بخطأ مصادقة

الحلفعّل «خادم الإرسال يتطلب المصادقة»، وتأكد أن اسم المستخدم هو العنوان كاملاً وأن المنفذ 465 أو 587 بالتشفير المناسب له.

المشكلةimapsync لا يدخل إلى المزوّد القديم وكلمة المرور صحيحة

الحلكثير من المزوّدين يعطّلون IMAP افتراضياً، أو يشترطون كلمة مرور تطبيق حين تكون المصادقة متعددة العوامل مفعّلة. فعّل IMAP أو أنشئ كلمة مرور تطبيق.

المشكلةتقارير DMARC تُظهر نظام الفواتير يرسل باسمك ويفشل في التحقق

الحلأضف خادمه إلى سجل SPF أو فعّل له DKIM قبل أن تشدّد السياسة، وإلا رُفضت فواتيرك مع رسائل المنتحلين.

07قائمة يوم التفعيل

حين تفعّل الخدمة، امشِ على هذه القائمة بالترتيب، ولا تنتقل إلى بند قبل أن تتأكد من الذي قبله:

1. 01خطة العناوين مكتوبة ومتفق عليها.
2. 02الصناديق والأسماء البديلة والصناديق المشتركة منشأة.
3. 03SPF وDKIM وDMARC منشورة، وTTL لسجل MX مخفّض إلى 300 ثانية.
4. 04النسخة الأولى من البريد القديم منقولة.
5. 05MX مبدّل، وبرامج الفريق مضبوطة على IMAP بالمنفذ 993 وSMTP بالمنفذ 465 أو 587.
6. 06النسخة الثانية منقولة، ورسالة الاختبار تُظهر PASS ثلاث مرات.
7. 07بعد أسابيع: DMARC على reject، والحساب القديم مغلق.

وحتى تفعيل الخدمة، تستطيع أن تنجز البند الأول اليوم، وأن تنشر DMARC بالسياسة p=none على بريدك الحالي. هكذا تصل إلى يوم التبديل وأنت تعرف كل جهة ترسل باسم نطاقك.