Defaults.Exposed

Defaults.Exposed › דוחות

DMARC p=reject מול p=quarantine: איזו מדיניות לבחור?

פורסם · עודכן

הנתונים נכונים ל-2026-08-16 · מתודולוגיה v8. נתוני מפקד מצרפיים על פני 276 מיליון דומיינים מדורגים. DMARC הוא מדיניות ה-DNS שאומרת לשרתי דואר מקבלים מה לעשות עם הודעות שנכשלות באימות. ראו איך אנחנו מדרגים.

חלק מעמוד העוגן של DMARC — אימוץ DMARC, בשלות וטבלאות דירוג, נמדדים על פני המפקד כולו.

בחרו p=reject אם דוחות ה-DMARC שלכם מראים שכל שולח לגיטימי עובר — זו המדיניות היחידה שמסרבת לדואר מזויף על הסף, ולרוב הדומיינים היא היעד. בחרו p=quarantine כצעד המכוון בדרך לשם, או כהגדרה קבועה כשהודעה אמיתית שסומנה בטעות חייבת לנחות בתיקיית ספאם שאפשר לחלץ ממנה, במקום לחזור לשולח. שתיהן נחשבות אכיפה; שתיהן עוצרות את הזיוף היומיומי ש-p=none מעביר. והאוכפים באינטרנט חצויים כמעט בדיוק באמצע: נכון ל-2026-08-16, 6.43% מהדומיינים בהסגר ו-5.40% בדחייה — מתוך רק 11.83% שאוכפים בכלל. המדריך הזה הוא ההכרעה בין השתיים, והדרך הבטוחה להגיע לשם.

מה כל מדיניות באמת עושה אצל השרת המקבל

מדיניות DMARC היא הוראה שאתם מפרסמים ב-DNS; שרת הדואר המקבל הוא זה שפועל לפיה. כשהודעה שטוענת שהיא מהדומיין שלכם נכשלת באימות, ערך ה-p= שלכם אומר לשרת המקבל מה תרצו שייעשה:

מדיניותמה אתם מבקשיםדוא”ל מזויףדוא”ל אמיתי בתצורה שגויה
p=none”מסרו בכל זאת, רק דווחו”נוחת בתיבת הדואר הנכנסנוחת בתיבת הדואר הנכנס
p=quarantine”התייחסו אליו כחשוד”הולך לספאם/דואר זבלהולך לספאם — ניתן לחילוץ
p=reject”סרבו לו”מוחזר בדלתמוחזר — השולח מקבל שגיאה

שני פרטים חשובים בפועל. ראשית, מדיניות DMARC היא בקשה, לא פקודה — השרתים המקבלים מחילים אותה לפי שיקול דעתם. ספקי תיבות הדואר הגדולים מכבדים אותה, ולכן אכיפה עובדת; כמה קטנים מפרשים quarantine באופן רופף. שנית, אופני הכישלון נבדלים באופן שמניע את כל ההכרעה: תחת quarantine, הודעה לגיטימית שנכשלת באימות מתויקת שלא במקומה — מעצבן, אבל היא יושבת בתיקיית דואר זבל ומחכה שימצאו אותה. תחת reject, היא נדחית במהלך המסירה — השרת השולח מקבל החזרה (bounce). ההחזרה הזו רועשת (השולח יודע מיד שמשהו נשבר), אבל ההודעה לא מגיעה.

למה p=none הוא מעקב, לא הגנה

לפני שמשווים בין שתי המדיניויות האוכפות, נבהיר לגבי זו שאינה. p=none אומר לשרתים המקבלים למסור דואר מזויף ולשלוח לכם דוח על כך. אתם מקבלים נראוּת; הזייפן מקבל מסירה. זהו הצעד הראשון הנכון — והמקום הנפוץ ביותר להיתקע בו: 13.96% מכלל הדומיינים יושבים על p=none, יותר מ-11.83% שאוכפים. מנקודת מבטו של תוקף, דומיין שחונה על p=none זהה לדומיין ללא DMARC בכלל. אם שם הדומיין שלכם היום, השאלה אינה reject מול quarantine — אלא כמה מהר תוכלו להגיע בבטחה לאחד מהם. ראו למה p=none אינו הגנה.

המסלול המדורג: none ← quarantine ← reject

אף אחד לא צריך לקפוץ מניטור ישר ל-p=reject, ואף אחד לא חייב. סולם המדיניות מתוכנן לטיפוס בצעדים קטנים והפיכים:

  1. התחילו ב-p=none עם דיווח פועל — רשומה כמו v=DMARC1; p=none; rua=mailto:reports@yourdomain. אספו דוחות מצרפיים במשך כמה שבועות ותנו דין וחשבון על כל שולח לגיטימי: ספק הדואר, פלטפורמת הניוזלטר, כלי החשבוניות, ה-CRM. דאגו שכל אחד יעבור SPF או DKIM עם הלימה.
  2. עברו ל-p=quarantine; pct=10. התגית pct מבקשת מהשרתים המקבלים להחיל את המדיניות על מדגם — כאן, 10% — מהדואר הנכשל. אם משהו לגיטימי מתחיל לנחות בספאם, רק פלח ממנו נפגע בזמן שאתם מתקנים את השולח.
  3. העלו את pct — 25, 50, ואז 100 (או הסירו את התגית; 100 היא ברירת המחדל) — תוך צפייה בדוחות בכל צעד.
  4. עברו ל-p=reject. אותו מסלול הדרגתי זמין אם תרצו. זו ההגדרה שבאמת מסרבת לזיוף בדלת.

כל צעד הוא עריכת DNS אחת. שתי הסתייגויות כנות: דגימת pct אינה מכובדת על ידי כל שרת מקבל — חלקם מחילים כל מדיניות אכיפה במלואה, אז התייחסו למסלול כהגבלת נזק, לא ערובה — ותיקון תקן ה-DMARC של 2026 (DMARCbis) מוציא את pct משימוש לטובת דגל בדיקה פשוט יותר t=y, אז צפו שהכלים יתפתחו. אף הסתייגות לא משנה את צורת המסלול: קודם quarantine, לצפות, ואז reject.

עוד מלכודת אחת בדרך למעלה: ערך המדיניות חייב להיכתב בדיוק none,‏ quarantine או reject. המפקד מצא 38,650 דומיינים שהרשומה שלהם נושאת אסימון שהשרתים המקבלים לא יכולים לפענח — quarentine,‏ rejet,‏ keine — מה שמדרדר בשקט את הרשומה לחוסר מדיניות מוחלט. רשימת שגיאות הכתיב שווה שתי דקות לפני שאתם מפרסמים. אם אתם מנהלים DNS אצל ספק גדול, המדריכים לפי ספק מכסים את הקליקים המדויקים: Google Workspace‏, Microsoft 365‏, Cloudflare.

מתי quarantine היא הבחירה הקבועה הנכונה

העצה הסטנדרטית — quarantine היא תחנת ביניים, reject הוא היעד — נכונה לרוב הדומיינים. אבל “רוב” אינו “כולם”, והחלוקה הכמעט-שווה במפקד (6.43% מול 5.40%) אינה רק דומיינים בתנועה. quarantine היא מדיניות קבועה בת-הגנה כאשר:

מה ש-quarantine עולה לכם לצמיתות: דואר מזויף עדיין מגיע — לתיקיות דואר זבל, שמהן חלק מהמשתמשים מחלצים אותו בחריצות. reject היא המדיניות היחידה שתחתיה הודעה מזויפת לעולם לא מגיעה לבן אדם אצל שרת מקבל משתתף. אם הדוחות שלכם נקיים כבר חודש ואף אחד מהתנאים למעלה לא חל, עשו את הצעד האחרון.

בטיחות החזרה לאחור: reject אינו דלת חד-כיוונית

הפחד שמשאיר דומיינים על p=none במשך שנים הוא “מה אם נשבור דואר אמיתי?” — אז כדאי לומר במפורש איך נראית חזרה לאחור: עריכת רשומת TXT אחת בחזרה. השינוי מתפשט בתוך ה-TTL של ה-DNS שלכם — הגדירו את ה-TTL הזה לערך קצר (300–3600 שניות) לפני שאתם מתחילים להזיז מדיניויות, וצעד רע ניתן לביטול מלא בתוך דקות.

שתי המדיניויות גם נכשלות באופן שונה, וידיעה מראש של זה היא רוב הבטיחות:

בדקו גם את חשיפת תת-הדומיינים לפני האכיפה: התגית sp= מגדירה מדיניות נפרדת לתת-דומיינים, ו-sp= שלא צוין יורש את ה-p= שלכם. דומיינים שלא שולחים דואר בכלל — מותגים חונים, דומיינים להפניה בלבד — מדלגים על כל הסולם: פרסמו p=reject היום, כי אין דואר לגיטימי להגן עליו. תחביר הרשומה המלא מכוסה במדריך תיקון ה-DMARC.

הניטור שאתם צריכים לפני (ואחרי) שאתם זזים

כל מהלך מדיניות בטוח במדריך הזה תלוי בדבר אחד: אתם יכולים לראות מה היה נשבר. זה אומר דוחות מצרפיים (rua=) — הסיכומים היומיים שהשרתים המקבלים שולחים לכם, המפרטים כל מקור ששלח דואר בשם הדומיין שלכם והאם עבר. על פני המפקד, רק 10.16% מהדומיינים אוספים אותם; רשומת DMARC בלי כתובת דיווח אוכפת באופן עיוור.

לפני כל צעד מדיניות, הדוחות שלכם צריכים להראות, במשך שבועיים נקיים לפחות: כל שולח מוכר עובר ובהלימה, אין מקורות בלתי-מוסברים שנראים לגיטימיים, וזרימות ההעברה מתועדות. החלק הקשה אינו קריאת הדוחות — אלא עבודת הבילוש של ייחוס כל מקור למערכת אמיתית, שהיא הקיר במודל הבשלות של DMARC שבו רוב הפריסות התקועות מתות. והניטור לא נגמר ב-p=reject: כלי SaaS חדשים מתחברים, ספקים מחליפים כתובות IP, תצורות נרקבות. הדוחות הם הדרך שלכם לגלות לפני שהלקוחות שלכם מגלים — משמעת ששרתים מקבלים גדולים כבר דורשים בפועל משולחים בנפח גבוה ממילא.

שאלות נפוצות

האם p=reject טוב יותר מ-p=quarantine? לעצירת התחזות, כן — reject היא המדיניות היחידה שתחתיה דואר מזויף נדחה במקום להימסר לאנשהו. quarantine היא הבחירה הנכונה בזמן בניית ביטחון, ובחירה קבועה בת-הגנה כשדואר אמיתי אבוד עולה לכם יותר מזיוף בתיקיית ספאם.

אפשר לעבור ישר מ-p=none ל-p=reject? רק אם הדומיין שלכם לא שולח דואר בכלל — אז עשו זאת היום. לדומיין שולח, עברו דרך quarantine (רצוי עם עלייה מדורגת של pct) כך שכל מה שפספסתם יתויק באופן ניתן לחילוץ במקום להיות מוחזר.

מה pct= באמת עושה? pct=25 מבקש מהשרתים המקבלים להחיל את המדיניות שלכם על כ-25% מההודעות הנכשלות, ומאפשר להכניס אכיפה בהדרגה. לא כל השרתים המקבלים מכבדים את הדגימה, ותיקון ה-DMARC של 2026 מחליף אותה בדגל בדיקה t=y — התייחסו אליה כמגביל נזק, לא כערובה.

כמה זמן להישאר על p=quarantine? עד שהדוחות המצרפיים שלכם מראים שכל שולח לגיטימי עובר ובהלימה במשך כמה שבועות נקיים — בדרך כלל שבועיים עד שישה שבועות בפועל. אם הדוחות נשארים נקיים ואין סיבה מבנית (מעבירים, מיגרציה, צורך בחילוץ), עברו ל-reject.

אם reject משתבש, הדואר אבוד לנצח? ההודעות שנדחו לא מגיעות, אבל מערכות שליחה מתנהגות-כראוי מקבלות החזרה, כך ששולחים לגיטימיים מגלים מיד — והחזרה לאחור שלכם היא עריכת DNS אחת שנכנסת לתוקף בתוך ה-TTL שלכם. שמרו על TTL קצר במהלך המעבר.

ראו איזו מדיניות הדומיין שלכם מפרסם היום

הפער בין “יש לנו DMARC” ל”אנחנו אוכפים DMARC” הוא המקום שבו חיה ההתחזות. בדקו את הדומיין שלכם בחינם ובפרטיות — ראו את המדיניות בפועל, האם דוחות זורמים, ומה המהלך האחד לשלב הבא.

בדקו את הדומיין שלכם ← · תקנו DMARC ← · מה זה DMARC?‏ ← · עמוד העוגן של DMARC ← · נתונים מצרפיים בלבד. הנתונים מאוחסנים ומעובדים באיחוד האירופי.