תשובה מהירה
איך מגדירים DKIM לדומיין אימייל מותאם אישית?
פתחו את הגדרות הדומיין של ספק האימייל שלכם, העתיקו את רשומות ה-DKIM שהוא מציג ופרסמו אותן ב-DNS שלכם תחת השם _domainkey: שלוש רשומות CNAME ל-Proton Mail ול-Fastmail, וארבע ל-Mailbox.org. Postelva מארחת אותן בעורך ה-DNS החינמי שלה, והחתימה מתחילה כשהספק מזהה את הרשומות.
רשומות DKIM של שלושה ספקים
| ספק | רשומות | שמות (מארח) | מצביעות על |
|---|---|---|---|
| Proton Mail | 3 CNAME | protonmail._domainkey, protonmail2._domainkey, protonmail3._domainkey | יעד תחת domains.proton.ch, ייחודי לדומיין שלכם |
| Mailbox.org | 4 CNAME | MBO0001._domainkey עד MBO0004._domainkey | MBO0001._domainkey.mailbox.org וכן הלאה עד MBO0004 |
| Fastmail | 3 CNAME | fm1._domainkey, fm2._domainkey, fm3._domainkey | fm1.yourdomain.dkim.fmhosted.com, fm2 ו-fm3 באותו אופן |
נבדק לאחרונה ב-; נתונים ישנים נושאים את התאריך שלהם
הגדרת DKIM בחמישה צעדים
פתחו את לשונית ה-DKIM של הספק
ב-Proton Mail זה Settings, Organization, Domain names, ואז לשונית ה-DKIM של הדומיין. ב-Fastmail וב-Mailbox.org הגדרות הדומיין מציגות את הרשומות.
העתיקו כל שם ויעד
העתיקו אותם בדיוק. אל תקלידו מחדש: תו שגוי אחד ביעד הופך את המפתח לבלתי קריא.
הוסיפו את הרשומות בעורך ה-DNS
צרו רשומת CNAME אחת בכל שורה, עם המארח שהספק נתן. אם עורך ה-DNS שלכם מוסיף את הדומיין בעצמו, הזינו רק את החלק שלפניו.
המתינו, ואז בקשו מהספק לאמת
לחצו על כפתור האימות או הבדיקה מחדש של הספק. רשומה חדשה יכולה להיראות בכל מקום תוך כמה דקות עד כמה שעות.
שלחו הודעת בדיקה וקראו את התוצאה
שלחו הודעה לכתובת אצל ספק אחר, פתחו את הכותרות המלאות וחפשו dkim=pass. ואז עברו לרשומת ה-DMARC.
; Fastmail (replace example.com with your domain)
fm1._domainkey.example.com. IN CNAME fm1.example.com.dkim.fmhosted.com.
fm2._domainkey.example.com. IN CNAME fm2.example.com.dkim.fmhosted.com.
fm3._domainkey.example.com. IN CNAME fm3.example.com.dkim.fmhosted.com.
; Mailbox.org
MBO0001._domainkey.example.com. IN CNAME MBO0001._domainkey.mailbox.org.
MBO0002._domainkey.example.com. IN CNAME MBO0002._domainkey.mailbox.org.
MBO0003._domainkey.example.com. IN CNAME MBO0003._domainkey.mailbox.org.
MBO0004._domainkey.example.com. IN CNAME MBO0004._domainkey.mailbox.org.איך DKIM עובד?
DKIM מאפשר לשרת השולח לחתום כל הודעה במפתח פרטי, ולכל מקבל לבדוק את החתימה במפתח ציבורי שמפורסם ב-DNS. החתימה נמצאת בכותרת DKIM-Signature. היא נושאת את הדומיין החותם (d=), ה-selector (s=), הכותרות החתומות (h=), גיבוב של הגוף (bh=) והחתימה עצמה (b=). RFC 6376, תקן אינטרנט, מגדיר את התגים האלה.
המקבל בונה את שם ה-DNS מה-selector והדומיין: selector._domainkey.domain. עבור ה-selector fm1 והדומיין example.com, הוא שואל על fm1._domainkey.example.com. התשובה היא רשומה עם התגים v=DKIM1, k=rsa ו-p= ואחריו המפתח הציבורי בבסיס 64. p= ריק פירושו שהמפתח בוטל.
חתימה תקפה מוכיחה שני דברים: ההודעה נחתמה על ידי מערכת שמחזיקה במפתח הפרטי של הדומיין, והחלקים החתומים לא השתנו בדרך. זה לא אומר שההודעה רצויה. השיפוט הזה שייך ל-DMARC, שמכוסה בSPF לעומת DKIM לעומת DMARC.
למה ספקים מבקשים רשומות CNAME במקום מפתח?
CNAME מוסר את המפתח לספק: המפתח הציבורי נשאר בכתובת של הספק, והספק יכול להחליף אותו בלי לבקש מכם לערוך DNS. Proton Mail, Fastmail ו-Mailbox.org משתמשות כולן בדפוס הזה. הרשומות שלהן הן CNAME משם ה-selector שלכם למארח שהן שולטות בו, והמארח מחזיק את רשומת המפתח בפועל.
היתרון הוא סבב מפתחות. RFC 6376 ממליץ לפרסם מפתחות חדשים תחת selectors חדשים ולא לעשות שימוש חוזר ב-selector, ו-Proton Mail מפרסמת שלושה selectors (protonmail, protonmail2, protonmail3), מה שנותן לספק מקום לעבור ממפתח למפתח. המחיר עבורכם הוא אמון: אתם נשענים על כך שהמארח של הספק ימשיך לענות.
לפי ההשוואה של Postelva מ-12 בנובמבר 2026, שלושת הספקים שרשומות ה-DKIM שלהם נקראו בעמודי העזרה שלהם דורשים 3, 4 ו-3 רשומות CNAME, כלומר 10 בסך הכול, ואף אחד מהם לא מבקש מפתח TXT.
כמה צריך להיות אורך מפתח ה-DKIM?
השתמשו במפתח RSA של 2048 ביט; 1024 ביט הוא המינימום ש-RFC 6376 מתיר למפתחים לטווח ארוך. התקן קובע שחותמים חייבים להשתמש במפתחות RSA של לפחות 1024 ביט, ומאמתים חייבים להיות מסוגלים לבדוק מפתחות מ-512 עד 2048 ביט. ההנחיות של Google לשולחים דורשות לפחות 1024 ביט ומומלצות 2048. כשהספק יוצר את המפתח, כמו בהגדרת ה-CNAME שלמעלה, האורך הוא בחירתו, ואין לכם מה להגדיר.
כשאתם צריכים לבחור גודל בעצמכם, בחרו 2048. מפתח של 2048 ביט ארוך ממחרוזת אחת של 255 תווים ב-DNS, לכן ערך ה-TXT מפוצל למספר מחרוזות, וזה מה שרוב עורכי ה-DNS עושים לבד. אותה מגבלה של העורך חלה על רשומת ה-SPF המתוארת באיך יוצרים רשומת SPF.
האם אפשר להשתמש בכמה ספקים על דומיין אחד?
כן: כל ספק חותם עם ה-selector שלו, כך שרשומות ה-DKIM שלהם לא מתנגשות. ה-selector הוא הסיבה. Proton משתמשת ב-protonmail, protonmail2 ו-protonmail3; Fastmail משתמשת ב-fm1, fm2 ו-fm3; Mailbox.org משתמשת ב-MBO0001 עד MBO0004. כלי ניוזלטרים ששולח בשמכם מוסיף selector משלו.
SPF שונה: יש בו רשומה אחת לכל השולחים, עם מגבלה של 10 בדיקות. כשעוזבים ספק לתמיד, מסירים את רשומות ה-DKIM שלו אחרי שאישרתם שהספק החדש חותם, כדי שמפתח נטוש לא ישמש מי שיקבל גישה לחשבון הישן. לסדר המלא של מעבר, ראו איך מעבירים דואר לספק חדש בלי לאבד הודעות.
איך בודקים ש-DKIM עובד?
בודקים את ה-selector עם dig ואז שולחים הודעה אמיתית. הפקודה dig CNAME fm1._domainkey.example.com +short אמורה להדפיס את היעד של הספק. למפתח TXT, בקשו TXT במקום. המבחן המכריע הוא הודעה: הכותרות של העותק שהתקבל מראות אם השרת המקבל רשם dkim=pass.
אם הרשומה נכונה והבדיקה עדיין נכשלת, הסיבות הנפוצות הן שם מארח שגוי (הדומיין נוסף פעמיים על ידי עורך ה-DNS), מטמון ישן, או הודעה שנשלחה לפני שהספק הפעיל חתימה. המדריך הבא, איך בודקים רשומות MX, SPF, DKIM ו-DMARC, מפרט את הפקודות. השלבים המלאים של Fastmail נמצאים במדריך הדומיין המותאם של Fastmail.
שאלות על הגדרת DKIM
מהו selector של DKIM?
selector הוא תווית שהחותם בוחר, שמזהה מפתח אחד, כמו fm1 או protonmail. הוא מאפשר לדומיין להחזיק כמה מפתחות בבת אחת ולהחליף אותם בלי השבתה.
האם אני צריך DKIM אם כבר יש לי SPF?
כן. SPF נשבר כשהודעה מועברת, בעוד שחתימת DKIM שורדת אם ההודעה לא שונתה. הכללים של Gmail לשולחים בכמות גדולה דורשים את שניהם.
למה עורך ה-DNS שלי דוחה רשומה שמתחילה בקו תחתון?
שמות עם קו תחתון, כמו _domainkey, תקפים ב-DNS, אף שאינם שמות מארח תקינים. הזינו את המארח בדיוק כפי שהספק מציג אותו, בלי להוסיף את הדומיין פעמיים.
האם אפשר לשנות את ה-selector של DKIM?
הספק קובע אותו. Mailbox.org משתמשת ב-MBO0001 עד MBO0004, Fastmail ב-fm1 עד fm3, ו-Proton Mail ב-protonmail עד protonmail3. שמרו על השמות כפי שהם.
האם DKIM מצפין את ההודעה?
לא. הוא חותם את ההודעה כדי להוכיח מקור ושלמות, ואינו מסתיר את התוכן.
בקצרה
- DKIM חותם כל הודעה; המפתח הציבורי נמצא ב-selector._domainkey.domain.
- Proton Mail ו-Fastmail צריכות 3 רשומות CNAME, ו-Mailbox.org צריכה 4.
- העתיקו שמות ויעדים בדיוק מהמסך של הספק; יעדי Proton Mail ייחודיים לדומיין שלכם.
- RFC 6376 דורש מחותמים להשתמש במפתחות RSA של לפחות 1024 ביט; מומלצים 2048.
- לכל ספק יש selectors משלו, ולכן כמה יכולים לחתום על דומיין אחד.
- בדקו עם dig והודעה אמיתית שמציגה dkim=pass.
- Postelva מארחת את הרשומות ב-DNS בחינם; .com עולה 12.49 $/שנה בכל שנה.
מקורות (5)
- RFC 6376, DomainKeys Identified Mail (DKIM) Signatures — RFC Editor (נקרא 2026-11-12)
- הנחיות לשולחי אימייל — Google Workspace Admin Help (נקרא 2026-11-12)
- הגנה על דומיין מותאם ומניעת זיוף — Proton (נקרא 2026-11-12)
- SPF, DKIM ו-DMARC לדומיין מותאם — Mailbox.org (נקרא 2026-11-12)
- עזרה ב-DNS של Fastmail — Fastmail (נקרא 2026-11-12)