نطاق .eg غير موقّع بـ DNSSEC: ماذا تفعل الشركات المصرية لحماية DNS الآن؟
الخلاصة: امتداد الدولة المصري .eg غير موقّع بـ DNSSEC اليوم: لا توجد سجلات DS له في المنطقة الجذرية، ولا يمكن إكمال سلسلة الثقة لنطاقات تحت .eg أو .com.eg عبر الأب. في المقابل، امتداد .مصر (xn--wgbh1c) يحمل DS في الجذر حاليًا. الشركات المصرية تستطيع رغم ذلك تقوية DNS على النطاقات العالمية (مثل .com)، وتفعيل قفل النقل وCAA والمراقبة، وفهم ما يشتريه DNSSEC وما لا يشتريه على النطاقات المصرية اللاتينية.
سؤال يتكرر لدى أصحاب المواقع والعيادات في مصر: هل نطاقنا المصري محمي بـ DNSSEC؟ الجواب المباشر عن نطاق .eg غير موقّع بـ DNSSEC هو أنه كذلك اليوم على مستوى الامتداد الأب. وهذا الدليل عملي: ماذا يعني ذلك، وكيف نفرّق بين حالة .eg وحالة .مصر، وما قائمة التحقق التي تصلح للشركات الصغيرة والمتوسطة من دون وعود بتوقيع وطني قريب، ودون اختراع أسعار أو جداول زمنية للسجل.
ما هو DNSSEC باختصار؟
نظام أسماء النطاقات (DNS) يحوّل الاسم الذي يكتبه الزائر إلى عنوان خادم. وبدون حماية إضافية يمكن في سيناريوهات معينة تزوير إجابات DNS (مثل تسميم الذاكرة المؤقتة)، فيُوجَّه الزائر إلى خادم خاطئ رغم أن شريط العنوان يبدو سليمًا. DNSSEC (امتدادات أمن نظام أسماء النطاقات) يضيف توقيعات رقمية لسجلات DNS حتى يتمكن المحلّل (resolver) الذي يتحقق من صحة الإجابات من رفض الإجابات المزوّرة.
بعبارة قابلة للاقتباس: DNSSEC لا يخفي موقعك ولا يستبدل شهادة SSL؛ هو طبقة تثبت أن إجابة DNS جاءت من المصدر المخوَّل ولم تُعدَّل في الطريق، بشرط أن تكتمل سلسلة الثقة من الجذر حتى نطاقك.
وقد شرحت ICANN الفكرة بوضوح: الجذر موقّع منذ 2010، وكثير من نطاقات المستوى الأعلى العامة وكثير من نطاقات رموز الدول موقّعة، لكن الفعالية الكاملة لسلسلة الثقة تتطلب أن يوقّع الأب أيضًا. ولمن يفضّل العربية يمكن الرجوع إلى مقدمة ICANN العربية عن DNSSEC.
لماذا توقيع الأب مهم؟ سلسلة الثقة
تعمل DNSSEC كسلسلة: الجذر يوقّع ويعلن DS لنطاق المستوى الأعلى، ونطاق المستوى الأعلى يوقّع ويعلن DS للنطاق الفرعي، وهكذا حتى سجلات موقعك. إذا انقطعت الحلقة عند الأب، فحتى لو نشرتَ مفاتيحًا على نطاقك الفرعي فلن تكتمل سلسلة الثقة عبر ذلك الأب لدى المحلّلين الذين يتحققون من المسار الكامل.
لذلك حين يكون .eg نفسه غير موقّع (لا DS في الجذر ولا DNSKEY للامتداد كما يظهر في استعلام DNS العام)، فإن الأسماء تحته مثل example.com.eg لا تحصل اليوم على سلسلة ثقة كاملة عبر الأب .eg. هذا واقع تشغيلي، لا حكم على جودة استضافتك أو شهادة SSL لديك.
الأدلة: نطاق .eg غير موقّع بـ DNSSEC، و.مصر مختلف
ثلاث مصادر عامة تؤكد حالة .eg، ويُضاف إليها تحقق مباشر من DNS:
- جدول ICANN African DNSSEC Roadshow يصنّف .eg (مصر) ضمن «Is unsigned»، ويظهر عمود التاريخ 2026/04/05 بجانب الصف.
- تقرير ISOC Pulse لمصر يذكر حالة DNSSEC: Inactive (2026)، ونحو 9,426 نطاقًا تحت .eg.
- صفحة ويكيبيديا عن .eg تضع DNSSEC: No، وتشير إلى أن السجل تديره شبكة الجامعات المصرية (EUN) تحت المجلس الأعلى للجامعات، وموقع التسجيل domain.eg. وسجل IANA WHOIS لـ EG يذكر المنظمة نفسها وخوادم الأسماء dns-eg.univie.ac.at وfrcu.eun.eg وrip.psg.com، مع تاريخ تغيير 2026-08-04.
تحققنا في 13 أكتوبر 2026 عبر واجهة dns.google: استعلام DS وDNSKEY لاسم eg أعاد صفر إجابات. أما xn--wgbh1c (.مصر) فأعاد سجلّي DS وسجلّي DNSKEY (الخوارزمية 13). أي أن الامتداد العربي في سلسلة موقّعة على مستوى الجذر اليوم، بينما الامتداد اللاتيني .eg ليس كذلك. لا ندّعي أن كل نطاق تحت .مصر موقّع تلقائيًا حتى نهايته، ولا ندّعي كسرًا حاليًا في .مصر؛ الفرق هو أن الأب العربي يحمل DS في الجذر بينما الأب اللاتيني لا يحمله.
تنبيه مهم عن رقم Pulse: «Adoption of DNSSEC» حوالي 69% من استعلامات الويب المحمية بـ DNSSEC مقياس لحركة التحقق (validation traffic)، وليس إثباتًا أن .eg موقّع. كذلك لا يعني الرقم أن كل مزوّدي الإنترنت في مصر يفعّلون التحقق.
وفي وثيقة لمركز المعلومات ودعم اتخاذ القرار (IDSC) عن مرونة الإنترنت في مصر وُصف أمن DNS كنقطة ضعف، مع تسجيل اعتماد DNSSEC صفرًا على مؤشرهم المشار إليه في النص. نذكر ذلك كسياق محلي موثّق، لا كإحصائية تشغيلية يومية لنطاقك.
ماذا يعني ذلك عمليًا للشركات المصرية؟
المعنى ليس أن موقعك «مفتوح بلا حماية». شهادات TLS، وجدار الحماية، وتحديث البرمجيات، وقفل حساب المسجّل تبقى أساسية. المعنى أنك لا تعتمد على سلسلة DNSSEC كاملة عبر .eg اليوم لحماية إجابات DNS لنطاقاتك المصرية اللاتينية من التزوير عبر مسار الأب.
المخاطر التي يناقشها مجتمع DNS عادةً تشمل تسميم الذاكرة المؤقتة وتوجيه الزائر إلى موقع احتيالي يشبه موقعك. DNSSEC يقلّل فئة من هذه الهجمات حين تكتمل السلسلة ويتحقق المحلّل. لكنه لا يمنع التصيّد الذي يعتمد على نطاق شبيه مسجَّل عمدًا، ولا يغني عن قفل النقل أو المصادقة الثنائية على حساب المسجّل.
إن كانت محفظتك تضم .com و.eg و.مصر معًا، فتوقعات DNSSEC تختلف لكل امتداد: على .com (وأشباهه من النطاقات العالمية الموقّع أبوها) يمكنك إكمال السلسلة عند مزوّد DNS والمسجّل؛ على .eg لا تكتمل عبر الأب اليوم؛ على .مصر الأب يحمل DS، لكن إكمال السلسلة لاسمك ما زال يحتاج توقيع منطقتك وإضافة DS عند الجهة التي تدير التفويض — وهذا مسار تقني منفصل عن «هل .eg موقّع؟».
جدول تحقق: ماذا تفعل على .eg مقابل .com؟
استخدم الجدول التالي كمرجع سريع لفريقك التقني أو لوكالة تدير نطاقاتك:
| الإجراء | نطاق عالمي (مثل .com / .net) | نطاق مصري لاتيني (.eg / .com.eg) | .مصر |
|---|---|---|---|
| سلسلة DNSSEC كاملة عبر الأب | ممكنة عادةً إن فعّلت التوقيع وأضفت DS عند المسجّل | غير مكتملة اليوم لأن .eg غير موقّع في الجذر | الأب يحمل DS في الجذر؛ إكمال سلسلتك يعتمد على توقيع منطقتك وDS عند جهة التفويض |
| تفعيل DNSSEC عند مستضيف DNS | نعم، خطوة أساسية | قد يبقى بلا سلسلة كاملة عبر الأب حتى لو وُجدت أدوات واجهة | راجع دعم مزوّد DNS والجهة المسجِّلة لـ .مصر |
| قفل النقل / قفل المسجّل | مطلوب | مطلوب | مطلوب إن وُجد |
| سجلات CAA | مفيدة | مفيدة | مفيدة |
| مراقبة تغييرات DNS وملكية النطاق | مطلوبة | مطلوبة | مطلوبة |
| المصادقة الثنائية على حساب المسجّل | مطلوبة | مطلوبة | مطلوبة |
خطوات DNSSEC للنطاقات العالمية (ليس ادّعاءً أن .eg يدعم DS)
إذا كان نطاقك الرئيسي على .com أو امتداد عالمي آخر موقّع أبوه، فالمسار الشائع كما توضحه وثائق مزوّدين مثل Cloudflare عن DNSSEC:
- فعّل DNSSEC في لوحة مستضيف DNS حتى تُنشأ مفاتيح المنطقة وتوقيعاتها.
- انسخ سجلات DS (أو الصيغة التي يطلبها مسجّلك) وأضفها عند مسجّل النطاق، لا تكتفِ بالتفعيل في DNS فقط.
- انتظر الانتشار ثم اختبر من أدوات تحقق عامة أن السلسلة مكتملة (AD bit / validation) قبل أن تعتبر المهمة منتهية.
- لا تعطل DNSSEC فجأة دون إزالة DS من المسجّل؛ التعطيل غير المنسّق يكسر التحليل للمحقّقين.
هذه الخطوات تخص النطاقات التي يدعم أبوها سلسلة الثقة. وهي لا تعني أن سجل .eg يقدّم اليوم مسار DS مكتملًا مماثلًا عبر الجذر.
تحصين يعمل سواء وُقّع .eg أم لم يُوقَّع
بينما تنتظر أي تطور وطني لا نملك جدولًا زمنيًا له، نفّذ ما يلي على كل نطاق مهم:
- قفل النقل (transfer/registrar lock): يمنع نقل النطاق دون خطوات تحقق إضافية.
- المصادقة الثنائية وبريد مؤسسي على حساب المسجّل، وتجنب حسابات موظفين سابقين كمُلّاك.
- سجلات CAA: تقيّد سلطات الشهادات المسموح لها بإصدار شهادات لنطاقك، وتتكامل مع ما شرحناه عن الشهادات في دليل صلاحية شهادات SSL لأصحاب المواقع في مصر.
- مراقبة تغييرات DNS: تنبيهات عند تعديل NS أو A/AAAA أو MX أو عند إزالة قفل.
- بيانات WHOIS/جهات الاتصال محدَّثة: حتى تصلك إشعارات التجديد والاسترداد.
- الحذر من مزوّدي DNS مزدوجين بلا خطة: تعدد NS مفيد للتوافر، لكن اختلاف الإعدادات بين مزوّدين يخلق أخطاء صعبة التشخيص.
- جرد المحفظة: جدول واحد فيه كل نطاق، تاريخ الانتهاء، مكان إدارة DNS، ومن يملك صلاحية الدخول. ولمعرفة مستندات ورسوم التسجيل المصري راجع دليل تسجيل دومين .com.eg و.eg.
علاقة ذلك بالاستضافة والدعم
DNS الآمن جزء من تشغيل الموقع، لا بديل عنه. من خلال خدمة النطاقات يمكن ترتيب التسجيل والتجديد وإدارة DNS وقفل النقل للنطاقات المصرية والعالمية. ولاستضافة الموقع والبريد انظر خدمات الاستضافة والخوادم، وللمتابعة المستمرة عقود الدعم الفني.
إن أردت مراجعة محفظة نطاقاتك (.com و.eg و.مصر) ووضع قائمة تحقق تشغيلية لفريقك، تواصل معنا. لا نقدّم هنا وعدًا بأن سمارت ون جروب أو EUN سيوقّعان .eg قريبًا؛ قرار توقيع الامتداد الوطني يخص السجل والجهات المشغّلة له.
الأسئلة الشائعة
هل نطاق .eg غير موقّع بـ DNSSEC يعني أن موقعي غير آمن؟
لا بهذا الإطلاق. يعني أن سلسلة DNSSEC عبر الأب .eg غير مكتملة اليوم. أمان الموقع يعتمد أيضًا على TLS، وتحديث البرمجيات، وصلاحيات الحسابات، وقفل النطاق. DNSSEC طبقة إضافية لإجابات DNS حين تتوفر سلسلة كاملة.
ما الفرق بين «DNSSEC Inactive» في Pulse ورقم تبنّي 69%؟
Inactive يصف حالة امتداد/بيئة DNSSEC المرتبطة بتقرير البلد (امتداد .eg غير نشط من منظور التوقيع). أما حوالي 69% فهو مقياس لنسبة استعلامات الويب المحمية بالتحقق عبر DNSSEC في حركة المرور، وليس دليلًا على أن .eg موقّع.
هل .مصر أفضل من .eg من ناحية DNSSEC؟
من زاوية الأب فقط: .مصر يحمل DS في الجذر اليوم بينما .eg لا يحمله. هذا لا يلغي أهمية .eg للجمهور المحلي، ولا يجعل كل نطاق تحت .مصر موقّعًا تلقائيًا حتى سجلات موقعك دون إعداد إضافي.
هل أفعّل DNSSEC على .com.eg من لوحة DNS؟
حتى إن وُجد زر في لوحة مستضيف DNS، فغياب DS للأب .eg في الجذر يمنع اكتمال سلسلة الثقة عبر هذا المسار. ركّز على التحصينات العامة، وعلى DNSSEC الكامل لنطاقاتك العالمية المدعومة.
هل كل مزوّدي الإنترنت في مصر يتحققون من DNSSEC؟
لا. التحقق يعتمد على إعداد المحلّل لدى المزوّد أو الجهاز. لا تفترض أن كل الزوار يستفيدون من التحقق حتى لو كانت سلسلتك مكتملة على نطاق عالمي.
متى يُوقَّع .eg؟
لا يوجد لدينا إعلان موثّق بتاريخ إلزامي ننقله هنا. راقب مصادر السجل وIANA وdnssec-africa، ولا تبنِ خطة تشغيل على موعد غير معلن.
المصادر
اعتمدنا على جدول ICANN African DNSSEC Roadshow (.eg: Is unsigned)، وتقرير ISOC Pulse لمصر (DNSSEC Inactive؛ نحو 9,426 نطاقًا؛ تبنّي تحقق حوالي 69%)، وWHOIS/تفويض IANA لـ EG، وتحقق dns.google في 13 أكتوبر 2026 (لا DS/DNSKEY لـ eg؛ وجود DS/DNSKEY لـ xn--wgbh1c)، ووثائق ICANN العربية عن DNSSEC، وشرح Cloudflare لتفعيل DNSSEC على النطاقات التي يدعمها المسار الكامل. الحالات قابلة للتغير؛ أعد التحقق قبل أي قرار تشغيلي.
