תשובה מהירה
מה ההבדל בין SPF, DKIM ו-DMARC?
SPF מפרט את השרתים שמותר להם לשלוח דואר עבור הדומיין שלכם, DKIM מוסיף חתימה קריפטוגרפית לכל הודעה, ו-DMARC אומר למקבלים מה לעשות כששתי הבדיקות לא מתיישרות עם כתובת ה-From. Postelva מארחת את שלושתם כרשומות DNS בדומיין .com ב-12.49 $/שנה לשנה, עם DNS חינמי.
SPF, DKIM ו-DMARC זה לצד זה
| נקודה | SPF | DKIM | DMARC |
|---|---|---|---|
| מה הוא בודק | כתובת ה-IP של השרת שמוסר את ההודעה | חתימה שנוצרה עם מפתח פרטי של הדומיין השולח | ש-SPF או DKIM עברו וגם תואמים לדומיין בכתובת ה-From |
| איפה הוא נמצא ב-DNS | רשומת TXT בשם הדומיין, שמתחילה ב-v=spf1 | מפתח ציבורי ב-selector._domainkey.domain (TXT, או CNAME למפתח של הספק) | רשומת TXT ב-_dmarc.domain, שמתחילה ב-v=DMARC1 |
| מי מפרסם אותה | בעל הדומיין, מתוך ה-include של הספק | הספק יוצר את המפתחות; בעל הדומיין מפרסם אותם | בעל הדומיין לבדו |
| Standard | RFC 7208 (תקן מוצע) | RFC 6376 (תקן אינטרנט, STD 76) | RFC 9989 (תקן מוצע, מאי 2026, מחליף את RFC 7489) |
| מספר הרשומות | אחת לדומיין, לעולם לא שתיים | אחת לכל selector: 3 עבור Proton Mail ו-Fastmail, 4 עבור Mailbox.org | אחת לדומיין |
| המגבלה העיקרית | עד 10 חיפושי DNS | מפתח של לפחות 1024 סיביות לחותמים | חייב לעבור עם מזהה מיושר |
| נותן דוח | לא | לא | כן, דוחות מצטברים לכתובת rua |
נבדק לאחרונה ב-; נתונים ישנים נושאים את התאריך שלהם
מה SPF עושה?
SPF עונה על שאלה אחת: האם השרת שמסר את ההודעה הזו מורשה לשלוח עבור הדומיין? בעל הדומיין מפרסם רשומת TXT שמתחילה ב-v=spf1 ומפרטת מקורות מורשים, למשל include:_spf.protonmail.ch עבור Proton Mail. המקבל משווה את כתובת ה-IP המתחברת לרשימה ומקבל תוצאה: pass, fail, softfail או neutral, לפי המציין בסוף (-all, ~all או ?all).
SPF בודק את השולח במעטפה (ה-MAIL FROM) ואת שם ה-HELO, לא את כתובת ה-From שהקורא רואה. הפער הזה הוא הסיבה ש-DMARC קיים. ל-SPF יש גם מגבלות קשיחות: לדומיין חייבת להיות רק רשומת SPF אחת, והערכה נעצרת בשגיאה קבועה אחרי 10 מונחים שפונים ל-DNS (include, a, mx, ptr, exists, redirect). השיטה המלאה מופיעה במדריך יצירת רשומת SPF.
מה DKIM עושה?
DKIM עונה על שאלה אחרת: האם ההודעה נחתמה על ידי הדומיין שהיא טוענת לו, והאם היא הגיעה בלי שינוי? השרת השולח חותם כותרות נבחרות ואת הגוף עם מפתח פרטי. המקבל קורא את הדומיין החותם (d=) ואת ה-selector (s=) מכותרת DKIM-Signature, מביא את המפתח הציבורי מ-selector._domainkey.domain ב-DNS, ובודק את החתימה.
מכיוון שהחתימה נודדת עם ההודעה, DKIM שורד העברה שמשאירה את ההודעה שלמה, מה ש-SPF לא עושה, כי מעביר שולח מכתובת ה-IP שלו. RFC 6376 קובע שחותמים חייבים להשתמש במפתחות RSA של לפחות 1024 סיביות למפתחות ארוכי טווח, וממליץ על selectors חדשים כשהמפתחות משתנים. הספקים מפרסמים את המפתחות בשבילכם: שלוש רשומות CNAME עבור Proton Mail ו-Fastmail, ארבע עבור Mailbox.org. הפרטים נמצאים במדריך הגדרת DKIM.
מה DMARC עושה?
DMARC מקשר את SPF ואת DKIM לדומיין ה-From הגלוי, ואומר למקבלים מה לעשות כשאף אחת מהבדיקות לא מתיישרת. הודעה עוברת DMARC כש-SPF או DKIM עוברים, והדומיין שאומת תואם לדומיין ה-From. ההתאמה רפויה כברירת מחדל (אותו דומיין ארגוני) ומחמירה כשמגדירים aspf=s או adkim=s.
הרשומה נמצאת ב-_dmarc.yourdomain ונושאת מדיניות: p=none (מעקב בלבד), p=quarantine (התייחסות כחשוד) או p=reject (סירוב). כתובת rua מקבלת דוחות מצטברים, שמראים מי שולח דואר בשמכם. RFC 9989, שפורסם במאי 2026, הוא המפרט הנוכחי; הוא מבטל את RFC 7489, מסיר את התג pct ומוסיף דגל בדיקה t. המעבר משלב המעקב לדחייה מתואר במדריך הגדרת DMARC.
האם אני צריך את שלושתם?
כן: דומיין מותאם אישית ששולח דואר צריך לפרסם SPF, DKIM ו-DMARC, כי המקבלים הגדולים דורשים אותם. ההנחיות של Google לשולחים דורשות SPF, DKIM ורשומת DMARC (מדיניות none מספיקה) משולחים מעל 5,000 הודעות ביום לחשבונות Gmail. Microsoft דורשת מהשולחים ל-Outlook.com מעל 5,000 ביום את אותן שלוש, מ-5 במאי 2025, וגם Yahoo דורשת SPF, DKIM ו-DMARC משולחים המוניים.
תיבת דואר אישית שולחת הרבה פחות הודעות, ולכן הסף לא מחייב אתכם. הרשומות עדיין קובעות אם הדואר שלכם מגיע לתיבה הראשית, והן מונעות מאחרים לזייף את הכתובת שלכם. לפי הספירה של Postelva מ-12 בנובמבר 2026 מדפי העזרה של הספקים, הגדרה מלאה של Proton Mail לוקחת 8 רשומות DNS והגדרה מלאה של Mailbox.org לוקחת 11, מתוכן 3 ו-4 הן מפתחות DKIM. רשומות MX מכוסות במהי רשומת MX.
אילו טעויות שוברות את שלוש הרשומות?
שלוש טעויות גורמות לרוב הכשלים: רשומת SPF שנייה, יותר מ-10 חיפושים, ומדיניות DMARC מחמירה מדי מוקדם מדי. דומיין עם שתי רשומות SPF מחזיר שגיאה קבועה, ולכן הוסיפו את ה-include של הספק החדש לרשומה הקיימת. ערימה של שרת דואר, כלי ניוזלטר ושירות תמיכה יכולה להעביר את ספירת החיפושים מעל 10, ואז הרשומה נכשלת לכל שולח. Mailbox.org ו-Proton שתיהן ממליצות להתחיל את DMARC ב-p=none, ו-Mailbox.org מזהירה שמדיניות מחמירה שהופעלה מוקדם מדי עלולה להחזיר דואר לגיטימי.
טעות רביעית היא להשאיר חודשים את רשומות DKIM ו-SPF של הספק הקודם. הן לא פוגעות במסירה, אבל הן מרחיבות את רשימת השרתים המורשים לדבר בשמכם. הסירו אותן אחרי שהמעבר אושר.
איך שלושתם עובדים יחד על הודעה אחת?
המקבל מריץ SPF ו-DKIM, ואז DMARC משלב את התוצאות. קחו הודעה מ[email protected] שנשלחה דרך Proton Mail. SPF עובר אם השרת המתחבר נמצא ברשימה של _spf.protonmail.ch. DKIM עובר אם החתימה שנוצרה עם המפתח תחת yourname.com מאומתת. DMARC בודק אז אם לפחות אחת מהבדיקות עברה עם yourname.com כמזהה המיושר. אם כן, ההודעה עוברת; אם לא, המקבל מיישם את המדיניות שלכם ומכניס את התוצאה לדוח המצטבר הבא.
RFC 9989 מציין שדומיין עם p=reject לא צריך להסתמך על SPF לבדו, וצריך לחתום עם DKIM, כי SPF נשבר בהעברה. ARC (RFC 8617), תקן ניסיוני, מאפשר למעבירים לתעד את התוצאות המקוריות, אף שהוא לא חלק מההגדרה שלכם. אחרי פרסום הרשומות, בדקו אותן עם dig לפני שמחמירים מדיניות כלשהי.
הגדרה שניתנת לציטוט: SPF מאשר שרתים, DKIM מאמת הודעות, ו-DMARC אוכף את ההתאמה לדומיין ה-From ומדווח על התוצאה.
שאלות על SPF, DKIM ו-DMARC
איזו רשומה כדאי להגדיר ראשונה?
הגדירו קודם SPF ו-DKIM, כי הם מגיעים מספק הדוא"ל שלכם, ואז פרסמו DMARC ב-p=none עם כתובת דוחות. DMARC לא יכול לעבור בלי לפחות אחת מהשתיים האחרות.
האם DMARC יכול לעבור רק עם SPF או רק עם DKIM?
כן. מעבר מיושר אחד מספיק. למדיניות p=reject, RFC 9989 אומר לא להסתמך על SPF לבדו ולהוסיף חתימות DKIM.
האם דומיין אישי צריך DMARC?
כללי השולחים של Google ו-Microsoft חלים מעל 5,000 הודעות ביום. רשומת DMARC ב-p=none עולה רק רשומת TXT אחת, ומראה מי שולח דואר בשמכם.
למה SPF נכשל כשאני מעביר דואר הלאה?
מעביר שולח מכתובת ה-IP שלו, שלא נמצאת ברשימת ה-SPF שלכם. DKIM עדיין מאומת אם המעביר משאיר את ההודעה ללא שינוי.
האם SPF, DKIM ו-DMARC מצפינים את הדוא"ל שלי?
לא. הם מאמתים את השולח ואינם מסתירים תוכן. הצפנה בשכבת ההעברה בין שרתים היא שכבה אחרת, שמכוסה על ידי MTA-STS.
בקצרה
- SPF מפרט את השרתים שמורשים לשלוח עבור הדומיין שלכם: רשומת TXT אחת, עד 10 חיפושים.
- DKIM חותם כל הודעה; המפתח הציבורי נמצא ב-selector._domainkey.
- DMARC דורש מעבר מיושר של SPF או DKIM, ומגדיר p=none, quarantine או reject.
- DMARC מוגדר על ידי RFC 9989 (מאי 2026), שמבטל את RFC 7489.
- Google, Yahoo ו-Microsoft דורשות את שלושתם משולחים המוניים מעל 5,000 הודעות ביום.
- הגדרה מלאה של Proton Mail היא 8 רשומות DNS, הגדרה של Mailbox.org היא 11.
- Postelva מארחת את הרשומות ב-DNS בחינם; .com עולה 12.49 $/שנה בכל שנה.
מקורות (8)
- RFC 7208, Sender Policy Framework — RFC Editor (נקרא 2026-11-12)
- RFC 6376, חתימות DomainKeys Identified Mail — RFC Editor (נקרא 2026-11-12)
- RFC 9989, DMARC — RFC Editor (נקרא 2026-11-12)
- RFC 8617, שרשרת הדואר המאומתת שהתקבל — RFC Editor (נקרא 2026-11-12)
- הנחיות לשולחי אימייל — Google Workspace Admin Help (נקרא 2026-11-12)
- חיזוק אבטחת האימייל: דרישות חדשות לשולחים בכמות גדולה — Microsoft Tech Community (נקרא 2026-11-12)
- שיטות עבודה מומלצות לשולחים — Yahoo Sender Hub (נקרא 2026-11-12)
- SPF, DKIM ו-DMARC לדומיין מותאם — Mailbox.org (נקרא 2026-11-12)