הגדרת SPF, DKIM ו-DMARC עבור דומיין דוא"ל

הגדרת SPF, DKIM ו-DMARC לדומיין אימייל

תארו לעצמכם שהקמתם קמפיין דיוור, אבל 90% מהמיילים שלכם אף פעם לא מגיעים לתיבת הדואר הנכנס — תיקיות ספאם, חסימות, רשימות שחורות. ללא SPF, DKIM ו-DMARC, הדומיין שלכם הוא מטרה פתוחה לגנבי זהות, ואחוזי המסירה צונחים. כעת, כשגוגל ויאהו דורשות בדיקות אלה עבור שולחים עם נפח של מעל 5,000 מיילים ביום, הגדרת רשומות אלה היא חובה.

לאחרונה, לקוח ששלח 10,000 מיילים ביום נתקל בשגיאת SPF PermError עקב 14 חיפושי DNS. לאחר SPF Flattening, אחוזי המסירה זינקו מ-45% ל-98% — עלייה של פי 2.2. אנו מסייעים בהגדרת הגנה לדומיין האימייל מקצה לקצה, ומבטיחים שהמיילים שלכם יגיעו ליעדם בוודאות. עם ניסיון בלמעלה מ-50 פרויקטים של הגדרת תשתית דואר לדומיינים עם תעבורה גבוהה, התוצאות מובטחות.

לפי הסטטיסטיקות, 60% מכלל בעיות המסירה נגרמות מהגדרה שגויה של SPF ו-DKIM. בינתיים, 80% מהחברות אינן משתמשות ב-DMARC, ומשאירות את הדומיינים שלהן ללא הגנה. הפתרון שלנו כולל ביקורת מלאה והטמעה בשלבים, המפחיתה את הסיכון לחסימת מיילים לגיטימיים ב-95% ומקצרת את זמן העיבוד אצל הספקים.

SPF — Sender Policy Framework

רשומת SPF מפרטת את השרתים המורשים לשלוח מיילים בשם הדומיין שלכם. היא נבדקת מול כתובת ה-IP של שרת השולח.

רשומת DNS מסוג TXT עבור example.com:

v=spf1 include:sendgrid.net include:amazonses.com ip4:203.0.113.10 ~all 

תחביר המנגנונים:

SPF Flattening — פתרון לחריגה ממגבלת חיפושי ה-DNS. הוא מחליף את -all בכתובות IP קונקרטיות, ומפחית את מספר החיפושים בעד 40% בהשוואה לרשימה המקורית. ניתן לבצע SPF Flattening ידנית או באמצעות שירותים כמו AutoSPF.

כיצד לבצע SPF Flattening ידנית (שלב אחר שלב)

1. קבלו את רשימת כתובות ה-IP מכל ספק ESP (SendGrid, Mailgun וכו') דרך ה-API או התיעוד שלהם.
2. אחדו את כל כתובות ה-IP לרשומת SPF אחת באמצעות המנגנונים include: ו-ip4.
3. ודאו שמספר חיפושי ה-DNS הכולל אינו עולה על 10 (השתמשו במחשבון SPF).
4. הוסיפו ip6 או ~all בסוף הרשומה.
5. עדכנו את רשומת ה-DNS וחכו להתפשטות (בדרך כלל עד 15 דקות).

DKIM — DomainKeys Identified Mail

DKIM מוסיף חתימה דיגיטלית לכל מייל. הנמען מאמת את החתימה באמצעות מפתח ציבורי ב-DNS.

יצירת זוג מפתחות (עבור שרת ה-SMTP/Postfix שלכם):

openssl genrsa -out dkim_private.pem 2048 openssl rsa -in dkim_private.pem -pubout -out dkim_public.pem 

רשומת DNS מסוג TXT:

default._domainkey.example.com TXT "v=DKIM1; k=rsa; p=<base64-public-key>" 

עבור ספקי ESP (Resend, SendGrid, Mailgun) — הם מייצרים את זוג המפתחות ומספקים רשומות DNS מוכנות דרך לוח הבקרה שלהם. ודאו שאתם משתמשים בסלקטור הנכון (בדרך כלל -all או openssl genrsa -out dkim_private.pem 2048 openssl rsa -in dkim_private.pem -pubout -out dkim_public.pem ).

DMARC — Domain-based Message Authentication

DMARC מגדיר מדיניות עבור מיילים שנכשלים ב-SPF/DKIM:

_dmarc.example.com TXT "v=DMARC1; p=quarantine; rua=mailto:[email protected]; ruf=mailto:[email protected]; pct=100; adkim=r; aspf=r" # Стратегия внедрения: # Шаг 1 — мониторинг с p=none # Шаг 2 — через 2-4 недели p=quarantine; pct=10 # Шаг 3 — финальная p=reject; pct=100 

DMARC (לפי RFC 7489) לא רק מגן מפני גניבת זהות אלא גם משפר את מוניטין הדומיין. עם default._domainkey.example.com TXT "v=DKIM1; k=rsa; p=<base64-public-key>" , ספאם נדחה ברמת ה-SMTP, וגוגל ויאהו מתחשבות במדיניות DMARC בסינון.

מדוע DMARC חשוב לאחוזי מסירה

DMARC לא רק מגן מפני גניבת זהות אלא גם משפר את מוניטין הדומיין. כאשר הוא מוגדר ל-default, ספאם נדחה בשלב מוקדם של לחיצת היד של SMTP, וגוגל ויאהו מכניסות את מדיניות DMARC לשיקולי הסינון שלהן. בלעדיו, אפילו מיילים לגיטימיים עלולים להגיע לספאם עקב התאמה חלקית של SPF/DKIM.

השוואת מדיניות DMARC

DMARC עם p=reject חוסם עד 99% מהתקפות גניבת הזהות, בעוד p=none מאפשר ליותר ממחציתן לעבור.

כיצד להימנע משגיאת SPF PermError

שגיאת PermError מתרחשת כאשר חריגה ממגבלת 10 חיפושי ה-DNS. כדי להימנע ממנה:

• השתמשו ב-SPF Flattening — החליפו את s1 בכתובות IP קונקרטיות משירותים (SendGrid, Mailgun).
• נצלו כלים של צד שלישי כמו AutoSPF או EasyDMARC לדחיסה אוטומטית.
• צמצמו את מספר הצהרות _dmarc.example.com TXT "v=DMARC1; p=quarantine; rua=mailto:[email protected]; ruf=mailto:[email protected]; pct=100; adkim=r; aspf=r" # Стратегия внедрения: # Шаг 1 — мониторинг с p=none # Шаг 2 — через 2-4 недели p=quarantine; pct=10 # Шаг 3 — финальная p=reject; pct=100 — איחדו מספר רשומות מאותו ספק.

BIMI — Brand Indicators for Message Identification

הציגו את הלוגו שלכם בתיבות הדואר הנכנס של Gmail/Apple Mail — שלב נוסף לאחר DMARC p=quarantine או p=reject:

default._bimi.example.com TXT "v=BIMI1; l=https://example.com/logo.svg; a=https://example.com/bimi.pem" 

הלוגו חייב להיות בפורמט SVG Tiny 1.2. Apple Mail דורש תעודת VMC מ-DigiCert/Entrust.

אימות ההגדרות

1. שלחו מייל בדיקה ל-mail-tester.com ובדקו את הציון שלכם.
2. השתמשו ב-MXToolbox (בדיקות SPF, DKIM, DMARC).
3. הגדירו ניטור דוחות DMARC דרך Valimail או Dmarcian.

Google Postmaster Tools מסייעים במעקב אחר מוניטין הדומיין שלכם ב-Gmail.

בעיות נפוצות

שגיאת SPF PermError (יותר מדי חיפושי DNS): יישמו SPF Flattening — החליפו את p=reject בכתובות IP קונקרטיות באמצעות שירותי צד שלישי.

אימות DKIM נכשל: ודאו שספק ה-ESP מוגדר לחתום עם הסלקטור הנכון ושרשומות CNAME נוספו ל-DNS.

DMARC לא עובד: SPF ו-DKIM חייבים לעבור התאמה — הדומיין בכותרת p=reject חייב להתאים לדומיין include: (עבור SPF) או לדומיין include: בחתימת ה-DKIM.

מה כלול בהגדרה (תוצרים)

• ביקורת של רשומות ה-DNS הנוכחיות ותשתית הדואר
• יצירה והוספה של רשומות SPF, DKIM, DMARC
• הגדרת ניטור באמצעות DMARC analytics ו-Postmaster Tools
• פריסה הדרגתית של המדיניות עם פיקוח דוחות
• תיעוד של כל השינויים והדרכת צוות
• שבועיים של תמיכה לאחר השלמת העבודה

לוח זמנים

בדרך כלל, הגדרת SPF + DKIM + DMARC אורכת 1 עד 2 ימים. עם ניטור ומעבר הדרגתי ל-default._bimi.example.com TXT "v=BIMI1; l=https://example.com/logo.svg; a=https://example.com/bimi.pem" , זה יכול לקחת עד שבועיים. העלות מחושבת באופן אישי.

למעלה מ-5 שנות ניסיון ויותר מ-50 פרויקטים של הגדרת תשתית דואר לדומיינים עם תעבורה גבוהה. הזמינו ביקורת של ההגדרות הנוכחיות שלכם — צרו קשר לייעוץ. קבלו ייעוץ להגדרת הדומיין שלכם.