Defaults.Exposed › דוחות

מפרסמים בעיוורון: רוב רשומות ה-DMARC לא מבקשות דוחות

פורסם 2026-07-03 · עודכן 2026-07-03

נתונים נכון ל-2026-06-29 · מתודולוגיה v7. נתוני מפקד על פני כל דומיין שמפרסם רשומת DMARC ניתנת לפענוח, עם הסרת כפילויות לכל דומיין. נוכחות rua= נמדדת על פני כל הרשומות, כך שהחפיפה המדויקת שלה עם מדיניות בודדת כלשהי אינה ניתנת לגזירה — במקומות שבהם מאמר זה טוען טענות לגבי חפיפה זו, הוא מציין גבולות, לעולם לא הצלבות מדויקות. כל הנתונים הם מצרפיים — לעולם איננו מפרסמים ציון של עסק בודד.

רוב רשומות ה-DMARC אינן צופות

מתוך 65 מיליון הדומיינים שמפרסמים רשומת DMARC, רק 23 מיליון — 35.7% — כוללים את התג rua= שמבקש דוחות מצרפיים. יתר 64.3% מפרסמים בעיוורון: מדיניות נמצאת על הרשומה, אבל אף אחד לא ביקש שיודיעו לו מה קורה תחתיה. זהו 42 מיליון דומיינים עם רשומת DMARC שאינה יכולה להראות להם דבר.

רשומת DMARC ללא דיווח היא פעמון דלת שאין מי שיענה לו. שרתי הדואר הנכנס בודקים בשקדנות כל הודעה מולה — והממצאים שלהם, רשימת כל מי ששולח בשם הדומיין שלכם, אינם מגיעים לשום מקום. המנגנון עובד; פשוט הבעלים אינו מקשיב.

מה rua= באמת עושה

ל-DMARC יש שני חצאים. חצי המדיניות (p=none, quarantine או reject) מורה לשרתים הנכנסים מה לעשות עם דואר שנכשל באימות. חצי הדיווח — התג rua=, כתובת תיבת דואר — מבקש מהשרתים הנכנסים לשלוח לכם דוחות מצרפיים יומיים: אילו שרתים שלחו בשם הדומיין שלכם, כמה דואר, והאם הוא עבר SPF ו-DKIM.

החצי השני הזה הוא כל לולאת המשוב. דוחות הם הדרך שבה אתם מגלים את פלטפורמת הניוזלטר שאף אחד לא תיעד, את כלי החשבוניות שהשיווק חיבר, את השולח בצל באזור אחר — לפני שאתם אוכפים ושוברים אותם. ללא rua=, אף אחד מהמודיעין הזה לעולם לא מגיע אליכם. הוספתו עולה עריכת DNS אחת: הוסיפו rua=mailto:[email protected] (או כתובת של שירות ניטור) לרשומה הקיימת.

הפער בין שלבים 2 ל-3: מפורסם ועיוור

בשישה שלבי הבשלות של DMARC, שלב 3 — צפייה — מתחיל כאשר DMARC מפורסם ודוחות מצרפיים זורמים. רשומה ללא rua= אינה עומדת בקריטריון. היא יושבת בפער בין שלבים 2 ל-3 — מפורסמת ועיוורת — מקום שהמודל משאיר במכוון ללא מספר משלו.

זה חשוב משום שכל שלב שאחריו תלוי בדוחות. אינכם יכולים לזהות את השולחים שלכם (שלב 4) מדוחות שמעולם לא קיבלתם; אינכם יכולים לאכוף בבטחה (שלב 5) בלי לדעת מי השולחים שלכם. רשומה עיוורת אינה צעד מוקדם במסע — היא מפרץ עצירה ממש לצדו. והמפקד מרמז שרוב מחזיקי הרשומות חונים שם או בסמוך: 57.5% מכל רשומות ה-DMARC לעולם אינן מגיעות לאכיפה.

גרוע מחסר תועלת, כי זה מרגיש כמו התקדמות

רשומת DMARC חסרה לפחות נראית כמו מה שהיא: פער. רשומה עיוורת נראית כמו סימן וי. מישהו הריץ רשימת תיוג לתאימות, או מדריך מסירות, או תיקון של שורה אחת מספק — פרסם v=DMARC1; p=none — והסורק הפך לירוק. הארגון כעת מרגיש מתקדם יותר מהארגון שאין לו רשומה כלל, בעודו נמצא מבחינה תפקודית באותו מקום: אין נראות, אין אכיפה, אין דרך לאף אחת מהן.

התוצאה שקטה ומצטברת. רשומות עיוורות אינן נכשלות בקול; הן פשוט לעולם אינן מייצרות את הראיות שיצדיקו את המהלך הבא. שנים לאחר מכן הרשומה עדיין אומרת p=none, איש אינו יכול לומר אילו שולחים לגיטימיים, ואכיפה מרגישה מסוכנת מאי פעם — בדיוק משום שמעולם לא נאספו דוחות.

מה המפקד יכול ולא יכול לומר

מכיוון שנוכחות rua= נמדדת על פני כל 65 מיליון הרשומות — ולא בהצלבה לכל מדיניות — המספר המדויק של רשומות p=none שהן גם עיוורות אינו ניתן לגזירה מנתוני השוליים הללו. הגבולות עדיין חדים. 37 מיליון רשומות (57.4% ממחזיקי הרשומות) נמצאות ב-p=none; רק 23 מיליון רשומות בכל המפקד מבקשות דוחות. כך שלכל היותר 23 מיליון מאותן רשומות p=none יכולות לקבל דוחות — ולפחות 14 מיליון מהן בוודאות אינן, אפילו אם כל כתובת דיווח במפקד הייתה שייכת לדומיין p=none. איך שהחפיפה נופלת בפועל, מיליוני דומיינים יושבים ב”מצב ניטור” כשהמנטר מנותק.

התיקון בעריכה אחת

אם לרשומת ה-DMARC שלכם אין תג rua=, התיקון הוא שינוי DNS יחיד והוא בטוח בכל רמת מדיניות:

1. בחרו יעד לדיווח — תיבת דואר שתעבדו בפועל, או שירות ניטור DMARC חינמי/בתשלום שממיר את ה-XML למשהו קריא.
2. הוסיפו אותו לרשומה: v=DMARC1; p=none; rua=mailto:[email protected]. אם היעד הוא דומיין אחר, דומיין זה חייב להרשות קבלת הדוחות שלכם (רשומת DNS נוספת קטנה בצדו).
3. חכו כמה ימים, ואז קראו. דוחות מגיעים מדי יום משרתי הדואר הגדולים. מה שהם מראים — כל מקור ששולח בשם הדומיין שלכם — הוא המפה ליתר המסע.

אז הרשומה מפסיקה להיות רהיט ומתחילה להיות מכשיר. (תקנו את DMARC ←.)

שאלות נפוצות

מהו דוח rua של DMARC? דוח XML מצרפי ששרתי דואר נכנס משתתפים שולחים (בדרך כלל מדי יום) לכתובת שבתג rua= של הרשומה שלכם, המסכם אילו מקורות שלחו דואר בשם הדומיין שלכם והאם הוא עבר יישור SPF ו-DKIM. הוא אינו מכיל תוכן הודעות — רק תשתית שולח וספירות עברה/נכשל.

האם DMARC ללא rua חסר ערך? לא חסר ערך — מדיניות אוכפת עדיין חוסמת התחזות בלעדיו. אבל ב-p=none, רשומה ללא rua= אינה חוסמת דבר ואינה מראה לכם דבר — תפקידה היחיד שנותר הוא לסמן את תיבת דרישת המינימום של ספקי תיבות הדואר. ואפילו דומיינים אוכפים ללא דיווח מאבדים את זיהוי הסחף ששומר על אכיפה בטוחה כשמופיעים שולחים חדשים. p=none אינו הגנה כך או כך — ללא דוחות זו אפילו לא הכנה.

האם rua= יכול להצביע על כל תיבת דואר? כן, כולל אחת בדומיין אחר — רוב שירותי הניטור עובדים בדיוק כך. הדומיין המקבל מפרסם רשומת אימות קטנה שמרשה את הדוחות שלכם. מה שחשוב הוא שמשהו באמת מעבד את ה-XML; תיבת דואר שאף אחד לא קורא היא עיוורון עם צעדים נוספים.

האם דוחות מצרפיים חושפים נתונים פרטיים? לא. דוחות rua מצרפיים נושאים סטטיסטיקות של מקור שליחה ואימות, לא גופי הודעות או רשימות נמענים. (דוחות הכישלון הנפרדים ruf= יכולים להכיל קטעי הודעות, ולכן שרתים נכנסים רבים כבר אינם שולחים אותם — rua הוא זה שחשוב.)

בדקו האם הרשומה שלכם צופה

רשומת DMARC שאינה מבקשת דוחות היא אחד הממצאים הקלים ביותר לתיקון בכל המסע — עריכת DNS אחת הופכת עיוורון לצפייה. אתם יכולים לבדוק באופן פרטי ובחינם, ולראות באילו מ-34 הבדיקות אתם עוברים וכיצד לתקן את אלה שאינכם.

בדקו את הדומיין שלכם ← · שישה שלבי הבשלות של DMARC ← · עמוד ה-DMARC ← · נתונים מצרפיים בלבד. הנתונים מאוחסנים ומעובדים באיחוד האירופי.