הסימפטום מוכר: לקוח אומר ״לא קיבלתי את ההצעה״, ואחרי חיפוש היא נמצאת בתיקיית הספאם שלו. הסיבה כבר כמעט אינה תוכן ההודעה. מאז 2024 שלושת ספקי הדואר הגדולים בעולם בודקים דבר אחר: האם השרת ששלח את ההודעה רשאי לשלוח בשם הדומיין שמופיע בשדה ״מאת״. מי שלא הגדיר את זה נראה למסננים כמו מתחזה, גם כשהוא העסק האמיתי.
הטוב בסיפור הזה הוא שהדרישות כתובות במסמכים ציבוריים, והפתרון הוא שלוש רשומות DNS בדומיין שלכם. הרע הוא שהרשומות נראות מאיימות למי שלא נגע ב-DNS מעולם. ננסה לפרק אותן למשפטים.
מה כל ספק דורש
| Gmail | Yahoo | Outlook.com / Hotmail | |
|---|---|---|---|
| מאז | 1 בפברואר 2024 | פברואר 2024 | 5 במאי 2025 |
| כל שולח | SPF או DKIM; רשומת PTR תקינה; TLS; שיעור ספאם מתחת ל-0.3% | SPF או DKIM; שיעור ספאם מתחת ל-0.3% | העמוד הרשמי מתייחס לשולחים גדולים |
| שולח גדול (מעל 5,000 הודעות ביום) | SPF וגם DKIM וגם DMARC (מספיק p=none); התאמת דומיין (alignment); הסרה בלחיצה אחת וקישור הסרה גלוי | SPF וגם DKIM וגם DMARC (לפחות p=none, התאמה רפויה); הסרה בלחיצה אחת; כיבוד הסרה בתוך יומיים | SPF, DKIM ו-DMARC; לפי ציטוט ההודעה, DMARC לפחות p=none עם התאמה ל-SPF או ל-DKIM |
| מה קורה כשנכשלים | ההודעה עלולה להידחות (שגיאה 5.7.26) | אכיפה הדרגתית | תחילה לתיקיית הזבל; לאחר מכן דחייה (קוד 550 5.7.515 בציטוט ההודעה) |
המקורות: הנחיות השולחים של Gmail, שיטות העבודה של Yahoo לשולחים, ועמוד תמיכת השולחים של Outlook, שמציין את סף 5,000 ההודעות ליום ואת התאריך 5.5.2025 ומפנה להודעה מפורטת של Microsoft; את תוכן ההודעה, כולל דרישת ה-p=none וההתאמה, קראנו דרך הציטוט של dmarcian.
״5,000 הודעות ביום״ נשמע רחוק מעסק קטן, אבל שימו לב לשורה ״כל שולח״: Gmail ו-Yahoo דורשים אימות בסיסי (SPF או DKIM) מכל מי ששולח להם, בכל כמות. ושולח שעובד עם שירות דיוור נספר יחד עם שאר הלקוחות של אותו שירות, ולכן השירות עצמו כמעט תמיד דורש מכם את ההגדרות של ״שולח גדול״.
שלוש רשומות, שלושה משפטים
SPF: ״אלה השרתים שרשאים לשלוח מהדומיין שלי״
רשומת TXT אחת בדומיין, שמונה את כל השירותים ששולחים בשמכם: שירות הדואר של העסק, שירות הדיוור, מערכת ההזמנות, ולעיתים גם שרת האתר. Gmail מנסחת זאת פשוט: הרשומה צריכה לכלול ״את כל השולחים של הדומיין, כולל שולחי צד שלישי״. דוגמה סכמטית (לא להעתיק כפי שהיא): v=spf1 include:ספק-הדואר include:שירות-הדיוור ~all. שירות שנשכח מהרשימה הוא שירות שההודעות שלו נכשלות.
DKIM: ״ההודעה הזאת נחתמה במפתח שלי ולא שונתה בדרך״
כל שירות ששולח בשמכם חותם את ההודעות במפתח פרטי, והמפתח הציבורי מתפרסם כרשומת DNS. את הרשומה מקבלים מהשירות (ספק הדואר, שירות הדיוור) ומדביקים ב-DNS; לכל שירות רשומה משלו. Gmail דורשת מפתח של 1024 ביט לפחות וממליצה על 2048 אם הספק מאפשר.
DMARC: ״ככה תתייחסו להודעה שנכשלה, ותשלחו לי דיווח״
רשומת TXT בשם _dmarc שאומרת לספקי הדואר מה לעשות בהודעה שלא עברה SPF או DKIM: לא לעשות דבר (p=none), להסגיר (p=quarantine) או לדחות (p=reject), ולאן לשלוח דוחות מצטברים (rua=). שלושת הספקים מקבלים p=none כעמידה בדרישה; Yahoo ממליצה בחום להוסיף rua, ו-Gmail מציינת שהיא ״תתחיל להשתמש במדיניות הסגר״ להודעות שנכשלות, בלי תאריך. דוגמה סכמטית: v=DMARC1; p=none; rua=mailto:dmarc@your-domain.co.il.
יש כאן תנאי שקל לפספס: ״התאמה״ (alignment). הדומיין שחתם ב-DKIM, או הדומיין שעבר SPF, צריך להיות הדומיין שמופיע בשדה ״מאת״ שהנמען רואה. שירות דיוור ששולח ״מאת info@your-domain.co.il״ אבל חתום בדומיין של השירות עצמו, ייכשל בהתאמה גם אם הכול ״עבר״. בגלל זה השירותים מבקשים שתאמתו את הדומיין שלכם אצלם.
איפה עסקים קטנים נכשלים בפועל
- טופס יצירת הקשר באתר. הטופס שולח מייל ״מאת״ כתובת בדומיין שלכם, מתוך שרת האחסון של האתר, ששרת זה אינו מופיע ב-SPF ואינו חותם DKIM. התוצאה: הפניות של הלקוחות שלכם נופלות לספאם של עצמכם. הפתרון הנפוץ: לשלוח את הטופס דרך שירות הדואר של העסק (SMTP מאומת) ולא דרך פונקציית הדואר של השרת.
- שירות דיוור שחובר ״בלי לגעת ב-DNS״. ההודעות יוצאות, אבל בלי התאמת דומיין. אימות הדומיין אצל השירות פותר את זה.
- SPF עם יותר מדי include. לרשומת SPF יש מגבלה טכנית על מספר בדיקות ה-DNS שהיא גוררת; מי שהוסיף במהלך השנים כל שירות שנתקל בו עלול לעבור אותה, והרשומה כולה נכשלת. זו סיבה טובה לנקות שירותים שכבר לא בשימוש.
- קישור הסרה שאינו ״לחיצה אחת״. Gmail מפרטת את הכותרות הנדרשות (
List-Unsubscribe-Postו-List-Unsubscribeעם כתובת HTTPS); רוב שירותי הדיוור מוסיפים אותן אוטומטית, מערכות שנבנו בבית לרוב לא.
סדר פעולות
- רשימת שולחים. כל מה ששולח מייל עם הדומיין שלכם בשדה ״מאת״: דואר העסק, דיוור, חנות, מערכת תורים, אתר, CRM.
- SPF אחד שכולל את כולם, ו-DKIM לכל שירות לפי ההוראות שלו.
- DMARC ב-p=none עם כתובת דיווח. בשלב הזה שום דבר לא נחסם; אתם רק מתחילים לקבל דוחות על מי שולח בשמכם, כולל שירותים ששכחתם ומתחזים שלא ידעתם עליהם.
- אחרי כמה שבועות של דוחות נקיים, מעלים ל-quarantine ואחר כך ל-reject. זה השלב שבו רשומות ה-DNS מגנות גם על הלקוחות שלכם מהודעות שמתחזות לכם.
- לעקוב אחרי שיעור הספאם. Gmail מפרסמת אותו בכלי Postmaster Tools; המדריך שלה מבקש להישאר מתחת ל-0.3% ובמקום אחר מציב יעד של 0.10%; היעד הנמוך הוא הבטוח.
כל הרשומות האלה נכתבות ב-DNS של הדומיין, ולכן השאלה המקדימה היא מי שולט בו: אתם, הרשם, או מי שבנה את האתר לפני שש שנים. אם התשובה לא ברורה, התחילו ממה באמת שלכם ברשת.