Defaults.Exposed › דוחות

SPF זה לא מספיק: 119 מיליון הדומיינים שאף פעם לא אוכפים

פורסם 2026-07-03 · עודכן 2026-07-03

נתונים נכון ל־2026-06-29 · מתודולוגיה v7. נתוני מפקד המצרפים בדיקות לכל דומיין על פני 261 מיליון דומיינים מדורגים. “אוכף” = מדיניות DMARC של quarantine או reject; “מוגן במלואו” = גם SPF וגם DKIM קיימים, בתוספת DMARC אוכף — שלישיית אימות הדוא”ל המלאה. כל הנתונים הם מצרפיים — אנחנו לעולם לא מפרסמים את הדירוג של עסק בודד.

הספירה: כמה דומיינים מסתמכים על SPF לבדו

SPF לבדו אינו מספיק כדי לעצור התחזות בדוא”ל — וכעת המפקד יכול לספור כמה דומיינים מסתמכים עליו בכל זאת: 119,212,005 (119 מיליון) מפרסמים SPF אך אף פעם לא אוכפים DMARC. זהו 85.8% מכל דומיין שטרח בכלל להגדיר SPF. המאמר הנלווה לו, SPF ללא DMARC, מסביר את המנגנון — מדוע SPF אינו יכול להגן על כתובת ה”From” שאדם בפועל רואה; המאמר הזה מודד את האוכלוסייה — כמה דומיינים הפער הזה משאיר חשופים, ומהי צורתה של החשיפה.

הגרסה הקצרה: הגדרת SPF היא פעולת אבטחת הדוא”ל הנפוצה ביותר באינטרנט, ולרוב המכריע של הדומיינים שעשו זאת, היא גם האחרונה.

שלוש האוכלוסיות

139 מיליון דומיינים — 138,911,937 מהם — מפרסמים רשומת SPF. מפוצלים לפי מה שעומד מאחוריה:

השורות אינן מסתכמות בסך ה־SPF: היתרה הם מפרסמי SPF שה־DMARC שלהם אכן אוכף אך ה־DKIM שלהם אינו קיים במלואו — אוכפים, אך חסרים את השלישייה המלאה שהשורה התחתונה סופרת.

השורה האמצעית היא הכותרת: בערך 119 מיליון דומיינים עשו את העבודה של הכרזה על השולחים הלגיטימיים שלהם ואז אף פעם לא אמרו לתיבות הדואר הנכנס של העולם לפעול על סמך זה. והשורה התחתונה היא השורה התחתונה במובן הנוסף: על פני כל 261 מיליון הדומיינים המדורגים, רק 3.87% — כ־10 מיליון — מוגנים במלואם באימות דוא”ל. הגנה מלאה אינה רף גבוה מבחינה טכנית; היא פשוט סיומו של מסע ש־119 מיליון דומיינים התחילו ועצרו.

מדוע הספירה כה חד־צדדית

SPF הוא היכן שכל מדריך התקנה מתחיל, היכן שהצטרפות רוב ספקי הדואר מסתיימת, ומה שרוב רשימות התיוג של תאימות בעצם בודקות. הוא מייצר תוצר גלוי — רשומת TXT — וסימן ירוק בכל כלי שבדק אותו. DMARC אכוף מייצר את החוויה ההפוכה: הוא דורש התקדמות (פרסם, צפֵה, זהֵה שולחים, ואז אכוף), ותגמולו בלתי נראה — דואר מזויף שבשקט מפסיק להגיע.

אז האינטרנט מיטב עבור הסימן. המפקד מראה כיצד זה נראה בקנה מידה: 85 מיליון דומיינים (84,638,430) יש להם SPF ואין רשומת DMARC מכל סוג שהוא — אפילו לא מציין מקום p=none. הבעלים האלה אינם עצלנים; הם עקבו אחר ההוראות שניתנו להם, וההוראות הסתיימו מוקדם.

מה “מכוסה” באמת אומר כאן

תוצאה, לא פחד: דומיין עם SPF וללא DMARC אוכף עדיין יכול להיות מותחזה במקום האחד שבו בני אדם מסתכלים — שורת ה”From” הגלויה. SPF מאפשר לשרתים הקולטים לאמת אילו מכונות רשאיות לשלוח בשם דומיין המעטפה, אך ללא DMARC אין דרישה שהשולח הגלוי יתאים למשהו ש־SPF בדק, ואין הוראה לדחות דואר שנכשל. החשבונית המזויפת, איפוס הסיסמה המזויף, הפניית תשלום הספק — כולם נותרים ניתנים למסירה ללקוחות ולספקים שלכם בשמכם, על אף רשומת ה־SPF.

בשישה השלבים של בגרות DMARC, 119 מיליון הדומיינים האלה תקועים בשלבים 1–3 — הרצפה בנויה, או בנויה חלקית, והדלת מעולם לא הותקנה. המרחק מִשם עד להגנה מובן היטב ורובו פרוצדורלי; מה שהמפקד הזה מוסיף הוא הידיעה שכמעט אף אחד אינו צועד אותו.

אם הדומיין שלכם הוא אחד מ־119 המיליון

1. שמרו על SPF — זו דרישת קדם, לא טעות. (תקנו SPF ←.)
2. הוסיפו DKIM כדי שהדואר שלכם יהיה חתום וגם ממוקּר. (תקנו DKIM ←.)
3. פרסמו DMARC עם דיווח, ואז אכפו — קודם p=none עם rua=, זהו כל שולח לגיטימי, ואז עברו ל־quarantine ו־reject. זהו השלב שממיר “מוגדר” ל”מוגן”. (תקנו DMARC ←.)

שאלות נפוצות

האם SPF מספיק כדי להגן על דומיין מפני התחזות? לא. SPF מאמת שרתים שולחים מול דומיין המעטפה; הוא לא בודק את כתובת ה”From” הגלויה ולא אומר לקולטים לדחות כישלונות. רק מדיניות DMARC אוכפת עושה את שני הדברים — ו־119,212,005 דומיינים מפרסמים SPF בלעדיה.

לכמה דומיינים יש SPF אך אין DMARC כלל? 84,638,430 — 60.9% מכל מפרסמי ה־SPF אין להם רשומת DMARC מכל סוג שהוא, אפילו לא במצב ניטור.

כמה דומיינים מוגנים במלואם? 10,092,481 — 3.87% מתוך 261 מיליון הדומיינים המדורגים משלבים SPF ו־DKIM עם מדיניות DMARC של quarantine או reject.

האם SPF לפחות עוזר? כן — הוא היסוד שמולו DMARC מעריך, והוא משפר את המסירוּת של הדואר הלגיטימי שלכם. הוא פשוט אינו מגן על שום דבר בפני עצמו; הוא צעד אחד מתוך שלושה, והמפקד מראה שרוב האינטרנט התייחס אליו כאל כל גרם המדרגות.

בדקו באיזו אוכלוסייה הדומיין שלכם נמצא

“הגדרנו SPF” מתאר 139 מיליון דומיינים; “אנחנו מוגנים” מתאר 10 מיליון. לגלות מי מהם אתם לוקח דקה, בפרטיות ובחינם — ראו באילו מ־34 הבדיקות אתם עומדים וכיצד לתקן את אלה שלא.

בדקו את הדומיין שלכם ← · שישה השלבים של בגרות DMARC ← · עמוד ה־DMARC ← · נתונים מצרפיים בלבד. הנתונים מאוחסנים ומעובדים באיחוד האירופי.