Defaults.Exposed

Defaults.Exposed › DMARC

DMARC: אימוץ, בשלות וטבלאות ליגה

נתונים נכון ל- 2026-06-29 · מהדורה #1 · נתונים נכון ל-2026-06-29

DMARC היא רשומת ה-DNS שאומרת לתיבות הדואר של העולם מה לעשות עם דואר שמתחזה לבוא מהדומיין שלכם — למסור אותו, להעביר להסגר, או לדחות. אל תפרסמו דבר (או השאירו במצב ניטור בלבד) וכל אחד יכול לשים את שמכם בשורת ה-"From" של מייל. החלק הזה מודד כיצד כל האינטרנט משתמש ב-DMARC בפועל — ומעניק לתוצאות שמות ברורים וניתנים לציטוט.

מפקד, לא מדגם: 261 מיליון דומיינים נמדדו. 10.6% אוכפים DMARC; 75.1% אינם מפרסמים רשומה כלל.

המודל: מודל בשלות אימוץ ה-DMARC (DAMM)

מספרי אימוץ משמעותיים רק מול מפה. שלנו היא מודל בשלות אימוץ ה-DMARC — DAMM: שישה שלבים מלא מוגן למוקשח, מהלך אחד לכל שלב, וקיר כן אחד באמצע — הצעד מצפייה (דוחות זורמים) לנראות (כל שולח מזוהה) שרוב הדומיינים לעולם אינם מטפסים עליו. כל טבלה ודוח בחלק הזה הם DAMM המיושם על המפקד.

הגיע הזמן לתת דין וחשבון על DAMM.

המכנים הקבועים

כל עמוד DMARC באתר הזה משתמש באותם מכנים, כך ששום נתון כאן אינו יכול להחליף בשקט את הבסיס שלו:

באיזה שלב אתם? שש שאלות

התחילו בשאלה 0, ואז ענו לפי הסדר — ה-"לא" הראשון הוא השלב שלכם. אין צורך בשום דבר מעבר למבט ברשומות ה-DNS ובתיבת הדואר שלכם — ואם אינכם יכולים לענות על אחת מהן, אל תנחשו: הבדיקה החינמית קוראת את ה-DNS החי שלכם ועונה עבורכם על שאלות 1, 2, 3 ו-5.

0. האם הדומיין שלכם שולח מייל בכלל?

לא ← המסע שלכם מתכווץ לצעד יחיד: פרסמו SPF v=spf1 -all ו-DMARC p=reject עוד היום. דומיין שאינו שולח כלל אין לו דואר לגיטימי להגן עליו — אין מה לצפות בו, אין קיר לטפס עליו — ולכן הוא עובר ישירות לשלב 5 — אכיפה בשינוי DNS אחד. כן ← השאלה הבאה.

1. האם SPF ו-DKIM קיימים ועוברים עבור הדואר שאתם שולחים?

לא ← אתם ככל הנראה בשלב 1 — לא מוגן. המהלך הבא שלכם: הגדירו SPF וגם DKIM עבור הדואר הראשי שלכם וודאו ששניהם מאמתים ומיושרים — יישור פירושו שהדומיין ש-SPF או DKIM מאמת הוא אותו דומיין שאדם רואה בשורת ה-"From:" הגלויה, וזו ההתאמה ש-DMARC בודק בפועל. DMARC בנוי על שניהם. כן ← השאלה הבאה.

2. האם אתם מפרסמים רשומת DMARC?

לא ← אתם ככל הנראה בשלב 2 — מאומת. המהלך הבא שלכם: פרסמו רשומת DMARC ב-p=none עם כתובת דיווח rua= — רשומת DNS אחת, שום דבר לא נשבר. כן ← השאלה הבאה.

3. האם הרשומה שלכם מבקשת דוחות (rua=) שמישהו באמת מקבל?

לא ← אתם ככל הנראה תקועים בין שלבים 2 ל-3 — פורסם, אך עיוור. המהלך הבא שלכם: הוסיפו כתובת rua= (עריכת DNS אחת) כך שדוחות מצטברים יזרמו — רשומה שאינה צופה אינה יכולה לאתר את השולחים שתצטרכו ליישר. כן ← השאלה הבאה.

4. האם זיהיתם כל שולח לגיטימי של דואר הדומיין שלכם — והאם כל אחד מהם מיושר?

לא ← אתם ככל הנראה בשלב 3 — צפייה, מול הקיר שבו רוב הדומיינים נתקעים. המהלך הבא שלכם: ערכו מצאי של כל שירות ששולח בשם הדומיין שלכם (כלי הניוזלטר, מערכת החשבוניות, ה-CRM) ויישרו כל אחד מהם. זהו גם השלב שבו בעלים לרוב מביאים עזרה — ספק IT או שירות ניטור DMARC יכולים לבצע את עבודת זיהוי השולחים; השלבים נשארים זהים בכל מקרה. כן ← השאלה הבאה.

5. האם המדיניות שלכם היא p=quarantine או p=reject?

לא ← אתם ככל הנראה בשלב 4 — נראות, ואתם יכולים לאכוף בבטחה. המהלך הבא שלכם: העלו את המדיניות בשלבים — none ← quarantine ← reject. כן ← אתם בשלב 5 — אכיפה. המהלך הבא שלכם: שכבת ההקשחה — כיסוי np=, MTA-STS ו-TLS-RPT — בתוספת ניטור רציף. זהו שלב 6.

כל החמש כן, הקשחה במקום, ומישהו עדיין צופה בדוחות? זהו שלב 6 — מוקשח. המהלך שם הוא להישאר: שולחים חדשים מופיעים, ספקים משנים כתובות IP, תצורות נרקבות. לא בטוחים לגבי תשובה? הריצו את הבדיקה החינמית — היא מיישבת את שאלות 1, 2, 3 ו-5 מה-DNS החי שלכם בפחות מדקה, באופן פרטי.

טבלאות הליגה והדוח החודשי

צלילות עומק

רוצים לדעת היכן עומד הדומיין שלכם? הריצו את הבדיקה החינמית → — פרטי; אנו מראים את הדירוג של דומיין אך ורק לבעלים המאומת שלו.

כיצד אנו מדרגים → · נתונים מצטברים בלבד; אנו לעולם לא מפרסמים את הדירוג של דומיין בודד.