דוח אבטחת דואר לדומיין
מקלידים דומיין ומקבלים ציון מ־A עד F על ההגנה של הדואר שלו מפני זיוף: האם יש SPF ותקין, האם נמצאו מפתחות DKIM, מה מדיניות ה־DMARC (none, quarantine או reject), והאם מוגדרים MTA‑STS, TLS‑RPT ו‑BIMI. לכל ממצא יש הסבר מה לתקן. הכלי עובד על כל דומיין, שלכם או של ספק שאתם בודקים.
עובר דרך השרת שלנו, בלי שמירה. הדומיין נשלח לשרת שלנו, ששואל רשומות DNS דרך שרתי DNS ציבוריים (DNS over HTTPS) וקורא את קובץ המדיניות של MTA‑STS מהדומיין עצמו דרך שכבת ההגנה. דבר לא נשמר.
איך זה עובד
מקלידים דומיין
למשל example.co.il. אפשר להוסיף סלקטור DKIM אם אתם מכירים אותו.
מקבלים ציון
A–F לפי SPF, DKIM, DMARC, MTA‑STS, TLS‑RPT ו‑BIMI, עם הסבר לכל נקודה.
מתקנים לפי הסדר
קודם DMARC ל‑quarantine/reject, אחר כך SPF עד 10 שאילתות, ואז DKIM ו‑MTA‑STS.
איך מחושב הציון
| רכיב | נקודות | מה נבדק |
|---|---|---|
| SPF | עד 25 | קיים, תקין, לא יותר מ‑10 שאילתות DNS, מסתיים ב‑-all או ~all |
| DMARC | עד 30 | reject מלא, quarantine 25, none 12; pct קטן מ‑100 מוריד |
| DKIM | 20 | נמצא מפתח באחד מ‑32 סלקטורים נפוצים (או שהקלדתם) |
| MTA‑STS | עד 10 | enforce מלא, testing חצי |
| TLS‑RPT, BIMI | 5 כל אחד | דיווח על כשלי הצפנה, לוגו מאומת |
מקורות: RFC 7208: SPF · RFC 7489: DMARC · RFC 8461: MTA‑STS
למה DMARC במצב none לא מספיק
p=none אומר לשרתי הדואר: "תבדקו, תדווחו לי, אבל אל תעשו כלום". מייל מזויף בשם הדומיין עדיין מגיע לתיבה של הלקוח. גוגל ויאהו דורשים מ‑2024 DMARC לפחות ברמת none משולחים גדולים, אבל רק quarantine או reject באמת עוצרים התחזות. עוברים ל‑reject בהדרגה: קודם rua כדי לראות מי שולח בשמכם, ואז pct קטן שעולה עד 100.
מקורות: Google: דרישות משולחי דואר · dmarc.org
DKIM: למה לפעמים "לא נמצא"
מפתח DKIM מתפרסם תחת שם סלקטור שרק השולח יודע (למשל google, selector1, k1). אנחנו מנסים 32 סלקטורים נפוצים של Google Workspace, Microsoft 365, Mailchimp, SendGrid, Zoho ועוד. אם הדומיין משתמש בסלקטור אחר, כתבו אותו בשדה הסלקטור; הוא מופיע בכותרת DKIM-Signature של כל מייל שיוצא מהדומיין (s=...).
מקורות: RFC 6376: DKIM
דומיין שלא שולח דואר
גם דומיין חנייה או דומיין של אתר בלבד צריך הגנה, אחרת אפשר לזייף מיילים בשמו. ההגדרה המומלצת: רשומת MX ריקה (Null MX, "0 ."), SPF של "v=spf1 -all" ו‑DMARC עם p=reject. דומיין כזה מקבל כאן A.
מקורות: RFC 7505: Null MX
שאלות נפוצות
איך בודקים SPF ו‑DMARC של דומיין?
מקלידים את הדומיין כאן. הכלי קורא את רשומות ה־TXT (SPF ב‑@, DMARC ב‑_dmarc), מנתח אותן, סופר שאילתות SPF ומציג ציון עם הסבר.
מה ההבדל בין הכלי הזה לבדיקת הדומיין?
בדיקת הדומיין מציגה אם יש SPF ו‑DMARC. כאן יש ניתוח מלא: עץ ה‑include של SPF, מפתחות DKIM, MTA‑STS, TLS‑RPT, BIMI וציון כולל.
קיבלתי F. מה לתקן קודם?
קודם DMARC (הוסיפו רשומה ב‑_dmarc עם p=none ו‑rua, ואז העלו ל‑quarantine), אחר כך SPF עם -all ולא יותר מ‑10 שאילתות, ואז ודאו שספק הדואר חותם DKIM.
מה זה MTA‑STS?
מנגנון שאומר לשרתים ששולחים לכם דואר: תשלחו רק ב‑TLS מאומת, ואל תיפלו לחיבור לא מוצפן. דורש רשומת DNS וקובץ מדיניות ב‑https://mta-sts.הדומיין.
הציון שונה מכלים אחרים
כל כלי שוקל אחרת. שלנו מדגיש DMARC אוכף ו‑SPF תקין, כי אלה מה שעוצר התחזות בפועל. ההסברים ליד כל שורה חשובים מהאות.