SPF, DKIM ו-DMARC לחנויות אונליין: דרישות Gmail ו-Yahoo

מה עושים SPF, DKIM ו-DMARC, מה Gmail, Yahoo ו-Outlook.com דורשים משולחי דוא״ל, איך מגדירים אותם ב-Shopify וב-WooCommerce ואיך מגיעים בבטחה ל-p=reject.

צוות התוכן של FixReportsזמן קריאה: 9 דק׳

כדי לעמוד בדרישות השולחים של Gmail ו-Yahoo, כל חנות אונליין צריכה SPF או DKIM על דומיין השליחה שלה. שולחים בהיקף גדול (bulk senders) צריכים את שניהם, וגם רשומת DMARC עם מדיניות של p=none לפחות, כשדומיין ה-From הגלוי מיושר (aligned) עם SPF או עם DKIM. שולחים בהיקף גדול חייבים גם להציע ביטול הרשמה בלחיצה אחת בדיוור שיווקי ולשמור על שיעור דיווחי ספאם מתחת ל-0.3%. ב-Shopify המשמעות היא לאמת את דומיין השולח בממשק הניהול ולהוסיף רשומת DMARC; ב-WooCommerce המשמעות היא לשלוח דרך ספק דוא״ל מאומת. ברגע שדוחות DMARC מראים שכל הדואר הלגיטימי שלכם עובר את הבדיקות, אפשר להדק את המדיניות בהדרגה לכיוון p=reject.

עיקרי הדברים

מה בעצם עושים SPF, DKIM ו-DMARC?

SPF מפרט מי רשאי לשלוח בשם הדומיין שלכם, DKIM חותם על כל הודעה, ו-DMARC קושר את שניהם לכתובת ה-From שהלקוחות רואים.

רשומהמה היא מוכיחהאיפה היא נמצאתתקן
SPFשרת השליחה מורשה לשלוח עבור הדומיין שמופיע במעטפה (MAIL FROM)רשומת TXT בדומייןRFC 7208 (נפתח בכרטיסייה חדשה)
DKIMההודעה נחתמה על ידי הדומיין ולא שונתה בדרךרשומת TXT בכתובת selector._domainkey.example.comRFC 6376 (נפתח בכרטיסייה חדשה)
DMARCSPF או DKIM עברו עבור דומיין שמיושר עם דומיין ה-From הגלוי; הרשומה אומרת לשרתים המקבלים מה לעשות במקרה של כשל ולאן לשלוח דוחותרשומת TXT בכתובת _dmarc.example.comRFC 9989 (נפתח בכרטיסייה חדשה)

קל לפספס את נושא היישור (alignment). פלטפורמת הדיוור שלכם יכולה לעבור SPF עבור דומיין ההחזרות (bounce) שלה, בזמן שכתובת ה-From מציגה את הדומיין של החנות. הודעה כזאת עוברת SPF אבל נכשלת ב-DMARC, אלא אם DKIM חתום עם הדומיין שלכם.

מה Gmail ו-Yahoo דורשים מהשולחים?

שני הספקים דורשים אימות מכל שולח, ומוסיפים כללים מחמירים יותר לשולחים בהיקף גדול.

מכל השולחים, Gmail דורש SPF או DKIM, רשומות DNS ישירות והפוכות (forward ו-reverse) תקינות, TLS, מבנה הודעה לפי RFC 5322 ושיעור ספאם מתחת ל-0.3% ב-Postmaster Tools (Google (נפתח בכרטיסייה חדשה)). Yahoo דורשת לפחות SPF או DKIM ושיעור ספאם מתחת ל-0.3% (Yahoo Sender Hub (נפתח בכרטיסייה חדשה)). משולחים בהיקף גדול:

דרישהGmailYahoo
SPF ו-DKIMשניהםשניהם
DMARCחובה; המדיניות יכולה להיות noneמדיניות תקפה של p=none לפחות, ו-DMARC חייב לעבור
יישור (alignment)דומיין ה-From מיושר עם דומיין ה-SPF או ה-DKIMאותו דבר; יישור רופף (relaxed) מתקבל
ביטול הרשמה בלחיצה אחתבהודעות שיווקיות ובהודעות שהנמענים נרשמו אליהן, לפי RFC 8058, וגם קישור גלויכותרת List-Unsubscribe עם תמיכה בלחיצה אחת בהודעות שיווקיות ובהודעות שהנמענים נרשמו אליהן
כיבוד בקשות ביטול הרשמהבתוך 48 שעות (מומלץ)בתוך יומיים
שיעור ספאםמתחת ל-0.3%; Google ממליצה על פחות מ-0.10%מתחת ל-0.3%

כמה פרטים חשובים במיוחד לחנויות:

  • Gmail סופר לפי דומיין. הודעות מאותו דומיין ראשי נספרות יחד לסף של 5,000, כך שמיילים של הזמנות, דיוור שיווקי ותשובות של שירות הלקוחות מצטברים.
  • רק חשבונות Gmail אישיים נספרים. ההנחיות לא חלות על הודעות שנשלחות לחשבונות Google Workspace.
  • דואר טרנזקציוני פטור מביטול הרשמה בלחיצה אחת. אישורי הזמנה עדיין צריכים אימות.

ביטול הרשמה בלחיצה אחת מבוסס על שתי כותרות שמוגדרות ב-RFC 8058 (נפתח בכרטיסייה חדשה), שדורש גם חתימת DKIM תקפה שמכסה אותן:

List-Unsubscribe: <https://example.com/unsubscribe/opaquepart>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

כדי לוודא שפלטפורמת הדיוור שלכם מוסיפה אותן, פתחו את המקור הגולמי (raw source) של אחד הקמפיינים שלכם.

מה השתנה אחרי פברואר 2024?

האכיפה הוחמרה בשלבים, וספקי תיבות דואר נוספים אימצו כללים דומים.

תאריךשינוימקור
פברואר 2024הדרישות של Gmail ו-Yahoo נכנסות לתוקף (Yahoo הטמיעה את האכיפה בהדרגה)Google (נפתח בכרטיסייה חדשה), Yahoo (נפתח בכרטיסייה חדשה)
יוני 2024Gmail: שולחים בהיקף גדול עם שיעור ספאם מעל 0.3% מאבדים את הזכאות להקלות (mitigation)השאלות הנפוצות של Gmail (נפתח בכרטיסייה חדשה)
1 ביוני 2024המועד האחרון של Gmail לביטול הרשמה בלחיצה אחת, עבור שולחים שכבר היה להם קישור לביטול הרשמההשאלות הנפוצות של Gmail (נפתח בכרטיסייה חדשה)
5 במאי 2025הדרישות של Outlook.com לדומיינים ששולחים יותר מ-5,000 הודעות ביום; לפי העדכון של Microsoft מ-29 באפריל, הודעות שנכשלות נדחות עם 550 5.7.515Microsoft (נפתח בכרטיסייה חדשה)
נובמבר 2025Gmail מגביר את האכיפה, כולל דחיות זמניות וקבועותהשאלות הנפוצות של Gmail (נפתח בכרטיסייה חדשה)
מאי 2026RFC 9989 מייתר את RFC 7489 כמפרט של DMARCIETF (נפתח בכרטיסייה חדשה)

הכללים של Outlook.com חלים על הכתובות הצרכניות שלו (outlook.com, hotmail.com ו-live.com), ודורשים ש-SPF ו-DKIM יעברו ושתהיה רשומת DMARC עם p=none לפחות, מיושרת עם SPF או עם DKIM.

איך מגדירים SPF, DKIM ו-DMARC ב-Shopify?

מאמתים את דומיין השולח בממשק הניהול של Shopify, ואז מוסיפים רשומת DMARC אחת אצל ספק ה-DNS.

מדריך הגדרת הדוא״ל (נפתח בכרטיסייה חדשה) של Shopify מציין שמאז 1 בפברואר 2024, Gmail ו-Yahoo דורשים דומיין מאומת ורשומת DMARC כדי לשלוח מכתובת ממותגת. אם רשומות האימות לא מוגדרות, Shopify משכתבת את כתובת השולח לפורמט store+123@shopifyemail.com. השלבים:

  1. בממשק הניהול של Shopify, עברו אל Settings > Notifications (הגדרות > התראות).
  2. באזור Sender email, לחצו על authenticate your domain.
  3. הוסיפו אצל ספק ה-DNS את כל רשומות ה-CNAME שמוצגות. מספר הרשומות עשוי להשתנות. לדברי Shopify, הרשומות האלה מטפלות ב-SPF וב-DKIM עבור כתובת השולח שלכם, ואין צורך להוסיף כתובות IP.
  4. המתינו עד 48 שעות עד ששינויי ה-DNS ייכנסו לתוקף.
  5. הוסיפו רשומת TXT בשם _dmarc עם הערך v=DMARC1; p=none;, ש-Shopify משתמשת בו כברירת מחדל.

אם קניתם את הדומיין דרך Shopify או העברתם אותו אליה, Shopify מנהלת את הרשומות האלה בשבילכם. Shopify גם מזהירה שלדומיין יכולה להיות רק רשומת DMARC אחת, ושיש להסיר הגדרות יישור קפדני (adkim=s או aspf=s) או לשנות אותן ל-r.

האימות של Shopify מכסה את הדואר ש-Shopify שולחת. אם אתם משתמשים בפלטפורמה אחרת לקמפיינים, במערכת helpdesk או ב-Google Workspace לדואר של הצוות, כל אחת מהן צריכה הגדרת DKIM משלה, ואם היא משתמשת בדומיין שלכם להחזרות (bounces), גם ערך SPF משלה.

איך מגדירים אימות דוא״ל ל-WooCommerce?

שולחים את הדוא״ל של WooCommerce דרך ספק ייעודי שחותם עם הדומיין שלכם, כפי שהתיעוד של WooCommerce עצמו ממליץ.

WooCommerce שולחת דואר באמצעות הפונקציה wp_mail() של WordPress, והשאלות הנפוצות שלה בנושא דוא״ל (נפתח בכרטיסייה חדשה) ממליצות על ספק SMTP ייעודי כאפשרות אמינה יותר מפונקציית הדואר של השרת שלכם. הגדרה טיפוסית:

  1. בחרו ספק דוא״ל טרנזקציוני ואמתו אצלו את הדומיין שלכם. הספק ייתן לכם את רשומות ה-DKIM ואת ה-include של SPF שצריך לפרסם.
  2. חברו את WordPress לספק באמצעות תוסף SMTP או API.
  3. הגדירו את From address בנתיב WooCommerce > Settings > Emails לכתובת בדומיין שלכם. WooCommerce מזהירה שכתובת ציבורית, למשל ב-Gmail או ב-Yahoo, צפויה להגיע לספאם או להיחסם.
  4. פרסמו רשומת DMARC בכתובת _dmarc.yourdomain.
  5. היכנסו אל WooCommerce > Status > Logs וסננו לפי המקור transactional-emails כדי לראות אילו הודעות נשלחו ואילו נכשלו.

אם גם חברת האחסון שלכם שולחת דואר בשם הדומיין, אמתו את השליחה הזאת או כבו אותה. כל מערכת ששולחת בשם הדומיין שלכם בלי SPF או DKIM מיושרים תיכשל ב-DMARC.

מהי מגבלת 10 השאילתות של SPF ואיך נשארים מתחתיה?

בדיקת SPF יכולה להשתמש לכל היותר ב-10 מונחים שמחייבים שאילתות DNS; מונח אחד נוסף והתוצאה היא permerror, כלומר SPF לא עובר.

RFC 7208, סעיף 4.6.4 (נפתח בכרטיסייה חדשה) מפרט את המונחים שנספרים: המנגנונים include, a, mx, ptr ו-exists והמשנה (modifier) redirect. המנגנונים ip4, ip6 ו-all לא נספרים. גם include-ים שמקוננים בתוך ה-include-ים שלכם נספרים, כי המגבלה חלה על ההערכה כולה. ה-RFC גם ממליץ להגביל "שאילתות ריקות" (void lookups, כלומר שאילתות שלא מחזירות תשובה) לשתיים, וקובע שאין לפרסם את המנגנון ptr.

דרכים להישאר מתחת ל-10:

  • הסירו include-ים של שירותים שאתם כבר לא משתמשים בהם.
  • השתמשו ב-ip4 או ב-ip6 עבור שרתים שאתם מפעילים עם כתובות קבועות.
  • העבירו את הדיוור השיווקי לתת-דומיין כמו news.example.com, שיש לו רשומת SPF משלו וספירה משלו.
  • לעולם אל תפרסמו שתי רשומות SPF. RFC 7208 אוסר על רשומות מרובות, וההערכה מחזירה permerror.
example.com.        TXT  "v=spf1 include:_spf.google.com include:spf.example-esp.com ~all"
news.example.com.   TXT  "v=spf1 include:spf.example-marketing.com ~all"

spf.example-esp.com ו-spf.example-marketing.com הם ממלאי מקום לערכים שהספקים שלכם יורו לכם להשתמש בהם.

איך מעבירים את DMARC מ-p=none ל-p=reject?

מתחילים ב-p=none עם דיווח, מתקנים כל מקור לגיטימי שהדוחות חושפים, ואז מהדקים את המדיניות.

שלברשומהמטרה
1. ניטורv=DMARC1; p=none; rua=mailto:dmarc@example.comאיסוף דוחות מצטברים (aggregate) על מי ששולח בשם הדומיין שלכם
2. תיקוןללא שינוילגרום לכל מקור לגיטימי לעבור SPF או DKIM מיושרים
3. הסגר (quarantine)v=DMARC1; p=quarantine; rua=mailto:dmarc@example.comדואר שנכשל מגיע לספאם
4. דחייה (reject)v=DMARC1; p=reject; rua=mailto:dmarc@example.comדואר שנכשל נדחה

עברו לשלב הבא רק כשהדוחות מראים שפלטפורמת החנות, כלי הדיוור, מערכת ה-helpdesk והדואר של הצוות עוברים כולם. דוחות מצטברים מוגדרים ב-RFC 9990 (נפתח בכרטיסייה חדשה). אם כתובת ה-rua נמצאת בדומיין אחר, למשל של שירות דיווח, הדומיין הזה צריך לפרסם רשומה שמאשרת את קבלת הדוחות.

מדריכים ישנים מציעים פריסה הדרגתית עם pct=25 או pct=50. RFC 9989 הסיר את pct (הערך שלו במרשם מסומן עכשיו "historic"), כי ערכים שאינם 0 או 100 יושמו באופן לא עקבי. במקומו, t=y מבקש מהשרתים המקבלים להחיל את המדיניות שנמצאת דרגה אחת מתחת, למשל quarantine במקום reject. אם אתם רוצים שלב ניסיון, השתמשו ב-t=y ולא באחוזים חלקיים.

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com"
_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

מדיניות אכיפה פותחת גם את האפשרות ל-BIMI, שמציג את הלוגו שלכם בתיבות דואר שתומכות בכך. Gmail דורש לשם כך DMARC עם p=quarantine או p=reject ותעודת Verified Mark Certificate או Common Mark Certificate (Google (נפתח בכרטיסייה חדשה)). לדואר שנכנס לדומיין שלכם, MTA-STS (RFC 8461 (נפתח בכרטיסייה חדשה)) מאפשר להורות לשרתים השולחים לסרב למסור דואר לשרתי הדואר שלכם אם הם לא מציעים TLS עם תעודה מהימנה.

איך בודקים את הרשומות של החנות?

מריצים שאילתה על שלושת סוגי הרשומות עם dig, או משתמשים בכלי בדיקה שקורא אותן בשבילכם.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short TXT selector._domainkey.example.com

את ה-selector של DKIM מקבלים מהספק, ואפשר למצוא אותו בערך s= בכותרת DKIM-Signature של הודעה ששלחתם. דוח מסירות דוא״ל קורא את ה-DNS הציבורי שלכם, סופר את שאילתות ה-SPF, מנסה selectors נפוצים של DKIM ובודק את מדיניות ה-DMARC, את rua, את pct, את BIMI ואת MTA-STS. רשומות נכונות עוזרות, אבל שום מערך רשומות לא מבטיח הגעה לתיבת הדואר הנכנס, כי ספקי תיבות הדואר שוקלים גם תלונות ספאם והתנהגות שליחה.

שאלות נפוצות

האם החנות שלי צריכה DMARC אם היא שולחת פחות מ-5,000 הודעות ביום?

Gmail דורש DMARC רק משולחים בהיקף גדול, אבל Shopify מציינת ש-Gmail ו-Yahoo דורשים דומיין מאומת ורשומת DMARC כדי לשלוח מכתובת ממותגת. רשומה עם p=none כרוכה בסיכון נמוך ומספקת דוחות, ולכן כדאי לרוב החנויות לפרסם רשומה כזאת.

האם לדומיין שלי יכולות להיות שתי רשומות SPF?

לא. RFC 7208 קובע שלדומיין אסור שיהיו כמה רשומות SPF, וכשיש כאלה, הערכת ה-SPF מחזירה permerror. אחדו את כל השולחים לרשומה אחת.

האם p=reject יחסום את מיילי ההזמנות שלי מ-Shopify?

לא, אם רשומות ה-CNAME של Shopify מוגדרות ודוחות ה-DMARC מראים שהדואר של Shopify עובר DKIM מיושר. בדקו את הדוחות לפני שמתקדמים מעבר ל-p=none, והשאירו את היישור רופף (relaxed) כפי ש-Shopify ממליצה.

האם התגית pct של DMARC עדיין תקפה?

RFC 9989, שפורסם במאי 2026, הסיר את pct והוסיף את t=y למצב בדיקה. ההנחיות של Google ל-BIMI עדיין מבקשות pct=100, שהוא ערך ברירת המחדל כשהתגית חסרה, ולכן ברשומות חדשות הבחירה הפשוטה ביותר היא לא לכלול את pct בכלל.

האם מעבר של SPF, DKIM ו-DMARC מבטיח שהמיילים שלי יגיעו לתיבת הדואר הנכנס?

לא. אימות הוא דרישה, לא ערובה. Gmail ו-Yahoo בודקים גם את שיעור תלונות הספאם, את הטיפול בבקשות לביטול הרשמה ואת מבנה ההודעות.

מקורות

כל המדריכים