[{"data":1,"prerenderedAt":235},["ShallowReactive",2],{"publication:he:P045":3},{"meta":4,"copy":17,"relatedArticles":226,"terms":227,"term":228,"resourceParent":229,"glossaryParent":232},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":9,"description":10,"incoming":11,"updated":16},"P045","\u002Fservices\u002Fdmarc-spf-dkim","service","הגדרת SPF DKIM DMARC","הגדרת SPF, DKIM ו-DMARC לדואר העסקי","הגדרת SPF, DKIM ו-DMARC לדומיין העסקי: מיפוי שולחים, בדיקת הודעות, מדיניות מדורגת ותיעוד. שירות של חברת סייבר ישראלית.",[12,13,14,15],"\u002Fservices","\u002Fservices\u002Fcorporate-email","\u002Fservices\u002Femail-domains","\u002Fblog\u002Fspf-dkim-dmarc-explained","2026-10-29",{"intro":18,"sections":19,"checklist":166,"faq":173,"sources":198,"links":203,"cta":221},"נמפה את המערכות ששולחות דואר בשם הדומיין, נגדיר SPF ו-DKIM ונבדוק הודעות בפועל לפני שנמליץ על מדיניות DMARC. בסיום תקבלו רשימת שולחים, תוצאות בדיקה וחריגים שנותרו. כדי להתחיל, שלחו את שם הדומיין ואת שמות שירותי הדואר, האתר ומערכות השליחה האחרות.",[20,25,60,92,111,119,149,154,159],{"title":21,"paragraphs":22},"למי מתאים שירות הגדרת SPF, DKIM ו-DMARC",[23,24],"השירות מתאים לעסק ששולח דואר דרך Google Workspace או Microsoft 365, וגם לעסק שמוסיף אתר, מערכת CRM, שירות חשבוניות או מערכת דיוור. לכל מקור שליחה יכולה להיות הגדרה שונה. מצב שבו העובדים שולחים בהצלחה אינו מוכיח שהודעות איפוס סיסמה מהאתר או חשבוניות חודשיות משתמשות באותו מסלול.","כדאי לבדוק את התצורה גם אחרי מעבר ספק, קבלת דרישת אימות ממערכת דיוור או דיווח על הודעה חשודה בשם העסק. אם חשבון אמיתי נפרץ, נדרש במקביל טיפול בגישה לתיבה ובהרשאות. שינוי רשומת DNS אינו מבטל כניסה שנגנבה, והונאה באמצעות שם תצוגה או דומיין דומה יכולה להתרחש גם כשהאימות תקין.",{"title":26,"paragraphs":27,"sources":30,"table":37},"מה בודקים בכל אחד משלושת הפרוטוקולים",[28,29],"SPF, DKIM ו-DMARC ממלאים תפקידים משלימים. השאלה בבדיקה אינה רק אם קיימות שלוש רשומות, אלא האם ההודעה שנשלחה בפועל משתמשת בהן כנדרש. לפי תקן DMARC, הודעה עוברת כשהיא עוברת לפחות אחד ממסלולי האימות, SPF או DKIM, וגם עומדת בהתאמת הדומיין של אותו מסלול לכתובת From הגלויה.","חשוב להפריד בין תנאי מעבר DMARC לבין דרישות של ספק מקבל. Gmail, למשל, מפרט דרישות שונות לסוגי שולחים, ובהן דרישות נוספות לשולחים בכמות גדולה. לכן אין להסיק מהצלחה של בדיקה אחת שכל דרישות המסירה מול כל ספק הושלמו.",[31,34],{"label":32,"url":33},"IETF: תקן DMARC, RFC 9989 ממאי 2026","https:\u002F\u002Fwww.rfc-editor.org\u002Frfc\u002Frfc9989.html",{"label":35,"url":36},"Gmail: הנחיות לשולחי דואר","https:\u002F\u002Fsupport.google.com\u002Fmail\u002Fanswer\u002F81126?hl=en",{"caption":38,"headers":39,"rows":43},"מה המשמעות של כל בדיקת אימות",[40,41,42],"מנגנון","השאלה שהוא בודק","מה לא ניתן להסיק ממנו לבדו",[44,48,52,56],[45,46,47],"SPF","האם מקור השליחה מורשה עבור דומיין מעטפת ההודעה","שהדומיין תואם לכתובת From שהנמען רואה",[49,50,51],"DKIM","האם חתימה בדומיין מסוים אומתה עבור החלקים החתומים","שמדובר באדם אמין או בתוכן שאינו הונאה",[53,54,55],"DMARC","האם קיים מסלול אימות שעבר וגם תואם לדומיין From","שההודעה תגיע בהכרח לתיבת הדואר הנכנס",[57,58,59],"דוחות מצטברים","מה מקבלים מדווחים על הודעות ושולחים שנצפו","שכל הודעה או כל יעד מסירה מופיעים בדוח",{"title":61,"paragraphs":62,"table":65},"מיפוי שולחים: השלב שקודם לשינוי DNS",[63,64],"אנחנו מבקשים לזהות כל מערכת ששולחת בשם העסק, מי מנהל אותה ואיזו הודעה אפשר להפיק ממנה לבדיקה. לא מסתפקים בשם ספק הדואר הראשי. טופס באתר, מערכת תמיכה או שירות שהנהלת החשבונות מפעילה יכולים לשלוח מדומיין העסק בלי להיות מוכרים למי שמנהל את התיבות.","המיפוי הוא גם כלי להחלטה: מקור לא מוכר דורש בירור, ולא הרשאה אוטומטית. ייתכן שמדובר בשירות שהופסק, בהעברה דרך מערכת אחרת או בניסיון התחזות. לפני שמוסיפים מקור ל-SPF או מחברים חתימת DKIM, מוודאים שיש בעל אחריות ושימוש עסקי שאושר.",{"caption":66,"headers":67,"rows":71},"מפת שולחים לדוגמה, עם נתונים להמחשה בלבד",[68,69,70],"מערכת","הודעת בדיקה","מה צריך לברר לפני שינוי",[72,76,80,84,88],[73,74,75],"דואר העובדים","הודעה מתיבה עסקית","ספק פעיל, דומיין From וחתימת הדומיין",[77,78,79],"אתר או חנות","טופס או אישור הזמנה בבדיקה","מסלול SMTP או API ושירות השליחה בפועל",[81,82,83],"חשבוניות","מסמך בדיקה שאינו חיוב אמיתי","בעל חשבון הספק ואפשרויות אימות הדומיין",[85,86,87],"CRM ואוטומציות","התראה מתהליך מבוקר","האם כל סוגי ההתראות משתמשים באותו שולח",[89,90,91],"מערכת דיוור","משלוח לרשימת בדיקה מורשית","דומיין חתימה, כתובת החזרה ודרישות הספק",{"title":93,"paragraphs":94,"sources":97,"steps":104},"איך מתבצעת ההגדרה ומה נדרש מהעסק",[95,96],"נדרשות הרשאות מתאימות במקום שבו מנוהל ה-DNS ולעיתים גם בממשק של כל שירות שולח. רשם הדומיין, חברת האחסון וספק הדואר יכולים להיות שלוש חברות שונות. בשלב הראשון מזהים מי מנהל מה, מתעדים את הרשומות הקיימות ומתאמים מי מאשר שינוי. אין צורך למסור סיסמאות בטופס הפנייה.","ב-Google Workspace וב-Microsoft 365 עובדים לפי ההוראות של הספק והתצורה הקיימת. מערכת חיצונית עשויה לדרוש הגדרה נפרדת; הפעלת חתימה בדואר העובדים אינה מפעילה אותה אוטומטית בשירות החשבוניות. כתובת רשומת DKIM והערך שלה נקבעים לפי המערכת, ולא באמצעות העתקת רשומה מעסק אחר.",[98,101],{"label":99,"url":100},"Google Workspace: הגדרת DMARC ואימות שולחים","https:\u002F\u002Fknowledge.workspace.google.com\u002Fadmin\u002Fsecurity\u002Fset-up-dmarc",{"label":102,"url":103},"Microsoft: הגדרת DMARC בסביבת Microsoft 365","https:\u002F\u002Flearn.microsoft.com\u002Fen-us\u002Fdefender-office-365\u002Femail-authentication-dmarc-configure",[105,106,107,108,109,110],"מאשרים את הדומיינים, המערכות השולחות ובעלי ההרשאות הכלולים.","מתעדים DNS קיים ותלויות לפני שינוי, ומגדירים דרך חזרה מבוקרת.","מתאימים SPF ומפעילים DKIM במערכות התומכות בהתאם להגדרות הספק.","מפיקים הודעות בדיקה מכל מסלול שנכלל ובוחנים את תוצאות האימות אצל המקבל.","מגדירים DMARC ויעד לדוחות בהתאם להיקף, ובוחנים מקורות וחריגות.","קובעים אם ניתן להתקדם באכיפה ומעבירים תיעוד ואחריות להמשך.",{"title":112,"paragraphs":113,"example":116},"איך יודעים שההגדרה עובדת, מעבר לבדיקה של רשומות",[114,115],"רשומה פומבית היא חלק מהראיה. לצורך בדיקת קבלה מפיקים הודעה מתהליך עסקי מוגדר, שומרים את מועד הבדיקה ומבררים באיזו מערכת היא נוצרה. בכותרות שהוסיף המקבל הנבדק בוחנים את תוצאות האימות וההתאמה. בודקים גם שהפעולה העסקית הושלמה, למשל שהודעת טופס הגיעה ליעד שנבחר.","כותרת שהועתקה ממקור לא מהימן אינה מספיקה להוכחת הצלחה. גם בדיקה מוצלחת לתיבה אחת אינה מייצגת את כל הספקים, העברות הדואר או התהליכים הנדירים. בסיכום מפרטים את מסלולי הבדיקה והיעדים שנבדקו, ומתעדים מה עדיין דורש בדיקה במקום לסמן את הדומיין כמוגן לחלוטין.",{"title":117,"text":118},"דוגמה: דואר העובדים תקין, הודעות האתר לא","עסק לדוגמה שולח דואר עובדים מהספק הארגוני והודעות טופס דרך שירות אחר. הודעת עובד עוברת DMARC, אך הודעת טופס חתומה בדומיין השירות שאינו תואם ל-From של העסק. תחילה מבררים אילו אפשרויות אימות השירות תומך בהן. לא מעתיקים את רשומת העובדים ולא מחלישים את כל המדיניות כדי להסתיר כשל במסלול אחד.",{"title":120,"paragraphs":121,"sources":124,"table":126},"מתי מתקדמים מ-none ל-quarantine או reject",[122,123],"מדיניות none מאפשרת להתחיל מתצפית בלי לבקש מהמקבלים חסימה על בסיס DMARC. מדיניות quarantine מבקשת טיפול חשוד בהודעות שנכשלות, ו-reject מבקשת דחייה. ההחלטה אינה מבוססת רק על מספר ימים שעברו: צריך להבין אילו שולחים לגיטימיים נבדקו ואילו תהליכים טרם נצפו. למקבל נשארת מדיניות טיפול משלו.","לפני התקדמות מגדירים מי בוחן חריגות, איך מזהים פגיעה בדואר תקין ומי רשאי לאשר שינוי נוסף. הודעות חודשיות או עונתיות דורשות דוגמת בדיקה או מעקב מתאים. אם מתגלה כשל, בוחנים את המסלול הפגוע ואת הראיות לפני שינוי גורף. המדריך למעבר ל-DMARC reject מפרט את הבירור למי שרוצה להעמיק.",[125],{"label":32,"url":33},{"caption":127,"headers":128,"rows":132},"תנאי החלטה לפני החמרת מדיניות",[129,130,131],"שאלה","ראיה רצויה","אם אין תשובה",[133,137,141,145],[134,135,136],"האם כל המערכות המוכרות נבדקו?","רשימת שולחים ותוצאות הודעות","משלימים מסלולים חסרים",[138,139,140],"האם מקור לא מוכר הוסבר?","בעל מערכת והסבר למסלול","מבררים לפני מתן הרשאה",[142,143,144],"האם אפשר לזהות פגיעה בשליחה?","איש קשר, יעד בדיקה ודרך דיווח","מסכמים מעקב לפני התקדמות",[146,147,148],"מי מטפל בשינוי ספק בעתיד?","אחריות ותהליך הוספת שולח","מגדירים בעלות כחלק מהמסירה",{"title":150,"paragraphs":151},"מה מקבלים בסיום ומי אחראי על הדוחות",[152,153],"התוצר המוסכם כולל מפת שולחים, הרשומות ששונו, תוצאות בדיקות והחלטה לגבי מדיניות DMARC. חריגות נשארות ברשימה נפרדת עם הצעד הבא ובעל האחריות. תיעוד טוב מסביר גם מה יידרש כשמתווסף שירות חדש, כדי שההגדרה לא תיפגע עם החלפת מערכת דיוור או CRM.","יעד לקבלת דוחות אינו שירות ניטור בפני עצמו. מגדירים מי קורא את הדוחות, באיזו תקופה ובאיזה כלי, ומי פונה לספק במקרה הצורך. דוחות יכולים לכלול מידע תפעולי על השליחה, ולכן מבררים גם מי מקבל גישה אליהם. שירות ניתוח חיצוני, רישיון או מעקב שוטף נכללים רק כשהוסכמו בהצעה.",{"title":155,"paragraphs":156},"מה משפיע על המחיר ועל הזמן הנדרש",[157,158],"המחיר תלוי במספר הדומיינים, מקורות השליחה, מצב ההגדרות וזמינות בעלי ההרשאות. עסק ששולח רק מספק דואר אחד שונה מעסק עם חנות, מערכות דיוור וכמה ספקי חשבוניות. נדרש זמן נוסף כשצריך לברר מי שולח, לתאם עם ספק חיצוני או לבדוק הודעות שלא נוצרות בכל יום.","מפרידים בהצעה בין הגדרה, אבחון תקלה קיימת ומעקב לאחר ההגדרה. זמינות DNS במטמונים, הפעלת שירות אצל ספק והשלמת דגימות אינן תמיד מיידיות, ולכן אין זמן אחיד שאפשר להבטיח לכל עסק. לפני הביצוע מסכמים תכולה, מחיר, תלויות ואופן מסירת התוצאות.",{"title":160,"paragraphs":161,"sources":164},"מה השירות לא פותר ומה אפשר להכין כבר עכשיו",[162,163],"אימות דואר אינו מסנן כל פישינג ואינו מבטיח מסירה לתיבה הראשית. מוניטין השולח, תוכן, הסכמת נמענים וכללי המקבל משפיעים גם הם. במקרה של דחייה או ספאם צריך לבחון את הודעת השגיאה והמסלול שנפגע, ולא לשנות רשומות לפי ניחוש. הגנה על חשבונות העובדים והרשאות היא שכבה נפרדת.","לפנייה ציינו את הדומיין, ספק הדואר ושמות המערכות השולחות הידועות לכם. אם יש תקלה, הוסיפו מתי התחילה ואיזו הודעה אינה מגיעה, בלי תוכן אישי של לקוחות. כלי בדיקת הדומיין באתר מספק תצפיות DNS ראשוניות; הוא אינו מאמת חתימת DKIM בהודעה ואינו מחליף בדיקת מסלול שליחה מלאה.",[165],{"label":35,"url":36},[167,168,169,170,171,172],"כל מערכת שולחת קיבלה בעל אחריות והודעת בדיקה מתאימה.","תועדו הרשומות לפני השינוי והתצורה שאושרה אחריו.","נבדקו תוצאות הודעות בפועל והתאמה ל-From, ולא רק קיום רשומות.","מקורות שלא זוהו נבדקו לפני שנוספו להרשאות השליחה.","המדיניות, החריגות ואחריות המעקב מופיעות בסיכום.","הוספת מערכת חדשה בעתיד כוללת גם בדיקת אימות דואר.",[174,177,180,183,186,189,192,195],{"question":175,"answer":176},"כבר יש לי SPF, אז למה צריך לבדוק גם DKIM ו-DMARC?","SPF מאמת הרשאה עבור דומיין מעטפת ההודעה, שאינו בהכרח הדומיין שמוצג לנמען. DKIM מוסיף אימות באמצעות חתימה, ו-DMARC בודק התאמה ל-From במסלול שעבר. לכן בוחנים את ההודעה והמערכת ששולחת אותה, ולא מסיקים שקיום רשומת SPF משלים את כל ההגדרה.",{"question":178,"answer":179},"האם חייבים להעביר את הדואר או את האתר אליכם?","לא נדרש מעבר ספק כחלק מעצם הגדרת האימות. בדרך כלל עובדים עם ספק הדואר, שירותי השליחה וניהול ה-DNS הקיימים. אם מערכת מסוימת אינה תומכת בתצורה הנדרשת, מציגים את המגבלה והחלופות לפני שמחליטים על שינוי רחב יותר.",{"question":181,"answer":182},"האם ההגדרה מתאימה ל-Google Workspace ול-Microsoft 365?","כן, היקף ההגדרה יכול לכלול את שני השירותים בהתאם לסביבה שלכם. יש לבדוק גם שירותים חיצוניים ששולחים בשם אותו דומיין. הוראות של ספק אחד אינן תחליף להגדרות של ספק אחר, במיוחד כשיש כמה מסלולי שליחה או מעבר בין מערכות.",{"question":184,"answer":185},"למה לא להפעיל reject מיד ולסיים?","בלי מפת שולחים ובדיקות, גם הודעה לגיטימית יכולה להיכשל באימות ולהידחות אצל מקבל שמיישם את המדיניות. לפעמים זו חשבונית או התראה נדירה שלא נבדקה. מתקדמים לפי ראיות, יכולת טיפול בחריגות ותיאום עם העסק, ולא לפי סימון ירוק של כלי בדיקה יחיד.",{"question":187,"answer":188},"האם אתם מבטיחים שהמיילים יפסיקו להגיע לספאם?","לא, הגדרה תקינה מטפלת בשכבת האימות, אבל מסירה תלויה גם בגורמים אחרים. אם דואר ממשיך להגיע לספאם, צריך לבדוק את המסלול, תגובת המקבל ותוכן ההודעה. אבחון מסירה רחב יותר מוגדר בנפרד כשזה הצורך.",{"question":190,"answer":191},"החלפנו מערכת דיוור. האם צריך להגדיר הכול מחדש?","צריך לבדוק את מסלול השליחה החדש לפני השימוש ואת השפעתו על ההגדרות הקיימות. ייתכן שנדרשים מפתח חתימה, הרשאה או דומיין שליחה אחרים. לא מוחקים הגדרה של ספק קודם לפני שמוודאים שאינו משמש עוד מערכת או תהליך פעיל.",{"question":193,"answer":194},"האם אתם ממשיכים לעקוב אחרי הדוחות לאחר ההקמה?","רק אם הוסכם על מעקב במסגרת השירות. הקמת יעד לדוחות או מסירת תיעוד אינן התחייבות לניטור קבוע. אפשר להגדיר תקופת בדיקה והמשך ליווי, עם אחריות, תכולה וכלי עבודה ברורים.",{"question":196,"answer":197},"מה לשלוח בפנייה אם איני יודע מי מנהל את ה-DNS?","שלחו את שם הדומיין ואת ספק הדואר, אם הוא ידוע, וציינו שהניהול אינו ברור. אפשר להתחיל בבירור הספקים ובעלי החשבונות. אל תשלחו סיסמאות או קודי שחזור; הרשאה לשינוי מוסדרת רק אחרי שמזהים את המערכת ואת בעל הסמכות.",[199,200,201,202],{"label":99,"url":100},{"label":102,"url":103},{"label":35,"url":36},{"label":32,"url":33},[204,207,210,213,216,219],{"path":205,"label":206},"\u002Fblog\u002Fdmarc-none-to-reject","הכנה למעבר למדיניות אכיפה",{"path":208,"label":209},"\u002Fblog\u002Fspf-too-many-lookups","מה עושים עם חריגה במגבלת SPF",{"path":211,"label":212},"\u002Fblog\u002Fdkim-selector-check","בדיקת חתימה ובורר DKIM",{"path":214,"label":215},"\u002Fblog\u002Femail-spam-diagnosis","אבחון דואר שמגיע לספאם",{"path":217,"label":218},"\u002Fglossary\u002Fdmarc","הסבר על DMARC ומגבלותיו",{"path":13,"label":220},"סיוע בדואר העסקי",{"title":222,"description":223,"type":224,"button":225},"נסדיר את האימות של הדואר העסקי","שלחו את הדומיין ואת שמות מערכות השליחה. נבחן מה חסר ונגדיר תהליך שאפשר לבדוק ולתחזק.","setup","לבירור הגדרת אימות דואר",[],[],null,{"path":230,"label":231},"\u002Fresources","כלים ורשימות בדיקה לאבטחת העסק: משאבים שימושיים",{"path":233,"label":234},"\u002Fglossary","מילון סייבר בעברית: מושגים עם הסברים מעשיים",1794134060515]