الرئيسية › المدونة › معيار أمان البريد الإلكتروني في التكنولوجيا المالية 2026: كيف تضبط 478 شركة DMARC وSPF وغيرهما
فحصنا سجلات البريد لدى 478 شركة تكنولوجيا مالية مصنّفة. 97.5% تنشر DMARC، و46.7% تطبّق p=reject، و16.5% لا تطبّق أصلاً. البيانات كاملة حسب القطاع والمنطقة
بقلم Moe Alhosni · نُشر في 30 أكتوبر 2026 · 9 دقائق قراءة
هذه النسخة العربية من صفحة منشورة بالإنجليزية. النص الأصلي: Fintech email security benchmark 2026: how 478 fintechs set up DMARC, SPF and more
الإجابة المختصرة: في 30 أكتوبر 2026 فحصتُ سجلات البريد الإلكتروني لدى 478 شركة تكنولوجيا مالية وخدمات مالية مأخوذة من أربعة تصنيفات علنية. 97.5% منها تنشر سجل DMARC، لكن 46.7% فقط تضبطه على p=reject، وهو الإعداد الذي يطلب من الخوادم المستقبِلة رفض البريد المزوَّر. وشركة من كل ست (16.5%، أي 79 نطاقاً) إما بلا DMARC أصلاً أو تقف عند p=none، وهو إعداد يطلب من المستقبِل ألا يفعل شيئاً بالبريد الذي يفشل في التحقق. و8.4% فقط تنشر MTA-STS، وهو السجل الذي يمنع قراءة البريد المرسَل إليها أثناء انتقاله.
الفحص نفسه منح 72.4% من هذه النطاقات الدرجة A في أداة فحص إعدادات البريد المجانية لدينا (بالإنجليزية). إذن معظم القطاع أنجز الأساسيات. الثغرات في الخطوة الأخيرة، وهي غير موزّعة بالتساوي. شركات الإقراض وشركات تكنولوجيا التأمين (insurtech) وشركات التكنولوجيا المالية في الشرق الأوسط متأخرة؛ والبنوك الرقمية وشركات العملات المشفّرة في المقدّمة.
أنا Moe Alhosni (مو الحسني)، مؤسس ROI Maximizer. أدير حملات التواصل الصادر (outbound) بين الشركات (B2B)، وقبل ذلك أمضيت 4 سنوات و7 أشهر في موديز (Moody's) في لندن أبيع للبنوك ومديري الأصول. أجريت هذه الدراسة لأن السجلات نفسها تحسم أمرين يهمّان أي شركة تكنولوجيا مالية: هل يصل بريدها هي، وهل يستطيع أحد أن يرسل بريداً يبدو كأنه صادر منها. في ما يلي: المنهجية، والأرقام حسب القطاع والمنطقة، ومقارنتها بالمعايير المنشورة، وما يجب فعله بها.
ستة أمور، كلها علنية، ويستطيع أي شخص قراءتها ببحث DNS بسيط.
| السجل | وظيفته | لماذا يجب أن يهتم به أي شركة تكنولوجيا مالية |
|---|---|---|
| MX | يحدد أين يُسلَّم البريد الموجّه إلى النطاق | بلا MX لا تصلك الردود |
| SPF | يسرد الخوادم المسموح لها بالإرسال باسم النطاق | غياب SPF أو خلله يُفشل التحقق |
| DMARC | يخبر المستقبِلين بما يفعلونه بالبريد الذي يفشل في SPF وDKIM، ويرسل تقارير | p=reject هو ما يمنع فاتورة أو طلب دفع مزوَّراً من الوصول إلى صندوق الوارد |
| DKIM | يوقّع كل رسالة بمفتاح منشور في DNS | تشترطه Gmail وYahoo على المرسِلين بكميات كبيرة، وهو ضروري لنجاح DMARC عند إعادة توجيه البريد |
| BIMI | يعرض شعار العلامة التجارية بجانب البريد الموثَّق | لا يعمل إلا فوق سياسة DMARC مطبَّقة |
| MTA-STS | يطلب من خوادم البريد الأخرى استخدام اتصالات مشفّرة وموثّقة عند تسليم البريد إليك | من دونه يمكن خفض البريد المرسَل إليك إلى نص غير مشفّر أثناء انتقاله |
منذ 2024 تشترط Gmail وجود SPF أو DKIM لدى كل مرسِل، ووجود DMARC لدى كل من يرسل أكثر من 5,000 رسالة يومياً إلى حسابات Gmail (إرشادات Google للمرسِلين). والحد الأدنى لديها هو p=none. هذا حد أدنى لقابلية وصول الرسائل إلى صندوق الوارد، لا حد أدنى للأمان. أما الحكومة الفيدرالية الأمريكية فوضعت معيارها الخاص عند p=reject لكل نطاقات الوكالات منذ 2017 (توجيه وكالة الأمن السيبراني وأمن البنية التحتية (CISA) رقم BOD 18-01).
| المقياس | النسبة من 478 نطاقاً |
|---|---|
| ينشر سجل DMARC | 97.5% |
| DMARC على p=reject | 46.7% |
| DMARC على p=quarantine | 36.8% |
| DMARC على p=none | 14.0% |
| لا يوجد سجل DMARC إطلاقاً | 2.5% |
| لا يطبّق (بلا DMARC أو p=none) | 16.5% |
| يطبّق مع ثغرة (pct أقل من 100، أو sp=none يترك النطاقات الفرعية مفتوحة) | 6.5% |
| تقارير DMARC مفعّلة (rua=) | 91.0% |
| سجل SPF واحد | 100% |
| SPF ينتهي بـ -all (رفض صارم) | 52.3% |
| SPF ينتهي بـ ~all (رفض مخفَّف) | 46.9% |
| SPF فوق حد الـ10 عمليات بحث (تقدير) | 4.8% |
| مفتاح DKIM موجود على 10 محددات (selectors) شائعة (حد أدنى) | 96.4% |
| سجل BIMI | 27.6% |
| BIMI مع شهادة علامة موثّقة (الوسم a=) | 23.0% |
| سجل MTA-STS | 8.4% |
| سياسة MTA-STS مضبوطة على enforce | 4.0% |
| سجل تقارير TLS (TLS-RPT) | 9.2% |
ثلاثة أمور تلفت النظر.
DMARC شبه عام؛ التطبيق ليس كذلك. تقريباً الجميع لديه السجل. لكن 83.5% فقط تضبطه على quarantine أو reject، و77.0% فقط تطبّقه دون أي ثغرة مفتوحة. والـ6.5% التي تطبّق "مع ثغرة" إما تطبّق السياسة على جزء فقط من البريد الفاشل (وكان pct=10 شائعاً) أو تستثني كل النطاقات الفرعية عبر sp=none. وفي الحالتين يبقى طريق للانتحال تُخفيه السياسة الرئيسية.
SPF ينكسر بصمت. 4.8% من النطاقات تحتاج إلى أكثر من عشر عمليات بحث DNS لتقييم سجل SPF. ويضع RFC 7208 الحد عند عشر (القسم 4.6.4). بعد تجاوز الحد، تُرجع الخوادم المستقبِلة التي تحسب بالطريقة نفسها خطأً، فيفشل SPF لبريد كان يجب أن ينجح. كل أداة إضافية للتسويق أو الدعم أو الفوترة تضيف include. ولا ينتبه أحد حتى يصل تذكير بالدفع إلى مجلد الرسائل غير المرغوب فيها.
طبقة النقل مكشوفة في معظمها. نسبة MTA-STS (RFC 8461) هي 8.4%، وأقل من نصف هذه النطاقات تجاوز وضع الاختبار. وبالنسبة إلى شركات تستقبل صناديق بريدها تفاصيل حسابات بنكية ووثائق اعرف عميلك (KYC) وعقوداً، هذا أضعف رقم في المجموعة كلها.
الدرجة تأتي من الكود نفسه الذي يشغّل /tools/email-setup-checker، دون أي تعديل. كل من MX وSPF وDMARC يحصل على نجاح أو تحذير أو فشل. والدرجة محكومة بأسوأ نتيجة، لا بالمتوسط: تحذير واحد يعني B، وتحذيران C، وفشل واحد D، وفشلان F. أما DKIM فنعرضه ولا ندخله في الدرجة أبداً، لأن المفتاح الذي لا نجده قد يكون موجوداً مع ذلك.
| الدرجة | النسبة |
|---|---|
| A | 72.4% |
| B | 24.3% |
| C | 0.8% |
| D | 2.5% |
| F | 0% |
من بين 116 درجة B، كانت 94 بسبب DMARC (66 عند p=none، والباقي يطبّق مع ثغرة) و22 بسبب SPF (فوق حد عمليات البحث، أو نهاية محايدة ?all). أما الدرجات D وعددها 12 فكانت كلها لنطاقات بلا سجل DMARC.
القطاعات تتبع التصنيفات التي تستخدمها قوائم المصادر. كانت المجموعات التي تقل عن 20 نطاقاً ستُحجب؛ ولم تكن أي مجموعة كذلك.
| القطاع | n | ينشر DMARC | p=reject | p=quarantine | p=none | لا يطبّق | الدرجة A |
|---|---|---|---|---|---|---|---|
| المدفوعات | 131 | 96.9% | 41.2% | 40.5% | 15.3% | 18.3% | 71.8% |
| الإقراض والتمويل البديل | 71 | 95.8% | 39.4% | 35.2% | 21.1% | 25.4% | 63.4% |
| الثروات والاستثمار والتداول | 73 | 98.6% | 47.9% | 39.7% | 11.0% | 12.3% | 78.1% |
| تكنولوجيا التأمين (insurtech) | 43 | 95.3% | 34.9% | 39.5% | 20.9% | 25.6% | 60.5% |
| التكنولوجيا المالية للمؤسسات (التكنولوجيا التنظيمية، والبيانات، والبنية التحتية المصرفية، والبرمجيات المالية) | 80 | 98.8% | 52.5% | 36.3% | 10.0% | 11.3% | 71.3% |
| البنوك الرقمية والخدمات المصرفية كخدمة (BaaS) | 48 | 97.9% | 62.5% | 25.0% | 10.4% | 12.5% | 79.2% |
| العملات المشفّرة والأصول الرقمية | 32 | 100% | 59.4% | 34.4% | 6.3% | 6.3% | 90.6% |
شركات العملات المشفّرة والبنوك الرقمية هي الأكثر إحكاماً. وهذا منطقي: كلاهما هدف متكرر لانتحال الهوية، وعملاؤهما يتوقعون هذا المستوى. أما شركات الإقراض وتكنولوجيا التأمين فهي الأضعف. شركة من كل أربع ما زالت لا تطبّق DMARC. والقطاعان يرسلان كميات كبيرة من بريد العملاء المتعلق بالمال، وهو تحديداً ما يريد المحتال تقليده.
ويتبع BIMI النمط نفسه: تنشره 43.8% من البنوك الرقمية و40.6% من شركات العملات المشفّرة، مقابل 12.7% من شركات الإقراض و16.3% من شركات تكنولوجيا التأمين.
المنطقة هي بلد الشركة كما تذكره قائمة المصدر.
| المنطقة | n | ينشر DMARC | p=reject | p=quarantine | p=none | لا يطبّق | الدرجة A |
|---|---|---|---|---|---|---|---|
| الولايات المتحدة | 158 | 99.4% | 52.5% | 34.2% | 12.7% | 13.3% | 77.8% |
| المملكة المتحدة | 147 | 99.3% | 46.3% | 40.8% | 12.2% | 12.9% | 73.5% |
| الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية وسويسرا | 42 | 92.9% | 45.2% | 38.1% | 9.5% | 16.7% | 73.8% |
| الشرق الأوسط وشمال أفريقيا | 52 | 94.2% | 30.8% | 32.7% | 30.8% | 36.5% | 51.9% |
| آسيا والمحيط الهادئ | 50 | 94.0% | 42.0% | 42.0% | 10.0% | 16.0% | 70.0% |
| كندا وأمريكا اللاتينية وأفريقيا | 29 | 96.6% | 55.2% | 27.6% | 13.8% | 17.2% | 75.9% |
الولايات المتحدة والمملكة المتحدة متقاربتان. وفي أوروبا خارج المملكة المتحدة نسبة أعلى من الشركات بلا أي سجل DMARC (7.1%)، ولهذا فإن نسبة "ينشر" فيها هي الأدنى. والشرق الأوسط هو الاستثناء: أكثر من ثلث شركات التكنولوجيا المالية المصنّفة في المنطقة لا تطبّق DMARC، وأقل من واحدة من كل عشر تنشر BIMI. أما آسيا والمحيط الهادئ فلديها أعلى نسبة من سجلات SPF فوق حد عمليات البحث (10%).
| المجموعة | ينشر DMARC | quarantine أو reject | المصدر |
|---|---|---|---|
| تصنيفات التكنولوجيا المالية (هذه الدراسة)، n=478 | 97.5% | 83.5% | ROI Maximizer، 30 أكتوبر 2026 |
| Fortune 500 | 95% | أكثر من 80% | تقرير EasyDMARC لعام 2026، نُشر في 23 مارس 2026 |
| Fortune 500 | غير مذكور | 81.2% | دليل Red Sift العالمي لـ DMARC، حُدِّث في يناير 2026 |
| FTSE 100 | غير مذكور | 74% | Red Sift، كما سبق |
| الشركات الخاضعة لهيئة الأوراق المالية والبورصات الأمريكية (SEC) (14,286) | غير مذكور | 30.8% | Red Sift، كما سبق |
| أعلى 1.8 مليون نطاق | 52.1% | 22.9% | EasyDMARC، كما سبق |
شركات التكنولوجيا المالية المصنّفة على مستوى Fortune 500 نفسه في التطبيق، ومتقدمة على FTSE 100. وهي متقدمة كثيراً على الشريحة الأوسع من الشركات الخاضعة لرقابة SEC، حيث وجدت Red Sift أن أقل من الثلث يطبّق. ووجدت EasyDMARC أن 8.9% من أعلى 1.8 مليون نطاق تجمع بين p=reject وتقارير DMARC. وفي هذه العيّنة النسبة 44.6%.
اقرأ هذه المقارنة بحذر. الدراسات الأخرى تستخدم عيّنات وتواريخ وتعريفات مختلفة، وهذه شركات من قوائم الجوائز: أكبر حجماً وأفضل تمويلاً وأكثر ظهوراً من شركة التكنولوجيا المالية المتوسطة. والرقم الخاص بـ"التكنولوجيا المالية" عموماً أسوأ على الأرجح بكثير.
إذا كنت تبيع للبنوك أو شركات التأمين أو مديري الأصول، فنطاقك يُفحص قبل أن يُقرأ بريدك. أربع نقاط عملية.
أما هل تواصلك الصادر قانوني فمسألة منفصلة عن وصوله. القواعد بلداً بلداً موجودة في هل البريد الإلكتروني البارد (cold email) قانوني للخدمات المالية (بالإنجليزية).
سجلات البريد جزء صغير من مراجعة أمان المورّد. لكنها أيضاً من الأشياء القليلة التي يستطيع البنك التحقق منها من الخارج في أقل من دقيقة، دون أن يسأل المورّد أي شيء.
بالنسبة إلى الكيانات المالية في الاتحاد الأوروبي، جعل قانون المرونة التشغيلية الرقمية (Digital Operational Resilience Act، DORA) إدارة مخاطر الأطراف الثالثة في تقنية المعلومات والاتصالات التزاماً رسمياً اعتباراً من 17 يناير 2025 (اللائحة (EU) 2022/2554). القانون لا يذكر DMARC بالاسم. لكن المورّد الذي سيراسل موظفيك بشأن المدفوعات أو تسجيلات الدخول أو تغييرات العقود، ونطاقه ما زال قابلاً للانتحال، يمثّل خطراً يستطيع فريقك رؤيته اليوم. هذه معلومات عامة وليست استشارة قانونية؛ راجع فريق الامتثال لديك أو مستشارك القانوني.
فحص سريع من الخارج لمورّد تكنولوجيا مالية:
في هذه العيّنة، 16.5% من شركات التكنولوجيا المالية المصنّفة ستفشل في البند الأول. وإذا كنت تبيع للبنوك بنفسك، فإن كيف تبيع للبنوك وتجربتك التجريبية الأولى مع بنك يغطيان بقية المراجعة.
المصادر. أربعة تصنيفات علنية، قُرئت كلها في 30 أكتوبر 2026:
العيّنة. 550 إدراجاً في القوائم. استُبعد 13 منها لأنني لم أستطع التأكد من نطاق الشركة. ودُمجت الشركات المكررة بين القوائم، فبقي 482 نطاقاً. واستُبعدت أربعة أخرى لأن نطاق الويب المدرج كان مركوناً (parked) أو لا يستقبل أي بريد، أي أن الشركة ترسل بريدها بوضوح من مكان آخر. وبذلك n = 478.
النطاقات. النطاق الرئيسي لموقع كل شركة، طابقته يدوياً وتحققت منه على الموقع المباشر. قد ترسل الشركة جزءاً من بريدها من نطاقات فرعية أو نطاقات أخرى؛ وهذه لم تُفحص.
القطاعات والمناطق. القطاعات السبعة الخاصة بـ CNBC حين تكون الشركة من قائمة CNBC. وفي قائمتي Forbes أسندتُ لكل شركة أقرب القطاعات السبعة نفسها. والمنطقة هي البلد الذي تذكره قائمة المصدر.
عمليات البحث. عبر DNS-over-HTTPS العلني: محلِّل Cloudflare، ومحلِّل Google كبديل احتياطي، بحد أقصى ثمانية طلبات متزامنة. التقييم يستخدم الكود نفسه الذي تستخدمه أداة الفحص المجانية. وبحثتُ عن DKIM على عشرة محددات شائعة: google وselector1 وselector2 وdefault وk1 وs1 وs2 وresend وmail وdkim. وقُرئ BIMI عند default._bimi، وMTA-STS عند _mta-sts وملف سياسته، وTLS-RPT عند _smtp._tls. وأعاد كل نطاق نتيجة كاملة ومقيَّمة.
الحدود. لقطة يوم واحد؛ والسجلات تتغير. DKIM حد أدنى: يمكن لمزوّد الخدمة استخدام أي اسم محدِّد، ولا توجد في DNS طريقة لسردها. وعدد عمليات البحث في SPF تقدير، وهو التقدير نفسه الذي تعرضه الأداة. ووجود السجل ليس دليلاً على كيفية التعامل مع البريد فعلياً. وقوائم الجوائز تميل إلى الشركات الأكبر، لذا فهذه أفضل صورة ممكنة للقطاع. لم تُذكر أي شركة بالاسم ولم تُنشر أي درجة فردية؛ والنتائج معروضة فقط لمجموعات من 20 شركة أو أكثر.
البيانات. الجداول الإجمالية متاحة مجاناً للتنزيل وإعادة الاستخدام مع ذكر المصدر (CC BY 4.0): fintech-email-security-benchmark-2026.csv. لأي سؤال عن المنهجية أو غيرها، راسلني على moe@roimaxi.com. ويمكن للصحفيين تنزيل الرسوم البيانية (SVG وPNG)، وصحيفة حقائق من صفحة واحدة، والبيان الصحفي من الملف الصحفي.
أداة فحص إعدادات البريد تُجري الفحوصات نفسها في متصفحك خلال نحو عشر ثوانٍ. لا يُخزَّن أي شيء. وتعرض كل سجل، والدرجة، والقيمة الدقيقة التي يجب نشرها إذا كان شيء ما ناقصاً. وإذا كنت تبيع للمؤسسات المالية، فالصورة الأوسع موجودة في مركز الخدمات المالية وفي توليد العملاء المحتملين لشركات التكنولوجيا المالية.
إذا كانت وكالة أو فريق مندوبي تطوير مبيعات (SDR) سيرسل البريد نيابة عنك، فاسأل ثلاثة أسئلة أولاً.
Moe Alhosni، المؤسس، ROI Maximizer (M Ventures LTD, 4 Beau Street, Bath BA1 1QY). احجز 30 دقيقة أو راسلني على moe@roimaxi.com.
عن الكاتب: Moe Alhosni (مو الحسني)، مؤسس ROI Maximizer. قبل ذلك أمضى أربع سنوات ونصفاً في المبيعات لدى Moody's في لندن، وكان آخر مناصبه مديراً مساعداً للمبيعات (Assistant Director, Sales)، يعمل مع البنوك ومديري الأصول وشركات الاستثمار الخاص. وهو من يدير الحملات التي تقوم عليها البيانات المباشرة المنشورة في هذا الموقع. LinkedIn
بعد Moody's شغل منصب مدير المبيعات (Sales Director) في Coinshift، وهي شركة لإدارة الخزينة في Web3 (2024). وقبل Moody's عمل في BLOM Bank France في لندن في التسويات وخدمة العملاء، بما في ذلك تحديث سجلات مكافحة غسل الأموال واعرف عميلك (AML/KYC). المسيرة المهنية كاملة (بالإنجليزية)
ROI Maximizer is a trading name of M Ventures LTD, registered in England and Wales, company no. 15554493. Registered office: 4 Beau Street, Bath BA1 1QY, United Kingdom. moe@roimaxi.com
© 2024–2026 M Ventures LTD. Privacy notice