בדיקת SPF, DKIM ו־DMARC לדומיין שלכם
הכניסו דומיין ותראו תוך כמה שניות מה מוגדר, מה חסר ומה לתקן, עם רשומה לדוגמה לכל ממצא.
אפשר להדביק גם כתובת מייל או קישור לאתר.
יש לכם selector של DKIM?לא חובה
מופיע אחרי s= בשורה DKIM-Signature של מייל ששלחתם מהדומיין.
הבדיקה רצה בדפדפן שלכם. הדומיין נשלח רק לשרתי DNS ציבוריים (של Cloudflare, ואם צריך גם של Google) ולא נשמר אצלי.
עודכן לאחרונה:
SPF, DKIM ו־DMARC הן שלוש רשומות ב־DNS של הדומיין, שבעזרתן ג׳ימייל, אאוטלוק וכל שרת דואר אחר בודקים שהמייל באמת יצא מכם. SPF מגדירה אילו שרתים מורשים לשלוח בשמכם, DKIM מוסיפה לכל הודעה חתימה דיגיטלית, ו־DMARC קובעת מה עושים עם הודעה שנכשלה ולאן שולחים לכם דוחות.
מאז פברואר 2024 ג׳ימייל דורשת מכל מי ששולח אליה לפחות SPF או DKIM, וממי ששולח לה יותר מ־5,000 הודעות ביום את שלושתן. הבדיקה למעלה קוראת את הרשומות של הדומיין שלכם ומסבירה בעברית מה מצאה.
מה זה רשומת SPF, ואיך נראית רשומה תקינה
SPF היא רשומת TXT אחת בדומיין עצמו. היא מתחילה ב־v=spf1, מונה את השירותים ששולחים בשמכם, ונגמרת בהוראה מה לעשות עם כל שרת אחר.
| מי שולח בשמכם | הרשומה |
|---|---|
| רק Google Workspace | v=spf1 include:_spf.google.com ~all |
| רק Microsoft 365 | v=spf1 include:spf.protection.outlook.com -all |
| דומיין שלא שולח מייל בכלל | v=spf1 -all |
כשיש עוד מערכת ששולחת בשמכם, כמו מערכת דיוור או חשבוניות, מוסיפים את ה־include שהיא נותנת לאותה רשומה, לפני ה־all.
| הסיום | מה קורה למייל משרת שלא ברשימה |
|---|---|
-all | נכשל. זו ההמלצה של מיקרוסופט כשיש גם DKIM ו־DMARC. |
~all | נכשל בעדינות ובדרך כלל מסומן כחשוד. זו ההמלצה של גוגל. |
?all | ניטרלי, כמעט לא מגן. |
+all | עובר: כל שרת בעולם מורשה לשלוח בשמכם. אסור להשתמש בזה. |
רשומה אחת בלבד
שתי רשומות SPF באותו דומיין שוברות את שתיהן: השרת המקבל לא יודע איזו לבדוק ומחזיר שגיאה (permerror). כשמוסיפים ספק, מוסיפים אותו לרשומה הקיימת.
עד 10 בדיקות DNS
כל include, a, mx, ptr, exists ו־redirect דורש בדיקת DNS, כולל אלה שמסתתרים בתוך ה־include של הספקים. התקן (RFC 7208) מתיר עד 10. ip4, ip6 ו־all לא נספרים.
כל תת־דומיין בנפרד
רשומת ה־SPF של הדומיין לא חלה על תת־דומיין. אם מערכת דיוור שולחת מ־news.example.co.il, צריך שם רשומה משלו.
מה זה רשומת DKIM, ואיך מוצאים את ה־selector
DKIM היא חתימה דיגיטלית. הספק ששולח את המיילים חותם כל הודעה במפתח פרטי, ומפרסם ב־DNS את המפתח הציבורי תחת שם שנקרא selector. השרת המקבל קורא את ה־selector מהחתימה, מוצא את המפתח ובודק שההודעה לא שונתה בדרך.
| הספק | שם הרשומה | סוג |
|---|---|---|
| Google Workspace | google._domainkey | TXT |
| Microsoft 365 | selector1._domainkey ו־selector2._domainkey | CNAME |
| Mailchimp | k2._domainkey ו־k3._domainkey (בהגדרות ישנות גם k1._domainkey) | CNAME |
| SendGrid | s1._domainkey ו־s2._domainkey | CNAME |
| SendGrid בלי automated security | m1._domainkey | TXT |
| Resend | resend._domainkey | TXT |
פתחו מייל ששלחתם
מהדומיין שאתם בודקים, לתיבה שלכם או של מישהו קרוב.
הציגו את המקור המלא
בג׳ימייל זה בתפריט של שלוש הנקודות. חפשו את השורה שמתחילה ב־DKIM-Signature.
העתיקו את מה שאחרי s=
זה ה־selector. הדומיין שאחרי d= הוא הדומיין שחתם. הכניסו את ה־selector בשדה שמתחת לבדיקה, ובדקו שוב.
מה זה רשומת DMARC, ואיך מחמירים בלי לאבד מיילים
DMARC היא רשומת TXT בשם _dmarc. היא בודקת שהדומיין שבשורת השולח, זה שהנמען רואה, תואם לדומיין שעבר SPF או DKIM, ומבקשת מהשרת המקבל איך לטפל במייל כשלא.
| הערך | מה השרת המקבל מתבקש לעשות עם מייל שנכשל |
|---|---|
p=none | כלום: המייל מטופל כרגיל, ואתם מקבלים דוחות. |
p=quarantine | לטפל בו כחשוד. בדרך כלל הוא נוחת בספאם. |
p=reject | לדחות אותו. לפי התקן העדכני (RFC 9989) שרת לא דוחה רק בגלל זה, ובלי מידע נוסף הוא מטפל במייל כחשוד. |
מתחילים ב־p=none עם דוחות
שום מייל לא נחסם, ושרתי הדואר הגדולים מתחילים לשלוח לכם דוחות על מי ששולח בשמכם.
v=DMARC1; p=none; rua=mailto:dmarc@example.co.ilקוראים את הדוחות
רואים את המערכות ששולחות בשמכם: ספק הדואר, מערכת הדיוור, החשבוניות, ה־CRM. כל אחת צריכה לעבור SPF או DKIM בדומיין שלכם.
מחמירים ל־quarantine
כשהדוחות מראים שכל המערכות שלכם עוברות את הבדיקה. מייל מזויף בשמכם יתחיל לנחות בספאם.
reject, רק אם הוא מתאים לכם
דומיין עם reject חייב לחתום ב־DKIM על כל המיילים שלו. ואם עובדים כותבים מהדומיין לרשימות תפוצה, התקן העדכני ממליץ לא לעבור ל־reject, כי הוא עלול לחסום את המיילים שלהם לרשימה.
pct יצא מהתקן ובמקומו יש t=y למצב בדיקה, ונוסף np למדיניות של תת־דומיינים שלא קיימים. שרתים שעוד עובדים לפי התקן הקודם מכבדים את pct ולא מכירים את t, אז בתקופת המעבר אפשר להחזיק את שניהם. רשומה שנכתבה לפי התקן הקודם ממשיכה לעבוד.SPF, DKIM ו־DMARC: מה ההבדל
שלוש רשומות שעונות על שלוש שאלות שונות. צריך את שלושתן, כי כל אחת סוגרת פרצה שהאחרות משאירות.
| מה בודקים | SPF | DKIM | DMARC |
|---|---|---|---|
| על מה היא עונה | מאיזה שרת מותר לשלוח בשמכם | שההודעה חתומה ולא שונתה בדרך | מה עושים כשמייל בשמכם נכשל |
| איפה היא יושבת | TXT בדומיין עצמו | TXT או CNAME ב־selector._domainkey | TXT ב־_dmarc |
| מה קורה כשהיא חסרה | השרת לא יודע מי מורשה לשלוח | אין חתימה, ומייל שמועבר הלאה עלול להיכשל ב־DMARC | אין הוראה למייל מזויף, ואין דוחות |
| דוגמה | v=spf1 include:_spf.google.com ~all | google._domainkey | v=DMARC1; p=none; rua=mailto:… |
מה ג׳ימייל ויאהו דורשות משולחים
מאז פברואר 2024 שתיהן דורשות אימות, והדרישות עולות עם הכמות. גוגל כותבת שמייל שלא עומד בהן עלול לנחות בספאם או להידחות.
| ספק הדואר | כל שולח | שולח בכמויות |
|---|---|---|
| ג׳ימייל | SPF או DKIM, ושיעור ספאם מתחת ל־0.3% | מעל 5,000 הודעות ביום: SPF, DKIM ו־DMARC (מספיק p=none), התאמה בין הדומיין שבשורת השולח ל־SPF או ל־DKIM, והסרה בלחיצה אחת |
| יאהו | SPF או DKIM, ושיעור ספאם מתחת ל־0.3% | SPF, DKIM ו־DMARC (לפחות p=none), התאמה לדומיין שבשורת השולח, והסרה בלחיצה אחת |
מקורות: הנחיות השולחים של גוגל והנחיות השולחים של יאהו. נבדק באוקטובר 2026.
הבדיקה מצאה חוסרים? אני מסדר את זה בשבילכם
שאלות על SPF, DKIM ו־DMARC
מה זה SPF במייל?
SPF (Sender Policy Framework) היא רשומת TXT ב־DNS של הדומיין, שמפרטת אילו שרתים מורשים לשלוח מיילים בשמו. שרת שמקבל מייל בודק אם השרת ששלח אותו מופיע ברשומה. בלי SPF, או עם SPF שבור, קל יותר לזייף מייל בשמכם, והמיילים האמיתיים שלכם נראים חשודים.
איך נראית רשומת SPF תקינה?
רשומה אחת בדומיין עצמו, שמתחילה ב־v=spf1, מונה את השירותים ששולחים בשמכם ונגמרת ב־~all או ב־-all. למשל, לעסק שהדואר שלו ב־Google Workspace: v=spf1 include:_spf.google.com ~all. כל הרשומה, כולל מה שנמצא בתוך ה־include, צריכה להסתפק ב־10 בדיקות DNS לכל היותר.
מה זה רשומת DKIM?
רשומת DKIM מפרסמת ב־DNS את המפתח הציבורי שבעזרתו שרתים בודקים את החתימה הדיגיטלית על המיילים שלכם. היא יושבת בכתובת שמורכבת מ־selector ומ־_domainkey, למשל google._domainkey ב־Google Workspace. את הרשומה מייצר ספק הדואר, ואתם רק מעתיקים אותה ל־DNS.
איך מגדירים DKIM?
מפעילים חתימת DKIM אצל ספק הדואר או מערכת הדיוור, מעתיקים את הרשומה שהספק נותן (TXT או CNAME) ל־DNS של הדומיין, וחוזרים לספק כדי להפעיל את החתימה. ב־Google Workspace זה בממשק הניהול, תחת Gmail ואז Authenticate email. ב־Microsoft 365 זה בפורטל Microsoft Defender, בעמוד Email authentication settings.
מה זה רשומת DMARC ולמה צריך להגדיר אותה?
DMARC היא רשומת TXT בשם _dmarc שמבקשת משרתי הדואר איך לטפל במייל בשמכם שנכשל בבדיקה: להעביר אותו כרגיל (p=none), לטפל בו כחשוד, בדרך כלל בספאם (p=quarantine), או לדחות אותו (p=reject). היא גם מאפשרת לקבל משרתי הדואר דוחות על מי ששולח בשם הדומיין. בלעדיה קל יותר לזייף מייל בשמכם בלי שתדעו, וג׳ימייל דורשת אותה מכל מי ששולח לה יותר מ־5,000 הודעות ביום.
איך בודקים SPF, DKIM ו־DMARC לדומיין?
מכניסים את הדומיין בבדיקה שבראש העמוד. היא קוראת את רשומות ה־SPF, ה־DMARC וה־MX, מחפשת מפתחות DKIM בשמות הנפוצים ומסבירה כל ממצא. אפשר גם לפתוח מייל שקיבלתם מהדומיין ולהציג את המקור שלו: בשורה Authentication-Results כתוב אם המייל עבר SPF, DKIM ו־DMARC.
מה זה רשומת MX?
רשומת MX קובעת לאילו שרתים נשלח דואר שמגיע לדומיין שלכם. היא לא חלק מהאימות של מה שאתם שולחים, אבל היא מראה אצל איזה ספק הדואר שלכם. ב־Google Workspace, למשל, הערך הוא smtp.google.com.
הבדיקה לא מצאה DKIM. זה אומר שאין לי?
לא בהכרח. אי אפשר לשאול את ה־DNS אילו מפתחות DKIM יש לדומיין, אפשר רק לבדוק שם מסוים. הבדיקה מנסה את השמות של הספקים הנפוצים, אבל הרבה ספקים משתמשים בשם משלהם. מצאו את ה־selector בשורה DKIM-Signature של מייל ששלחתם, אחרי s=, והכניסו אותו בשדה הייעודי.
תיקנתי את הרשומה. למה הבדיקה עוד מראה את הישן?
שרתי DNS שומרים תשובה בזיכרון לזמן שנקבע ברשומה (TTL), בדרך כלל בין כמה דקות לשעה ולפעמים יותר. אחרי שהזמן עובר הבדיקה תראה את הערך החדש. אם עברו כמה שעות ועדיין לא, בדקו שהרשומה נשמרה בשם הנכון ובדומיין הנכון.
הבדיקה שומרת את הדומיין שאני בודק?
לא. הבדיקה רצה בדפדפן שלכם, והדומיין נשלח רק לשרתי DNS ציבוריים: של Cloudflare, ואם צריך גם של Google. אני לא שומר את הדומיין, את התוצאות או שום דבר אחר מהבדיקה.
קרוב לזה
המיילים שלכם נוחתים בספאם? ספרו לי מה הבדיקה מצאה
שלחו לי מה ראיתם כאן, ואגיד לכם מה לתקן ובאיזה סדר. אם צריך, אני גם מגדיר את זה בשבילכם כחלק ממערך הדיוור.
מעדיפים לדבר? 052-877-5515