- SPF, DKIM ו-DMARC הן שלוש רשומות DNS שמאפשרות לשרתי דואר לבדוק שמייל שנשלח בשם הדומיין שלכם באמת הגיע מכם.
- בלעדיהן, המיילים של העסק עלולים להגיע לספאם, ותוקפים יכולים לשלוח מיילים בשם העסק ביתר קלות.
- Gmail ו-Outlook.com כבר דורשים את שלושתן משולחים בהיקף גדול, ו-Gmail דורש לפחות SPF או DKIM מכל שולח.
- ההטמעה נעשית בהדרגה: קודם מיפוי של כל מי ששולח בשמכם, אחר כך ניטור, ורק אז מדיניות מחמירה.
"המייל שלכם הגיע אצלי לספאם." "קיבלנו מייל בשמכם עם בקשה לשנות פרטי חשבון בנק, זה אתם?" אם שמעתם אחד מהמשפטים האלה, כדאי לבדוק את הגדרות הדואר של הדומיין. ברוב המקרים, הפתרון נמצא בשלוש רשומות שנקראות SPF, DKIM ו-DMARC.
זה נשמע טכני, וזה אכן טכני. אבל העיקרון פשוט, וההשפעה על העסק ישירה: מיילים שמגיעים ליעדם, והגנה על השם של העסק.
הבעיה: כל אחד יכול לכתוב "מאת"
בפרוטוקול הדואר המקורי, כתובת השולח היא בסך הכול שדה טקסט. כל אחד יכול לשלוח מייל ולכתוב בשדה "מאת" את הכתובת שלכם. בלי מנגנוני אימות, לשרת המקבל אין דרך טובה לדעת אם המייל באמת הגיע מכם.
זו בדיוק הדרך שבה עובדות הרבה הונאות: מייל "מהספק" עם פרטי בנק חדשים, או מייל "מהמנכ"ל" עם בקשה דחופה. הרחבנו על זה במדריך לפישינג בעסק.
שלוש הרשומות, בשפה פשוטה
SPF: מי מורשה לשלוח בשמכם
רשומת SPF היא רשימה שמפורסמת ב-DNS של הדומיין: "השרתים האלה מורשים לשלוח מיילים בשמנו". למשל, Microsoft 365, מערכת הדיוור, ומערכת הנהלת החשבונות ששולחת חשבוניות. שרת מקבל בודק אם המייל הגיע משרת שברשימה.
DKIM: חתימה דיגיטלית על כל מייל
DKIM מוסיף לכל מייל יוצא חתימה דיגיטלית. השרת המקבל בודק את החתימה מול מפתח שמפורסם ב-DNS שלכם. אם החתימה תקינה, המייל אכן נשלח ממערכת מורשית ולא שונה בדרך.
DMARC: מה עושים עם מייל שלא עבר בדיקה
DMARC מחבר בין השניים, ואומר לשרתים המקבלים מה לעשות עם מייל שמתחזה לדומיין שלכם ולא עבר את הבדיקות:
- p=none: לא לעשות כלום מיוחד, רק לשלוח דוחות. זה שלב הניטור.
- p=quarantine: להעביר לספאם.
- p=reject: לדחות את המייל.
בנוסף, DMARC שולח דוחות שמראים מי שולח מיילים בשם הדומיין שלכם. לעיתים קרובות, הדוחות האלה חושפים מערכות ששולחות בשם העסק ואף אחד לא זכר.
למה זה חשוב עכשיו
ספקי הדואר הגדולים החמירו את הדרישות:
- Gmail: מאז פברואר 2024, כל שולח צריך לפחות SPF או DKIM, ושולחים של יותר מ-5,000 הודעות ביום לחשבונות Gmail צריכים SPF, DKIM ו-DMARC.
- Outlook.com: מאז מאי 2025, דומיינים ששולחים יותר מ-5,000 הודעות ביום לחשבונות Outlook.com, Hotmail ו-Live צריכים SPF, DKIM ו-DMARC. מיילים שלא עומדים בדרישות מועברים לספאם, ובהמשך עלולים להידחות.
עסק קטן לרוב לא שולח 5,000 מיילים ביום. אבל המגמה ברורה: מיילים לא מאומתים מקבלים פחות אמון. ואם העסק שולח דיוורים, הוא עלול להגיע לסף בקלות.
איך מטמיעים בלי לשבור את הדואר
הטעות הנפוצה היא לקפוץ ישר ל-p=reject. אם יש מערכת ששולחת בשמכם ולא נכללה ב-SPF או ב-DKIM, המיילים שלה ייחסמו. לכן עובדים בשלבים:
- מיפוי: רשימה של כל המערכות ששולחות מיילים בשם הדומיין. Microsoft 365, מערכת דיוור, מערכת חשבוניות, טפסי האתר, מערכת ניהול לקוחות, מדפסות וסורקים ששולחים מייל.
- SPF: רשומה אחת שכוללת את כל המערכות המורשות. לדומיין יש רשומת SPF אחת בלבד, ויש מגבלה על מספר הבדיקות שהיא יכולה לבצע, ולכן צריך לבנות אותה בזהירות.
- DKIM: הפעלה בכל מערכת שתומכת בכך, ב-Microsoft 365 ובמערכות הדיוור.
- DMARC במצב ניטור (p=none): קבלת דוחות לכמה שבועות, וזיהוי מערכות שנשכחו.
- החמרה הדרגתית: מעבר ל-quarantine, ואחרי שהכול תקין, ל-reject.
טעויות נפוצות
- שתי רשומות SPF לאותו דומיין. זה גורם לכשל. צריכה להיות רשומה אחת.
- שוכחים מערכת. טפסי האתר או מערכת החשבוניות מפסיקים פתאום להגיע ללקוחות.
- DMARC שנשאר על none לנצח. ניטור הוא שלב, לא יעד. בלי מדיניות, אין הגנה מפני התחזות.
- אף אחד לא קורא את הדוחות. הדוחות הם מקור מידע חשוב. כדאי שמישהו יעבור עליהם, או שכלי ייעודי ירכז אותם.
- דומיינים נוספים נשכחים. אם יש לעסק דומיינים שלא שולחים מייל, כדאי להגדיר בהם רשומות שמבהירות שאין שולחים מורשים, כדי שלא ינוצלו להתחזות.
דוגמה: מה קורה בלי DMARC
נניח משרד שעובד עם ספקים ולקוחות קבועים. תוקף שולח ללקוח מייל שנראה כאילו נשלח מכתובת המשרד, עם "חשבונית מעודכנת" ופרטי חשבון בנק חדשים. אם לדומיין אין מדיניות DMARC, שרת הדואר של הלקוח לא מקבל הוראה ברורה מה לעשות עם המייל, והוא עלול להגיע לתיבת הדואר הנכנס. אם יש מדיניות reject, המייל המזויף נדחה עוד לפני שהלקוח רואה אותו.
גם עם DMARC, כדאי לקבוע כלל פשוט מול לקוחות וספקים: שינוי פרטי בנק מאומת תמיד בשיחת טלפון למספר מוכר.
צ'קליסט קצר לבדיקה
- יש לדומיין רשומת SPF אחת, שכוללת את כל המערכות ששולחות בשמכם?
- DKIM מופעל ב-Microsoft 365 ובמערכות הדיוור?
- יש רשומת DMARC, ומישהו קורא את הדוחות?
- המדיניות הוחמרה מעבר ל-none, או שיש תוכנית להחמיר?
- הדומיינים שלא שולחים מייל מוגנים?
מה עוד עוזר למיילים להגיע ליעדם
- כתובת שולח של העסק ולא תיבה פרטית.
- דיוורים שיווקיים מתת-דומיין או ממערכת ייעודית, כדי שבעיה במוניטין של הדיוור לא תפגע במיילים השוטפים.
- אפשרות הסרה ברורה בדיוורים.
- רשימות תפוצה נקיות, בלי כתובות ישנות שחוזרות.
שאלות נפוצות
איך יודעים אם יש לנו SPF, DKIM ו-DMARC?
יש כלים חינמיים באינטרנט שבודקים את רשומות ה-DNS של הדומיין. ספק ה-IT שלכם יכול לבדוק ולהסביר מה המצב תוך דקות.
זה רלוונטי גם לעסק קטן?
כן. ההגנה מפני התחזות חשובה לכל עסק, והדרישות של ספקי הדואר מחמירות עם הזמן.
הגדרה שגויה יכולה לחסום את המיילים שלנו?
כן, ולכן עובדים בשלבים: מיפוי, ניטור, ורק אז החמרה. כך מזהים בעיות לפני שהן חוסמות מיילים.
DMARC ימנע את כל הפישינג?
לא. DMARC מגן מפני התחזות לדומיין המדויק שלכם. תוקפים יכולים עדיין להשתמש בדומיין דומה, למשל עם אות אחת שונה. לכן צריך גם הדרכת עובדים וסינון דואר.
כמה זמן לוקחת ההטמעה?
ההגדרה הבסיסית מהירה. שלב הניטור נמשך בדרך כלל כמה שבועות, עד שמוודאים שכל המערכות המורשות מזוהות.
מי צריך לטפל בזה?
מי שמנהל את ה-DNS של הדומיין ואת מערכות הדואר, בדרך כלל ספק ה-IT. כדאי לוודא שגם הגישה לדומיין מתועדת אצלכם. ראו: מעבר ספק IT.
מערכת הדיוור שלנו שולחת בשם הדומיין. מה צריך לעשות?
לוודא שהיא נכללת ברשומת ה-SPF, להפעיל בה DKIM עם הדומיין שלכם, ולבדוק בדוחות ה-DMARC שהמיילים שלה עוברים את הבדיקות. רוב מערכות הדיוור המוכרות מספקות הוראות להגדרה.
מה זה BIMI, וצריך את זה?
BIMI הוא תקן שמאפשר להציג את הלוגו של העסק ליד המייל בחלק מתיבות הדואר. הוא דורש DMARC עם מדיניות מחמירה. זה שלב מתקדם, ולא הכרחי לרוב העסקים הקטנים.
איך ש.מ מחשבים יכולה לעזור
אנחנו בודקים את הגדרות הדואר של הדומיין, ממפים את כל המערכות ששולחות בשמכם, מגדירים SPF, DKIM ו-DMARC בהדרגה, ועוקבים אחרי הדוחות. פרטים בעמוד Microsoft 365 לעסקים ובעמוד אבטחת מידע לעסקים. רוצים לדעת אם המיילים שלכם מוגנים? השאירו פרטים.