תשובה מהירה
איך יוצרים רשומת SPF לדומיין מותאם אישית?
צרו רשומת TXT אחת בשורש הדומיין שמתחילה ב-v=spf1, הוסיפו את ה-include של ספק הדואר שלכם (ל-Proton Mail, include:_spf.protonmail.ch), וסיימו ב-~all. לדומיין מותר רק רשומת SPF אחת, ו-SPF מאפשר עד 10 חיפושי DNS. Postelva מארחת את רשומת ה-TXT בעורך ה-DNS החינמי שלה.
ערכי SPF של ארבעה ספקי דוא"ל
| ספק | Include להוספה | רשומה מלאה טיפוסית |
|---|---|---|
| Proton Mail | include:_spf.protonmail.ch | v=spf1 include:_spf.protonmail.ch ~all |
| Mailbox.org | include:mailbox.org | v=spf1 include:mailbox.org ~all |
| Fastmail | include:spf.messagingengine.com | v=spf1 include:spf.messagingengine.com ?all |
| Mailfence | include:_spf.mailfence.com | v=spf1 include:_spf.mailfence.com -all (רק Mailfence שולחת) או ~all (גם שולחים אחרים) |
נבדק לאחרונה ב-; נתונים ישנים נושאים את התאריך שלהם
יצירת הרשומה בחמישה שלבים
רשמו כל שירות ששולח בשמכם
רשמו את ספק תיבת הדואר שלכם וכל כלי אחר ששולח בשמכם: שירות ניוזלטר, שירות תמיכה, טופס יצירת קשר באתר. לכל אחד צריך להיות מקום ברשומה.
בדקו אם רשומת SPF כבר קיימת
הסתכלו על רשומות ה-TXT בשורש הדומיין (@). אם אחת מתחילה ב-v=spf1, ערכו אותה. לעולם אל תיצרו שנייה.
בנו את הערך
התחילו עם v=spf1, הוסיפו include: אחד לכל שירות שולח, וסיימו ב-~all. דוגמה לפי Proton Mail לבדה: v=spf1 include:_spf.protonmail.ch ~all.
פרסמו כרשומת TXT
בעורך ה-DNS הוסיפו רשומת TXT עם host @ והערך לעיל. שמרו אותה כשורה אחת.
בדקו את התוצאה
בדקו את הרשומה עם dig TXT example.com +short, וודאו ששורה אחת בדיוק מתחילה ב-v=spf1. אחר כך שלחו הודעת בדיקה לכתובת אצל ספק אחר.
; Proton Mail only
example.com. IN TXT "v=spf1 include:_spf.protonmail.ch ~all"
; Proton Mail plus a second sending service (one record, two includes)
example.com. IN TXT "v=spf1 include:_spf.protonmail.ch include:spf.sender.example ~all"מה מכילה רשומת SPF?
רשומת SPF היא רשומת TXT שמתחילה ב-v=spf1 וממשיכה במנגנונים, שלכל אחד מהם מציין אופציונלי. RFC 7208 מגדיר את המנגנונים all, include, a, mx, ip4, ip6, exists ו-ptr, ואת המודיפייר redirect. המציין קובע את התוצאה כשמנגנון תואם: + מעביר (ברירת המחדל), - נכשל, ~ כשל רך ו-? ניטרלי.
לדומיין שמשתמש בספק דוא"ל, מנגנון אחד עושה כמעט את כל העבודה: include. הוא אומר למקבל לבדוק את רשומת SPF של דומיין הספק, ולהתייחס להתאמה שם כהתאמה לדומיין שלכם. אתם לא מעתיקים כתובות IP ביד, כך שהספק יכול לשנות את השרתים שלו בלי לגעת ב-DNS שלכם. אם אתם שולחים משרת משלכם, ip4 ו-ip6 מפרטים את הכתובות שלו ואינם עולים חיפוש.
SPF מפורסם כרשומת TXT. מחרוזת TXT אחת מוגבלת ל-255 אוקטטים, ורשומה ארוכה יותר מפוצלת למספר מחרוזות שהמקבל מחבר ללא רווח. רוב עורכי ה-DNS מבצעים את הפיצול בשבילכם.
למה לדומיין מותר רק רשומת SPF אחת?
אם שתי רשומות TXT מתחילות ב-v=spf1, המקבל לא יכול לבחור, ומחזיר שגיאה קבועה, כך שכל הודעה נכשלת ב-SPF. RFC 7208 קובע שדומיין לא יכול לכלול יותר מרשומת SPF אחת. Proton, Mailbox.org ו-Mailfence נותנות כולן את אותה עצה: כשמוסיפים שירות, שימו את ה-include שלו ברשומה שכבר קיימת.
הסיבה הנפוצה היא מעבר. מפרסמים את הרשומה של הספק החדש ושוכחים את הישנה. פתחו את רשימת ה-TXT, מזגו את שתי השורות לאחת, ומחקו את השארית. כשמחליפים ספק לצמיתות, החליפו את ה-include הישן במקום להוסיף לו. המעבר עצמו מתואר באיך מעבירים דוא"ל לספק חדש בלי לאבד הודעות.
מהי מגבלת 10 החיפושים ב-SPF?
הערכה של SPF נעצרת בשגיאה קבועה אחרי 10 מונחים שפונים ל-DNS, ולכן רשומה שצריכה 11 נכשלת עבור כל שולח. המונחים שנספרים הם include, a, mx, ptr, exists והמודיפייר redirect. המנגנונים all, ip4 ו-ip6 אינם נספרים. RFC 7208 גם קובע שמימושים צריכים להפסיק אחרי שני חיפושים ריקים, שמחזירים אפס או דומיין שאינו קיים.
include נספר כחיפוש אחד, ועוד כל החיפושים שבתוך הרשומה שנכללה. ספק תיבת דואר אחד הוא זול, אבל ערימה של שרת דואר, שירות ניוזלטר, שירות תמיכה וטופס באתר מצטברת. הסירו קודם את השירותים שכבר לא משתמשים בהם. כשכלי מפרסם כתובות IP קבועות, טווחי ip4 ו-ip6 לא עולים כלום. Postelva לא מדדה את הספירה המקוננת המדויקת של כל ספק, ולכן בדקו את הרשומה הסופית בחיפוש לפני שתסמכו עליה, כמתואר באיך בודקים רשומות MX, SPF, DKIM ו-DMARC.
האם לסיים את רשומת SPF ב-~all או ב--all?
השתמשו ב-~all, אלא אם אתם שולטים בכל השולחים: הוא מסמן שרתים אחרים כחשודים בלי לבקש מהמקבלים לסרב לדואר לגמרי. המציין על all הוא הפסיקה לכל שרת שלא התאים לשום דבר קודם. -all פירושו כישלון, ~all פירושו כשל רך, ו-?all פירושו ניטרלי.
-all מחמיר יותר, אבל RFC 9989 מזהיר שהוא עלול לגרום למקבל לדחות הודעה לפני ש-DMARC בכלל רץ, מה שמסתיר הודעה מועברת ש-DKIM היה מציל. לכן הרשומה ש-Proton ו-Mailbox.org מציגות מסתיימת ב-~all. לפי ההשוואה של Postelva מ-12 בנובמבר 2026, שלושת הספקים שיש להם ערך SPF מלא בדפי העזרה שלהם (Proton Mail, Mailbox.org, Fastmail) משתמשים כל אחד בדיוק ב-include אחד, ולכן רשומה של ספק אחד עולה חיפוש אחד, ושניים מהם מסתיימים ב-~all, בעוד שהערך של Fastmail מסתיים ב-?all.
בכל סיומת, DMARC הוא זה שאוכף. הגדירו את המדיניות שם, כפי שמוסבר במדריך הגדרת DMARC. שלוש הרשומות מושוות בSPF לעומת DKIM לעומת DMARC.
מה SPF בודק, ומה הוא לא בודק?
SPF בודק את השרת שמאחורי מעטפת השולח ואת שם ה-HELO, ולא את כתובת ה-From בהודעה שהקורא רואה. הודעה יכולה לעבור SPF עבור דומיין שאיש לא שם לב אליו, ועדיין להציג את הדומיין שלכם בשורת ה-From. DMARC סוגר את הפער הזה בכך שהוא דורש התאמה בין השניים.
SPF גם לא שורד העברה פשוטה, כי מעביר שולח מכתובת ה-IP שלו. כלל אצבע לציטוט: SPF מאשר שרתים, רשומה אחת לדומיין, ועד 10 חיפושים. לדומיין שלא שולח שום דבר פרסמו v=spf1 -all ואת התבנית "אין דוא"ל" של Postelva; לדומיין ששולח ומקבל, תבניות DNS בלחיצה אחת ל-Proton Mail, Fastmail, Zoho Mail, Google Workspace ו-Microsoft 365, בתוספת תבנית SPF + DMARC ותבנית "בלי אימייל" לדומיין שלא שולח דואר.
שאלות על רשומת SPF
איפה שמים את רשומת SPF?
ברשומת TXT בשורש הדומיין, כ-host @ ברוב עורכי ה-DNS. ל-SPF אין סוג רשומה נפרד, וסוג SPF הישן אינו בשימוש.
כמה זמן לוקח שינוי ב-SPF לפעול?
השינוי מתפשט בערך בזמן ה-TTL הישן של הרשומה, לרוב תוך שעה או שעתיים. מפענח ששמר במטמון רשומה חסרה עלול להמשיך לענות בתוצאה הישנה עד זמן ה-negative-cache של האזור.
האם צריך רשומת SPF אם אני רק מקבל דואר?
כן, קצרה: פרסמו v=spf1 -all כדי לומר שאף שרת לא שולח בשם הדומיין. זה מונע מאחרים להשתמש בשם בהודעות מזויפות.
האם אפשר להוסיף לרשומה את טופס יצירת הקשר של האתר שלי?
כן, עם ה-include שלו או עם כתובת ה-IP שלו. אם הוא שולח דרך ספק תיבת הדואר שלכם, לא צריך ערך נוסף. אם הוא שולח משרת האינטרנט שלכם, הוסיפו את המארח הזה כמקור.
האם מנגנון ptr שימושי?
לא. RFC 7208 מסמן את ptr כ"אין להשתמש". הוא איטי, והוא נספר במגבלת 10 החיפושים.
בקצרה
- SPF הוא רשומת TXT אחת בשורש הדומיין שמתחילה ב-v=spf1.
- פרסמו רק רשומת SPF אחת לכל דומיין; שתי רשומות גורמות לשגיאה קבועה.
- ההערכה נעצרת אחרי 10 מונחים שפונים ל-DNS: include, a, mx, ptr, exists, redirect.
- ip4, ip6 ו-all אינם נספרים במגבלה.
- Proton Mail: v=spf1 include:_spf.protonmail.ch ~all; Mailbox.org: v=spf1 include:mailbox.org ~all.
- ~all הוא הסיומת הרגילה; DMARC הוא זה שאוכף.
- Postelva מארחת את הרשומה ב-DNS חינמי; .com עולה 12.49 $/שנה בכל שנה.
מקורות (5)
- RFC 7208, Sender Policy Framework (SPF), סעיפים 4.5 ו-4.6.4 — RFC Editor (נקרא 2026-11-12)
- RFC 9989, DMARC, סעיף 7.1 — RFC Editor (נקרא 2026-11-12)
- הגנה על דומיין מותאם ומניעת זיוף — Proton (נקרא 2026-11-12)
- SPF, DKIM ו-DMARC לדומיין מותאם — Mailbox.org (נקרא 2026-11-12)
- עזרה ב-DNS של Fastmail — Fastmail (נקרא 2026-11-12)