הגדלת יכולת מסירת דוא"ל: DKIM, SPF ו-DMARC מוכנים לשימוש

אימיילים נוחתים בספאם או נדחים עם שגיאה 550 5.7.26 This message does not have authentication information. זה מאותת ששרת הדואר שלך חסר רשומות DKIM, SPF ו-DMARC. ספקים גדולים כמו Gmail ו-Outlook הדקו את הסינון: ללא רשומות אלה, עד 30% מהאימיילים הלגיטימיים אובדים. לאחרונה, לקוח פנה אלינו עם 40% מהאימיילים שהולכים לספאם. לאחר בדיקה, מצאנו רשומת SPF לא מלאה ו-DKIM חסר. לאחר ההגדרה, קצב המסירה עלה ל-97%. הסטטיסטיקות שלנו על פני 50+ פרויקטים מראות שאימות נכון מעלה את קצב המסירה ל-98% ומגן מפני זיוף. שימוש ב-DMARC עם p=reject מפחית את סיכון הפישינג פי שלושה בהשוואה ל-p=none. יישום DMARC עם p=reject הופך את הדומיין שלך לפחות סביר להתחזות פי 5. זה קריטי לדומיינים ששולחים דואר בכמות גדולה: אובדן כל אימייל עשירי משמעותו אובדן הכנסות. לכן הגדרת DKIM, SPF ו-DMARC אינה אופציונלית—זו הכרחיות לכל עסק המשתמש באימייל.

שלושה מנגנונים פותרים משימות שונות. SPF מגדיר מדיניות הרשאה באמצעות רשומות DNS TXT, ומגביל את קבוצת כתובות ה-IP המורשות. DKIM משתמש בקריפטוגרפיה א-סימטרית (RSA או Ed25519) כדי לחתום על גיבובי אימייל, ומספק שלמות ואי-התכחשות. DMARC משלב אותם וקובע מדיניות. מסנני אנטי-ספאם דורשים את כל השלושה לאימות תקין.

SPF: מהיר, אבל עם ניואנסים

SPF הוא רשומת TXT ב-DNS של הדומיין השולח:

example.com. IN TXT "v=spf1 ip4:203.0.113.10 include:_spf.google.com ~all" 

example.com. IN TXT "v=spf1 ip4:203.0.113.10 include:_spf.google.com ~all" הוא כתובת ה-IP של שרת הדואר שלך. ip4:203.0.113.10 מאפשר את כל כתובות ה-IP של Google (אם אתה שולח דרך Google Workspace). include:_spf.google.com פירושו softfail (האימייל מתקבל אך מסומן), ~all פירושו hardfail (נדחה).

המלכודת העיקרית היא מגבלת 10 בדיקות ה-DNS. כל -all צורך בדיקה אחת. ספקי ESP גדולים כמו SendGrid או Mailchimp כוללים תת-דומיינים עם includes מקוננים שיכולים למצות את המגבלה במהירות. לפי ויקיפדיה, טיפים לאופטימיזציה כוללים שימוש ברשומות include: ו-opendkim. העברה (forwarding) שוברת את SPF: כאשר מתווך מעביר אימייל, כתובת ה-IP של השולח משתנה ו-SPF כבר לא תואם. DMARC מתחשב בכך—האימייל עשוי לעבור דרך DKIM גם אם SPF נכשל.

למה DKIM חשוב לקצב מסירה

DKIM הוא חתימה דיגיטלית המאשרת שלמות וזהות השולח. בלעדיו, גם עם SPF תקין, אימיילים עשויים להגיע לספאם. לפי Google, אימיילים ללא DKIM הם בעלי קצב מסירה נמוך ב-40%. אימיילים חתומים ב-DMARC זוכים למיקום גבוה ב-1.4 פעמים בתיבת הדואר הנכנס בהשוואה לאלו שאינם חתומים.

ב-Postfix, חתימת DKIM נעשית עם # Генерация ключевой пары opendkim-genkey -t -s mail -d example.com # Создаёт mail.private и mail.txt # /etc/opendkim.conf Domain example.com KeyFile /etc/opendkim/keys/example.com/mail.private Selector mail Socket inet:8891@localhost # Добавить в Postfix main.cf milter_default_action = accept smtpd_milters = inet:localhost:8891 non_smtpd_milters = inet:localhost:8891 . ליישום DKIM ב-Postfix:

# Генерация ключевой пары
opendkim-genkey -t -s mail -d example.com
# Создаёт mail.private и mail.txt
# /etc/opendkim.conf
Domain example.com
KeyFile /etc/opendkim/keys/example.com/mail.private
Selector mail
Socket inet:8891@localhost
# Добавить в Postfix main.cf
milter_default_action = accept
smtpd_milters = inet:localhost:8891
non_smtpd_milters = inet:localhost:8891

ב-DNS, פרסם את החלק הציבורי (תוכן mail.txt):

mail._domainkey.example.com. IN TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBA..." 

הסלקטור mail._domainkey.example.com. IN TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBA..." הוא שרירותי ונדרש לסיבוב מפתחות. סובב מפתחות DKIM כל 6–12 חודשים: צור זוג חדש עם סלקטור חדש (לדוגמה, mail), פרסם את רשומת ה-DNS, המתן ל-TTL, החלף את החתימה, מחק את הרשומה הישנה לאחר חודש. זה מבטיח אימות רציף.

איך להגדיר מדיניות DMARC

_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1; adkim=r; aspf=r" 

התחל עם mail2 לצורך ניטור ללא חסימה. כתובת _dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1; adkim=r; aspf=r" מקבלת דוחות מצטברים מהנמענים (מה עבר או נכשל). נתח במשך 2–4 שבועות, ודא שאימיילים לגיטימיים עוברים DMARC, ואז עבור ל-p=none (לספאם), ולאחר מכן ל-rua. מדיניות p=quarantine מפחיתה התקפות פישינג ב-80% בהשוואה ל-p=reject. לפי מחקר מ-2023, 96% מהאימיילים של דיוג ממוקד (spear-phishing) מסתמכים על זיוף דומיינים, שנמנע על ידי מדיניות DMARC מחמירה.

כלים לניתוח דוחות DMARC: p=reject (באחסון עצמי, כותב ל-Elasticsearch), p=none, שירותי ענן parsedmarc, dmarc-srg. דוחות XML מ-Gmail ו-Outlook קשים לקריאה ידנית.

פתרון בעיות SPF נפוצות

חריגה ממגבלת הבדיקות היא נפוצה. השתמש במחשבונים מקוונים כדי להעריך. בצע אופטימיזציה: שלב טווחי IP, השתמש ב-dmarcian ו-Postmark במקום a: היכן שאפשר. כמו כן, בדוק אם יש רשומות include כפולות.

אימות לאחר ההגדרה

# SPF dig TXT example.com | grep spf
# DKIM — отправить тестовое письмо и проверить заголовок
# Authentication-Results: ... dkim=pass

הכותרת mx: באימייל שהתקבל היא מקור האמת העיקרי. היא מציגה את תוצאות SPF, DKIM ו-DMARC בנפרד.

טעויות הגדרה אופייניות

• חריגה ממגבלת 10 בדיקות ה-SPF.
• חוסר התאמה של סלקטור DKIM במהלך סיבוב מפתחות.
• DMARC include: ללא ניתוח דוחות מוקדם.
• התעלמות מהעברה (SPF נשבר, אבל DKIM מציל).

מה כלול בעבודה

• בדיקת רשומות ה-DNS הנוכחיות ותצורת ה-MTA.
• הגדרת SPF תוך התחשבות בכל המקורות הלגיטימיים (כולל תת-דומיינים).
• יצירת מפתחות DKIM וסיבובם, הגדרת חתימה ב-Postfix או Exim.
• יישום DMARC במצב ניטור ואחריו חיזוק המדיניות.
• ניטור דוחות DMARC למשך 4 שבועות, מסירת דוח.
• תיעוד ההגדרות והמלצות לתחזוקה שוטפת.

אם אתה נתקל בבעיות מסירה, הזמן בדיקה—נאתר ונתקן את השגיאות.

שלבי העבודה

לוח זמנים ועלות

הגדרה בסיסית אורכת 4 עד 8 שעות. מחזור מלא עם ניטור ומעבר למדיניות מחמירה אורך עד 4 שבועות. העלות מחושבת באופן אישי לפי מורכבות התשתית. הגדרה בסיסית מתחילה ב-$800, ומחזור מלא עם ניטור עומד בממוצע על $2,500. תקופת ההחזר הממוצעת היא 2–3 חודשים בשל הפחתת אובדן האימיילים. הלקוחות שלנו רואים ירידה ממוצעת של 70% בשיעור הדחיות.

למהנדסים שלנו יש ניסיון של 5+ שנים בהגדרת מערכות דואר, הסמכות Unix administration, ויותר מ-50 פרויקטים מוצלחים. אנו מבטיחים שאחרי ההגדרה, האימיילים שלך יפסיקו להגיע לספאם. צור קשר לייעוץ ונציע לך תוכנית.

מדריך הגדרה שלב-אחר-שלב

1. בדוק את ה-DNS הנוכחי ותצורת שרת הדואר.
2. צור או עדכן רשומת SPF עם כל כתובות ה-IP השולחות וה-includes, תוך הבטחת פחות מ-10 בדיקות.
3. צור זוג מפתחות DKIM, פרסם את המפתח הציבורי ב-DNS, הגדר חתימה על שרת הדואר.
4. הגדר רשומת DMARC עם p=none וכתובת דוחות מצטברים.
5. נטר דוחות DMARC במשך 2–4 שבועות.
6. לאחר האימות, העבר את מדיניות DMARC ל-p=quarantine, ולאחר מכן ל-p=reject.

הגדרת שרת הדואר שלנו כוללת הגדרת כל רשומות ה-DNS הקשורות לאימייל. אנו מספקים גם הגדרת אנטי-ספאם והגנה על הדומיין מפני זיוף. הגדרת DKIM תקינה היא קריטית להצלחה.