אבטחת דומיין co.il בקלאודפלייר: HSTS, TLS 1.2 ו-DNSSEC שלב אחר שלב (כולל הצד של הרשם)

עודכן לאחרונה: 07.11.2026 · מאת עשהאל דרייר

בקצרה: DNSSEC חותם דיגיטלית על רשומות ה-DNS של הדומיין, כך שאי אפשר לזייף לגולש לאן האתר מפנה. בדומיין co.il שמנוהל בקלאודפלייר (Cloudflare) מפעילים אותו בלחיצה, ואז מוסיפים רשומת DS אצל הרשם הישראלי. ב-7.11.2026 הפעלנו באתר שלנו DNSSEC, HSTS לחצי שנה ו-TLS 1.2 כמינימום. ה-DNSSEC עדיין ממתין לרשומת ה-DS.

⏱ זמן ביצוע: 20 דקות, ועוד עד יום עד שה-DS נקלט · רמת קושי: בינוני · נבדק לאחרונה: 07.11.2026 (דשבורד Cloudflare ובדיקות curl ו-DNS מישראל)

מה זה DNSSEC ולמה דומיין co.il צריך אותו?

DNSSEC (DNS Security Extensions) הוא תוסף אבטחה ל-DNS, ספר הטלפונים של האינטרנט. הוא מוסיף חתימה דיגיטלית לכל תשובה, כך ששרת DNS שמאמת (resolver) יכול לבדוק שהתשובה לא שונתה בדרך. בלי DNSSEC, תוקף שמצליח להרעיל קאש של ספק אינטרנט יכול להפנות גולשים לשרת אחר, והם לא ירגישו.

האמון עובד בשרשרת. האזור co.il חתום, והוא צריך "להצביע" על המפתח שלכם. ההצבעה הזו היא רשומת DS (Delegation Signer): תקציר של המפתח הציבורי שלכם, שנשמר אצל הרשם ומשם עובר לאזור co.il. בדקנו ב-7.11.2026 שהאזור co.il אכן חתום ומאומת (הדגל AD מופיע בתשובה).

חשוב להבין מה זה לא עושה: DNSSEC לא מצפין כלום ולא מגן על האתר עצמו. הוא מגן רק על השאלה "לאיזו כתובת הדומיין הזה מפנה". הגנה על התוכן עצמו היא תפקיד של HTTPS, ולכן הוא מגיע יחד עם HSTS ו-TLS בעמוד הזה.

מה שינינו באתר שלנו, ומה המצב לפני ואחרי?

ב-7.11.2026 עברנו על הגדרות האבטחה של הדומיין שלנו בדשבורד של Cloudflare, ושינינו שלוש הגדרות. אלה התוצאות, כפי שבדקנו אותן מבחוץ באותו יום:

הגדרה	לפני	אחרי	איך וידאנו
HSTS	כבוי	180 יום, בלי תת-דומיינים ובלי preload	הכותרת Strict-Transport-Security: max-age=15552000
No-Sniff	כבוי	פעיל	הכותרת X-Content-Type-Options: nosniff
Minimum TLS Version	TLS 1.0	TLS 1.2	חיבור ב-TLS 1.1 קיבל protocol version alert; ב-1.2 וב-1.3 נפתח
DNSSEC	כבוי	פעיל בקלאודפלייר, DS ממתין אצל הרשם	רשומות DNSKEY עם Algorithm 13 קיימות; רשומת DS באזור co.il חסרה

המשמעות של "ממתין": כרגע קלאודפלייר כבר חותם על הרשומות, אבל אף resolver עוד לא מאמת אותן, כי אין לו דרך לדעת שהמפתח שלנו אמיתי. זה מצב בטוח. האתר עובד רגיל, ופשוט עוד אין הגנה. נעדכן את העמוד עם צילום של הסטטוס "signed" כשה-DS ייכנס.

איך מפעילים DNSSEC בקלאודפלייר לדומיין co.il?

זה תהליך של שני צדדים: קודם קלאודפלייר מייצר מפתחות, ואז הרשם מפרסם את רשומת ה-DS. התנאי היחיד הוא שהדומיין כבר מנוהל ב-DNS של קלאודפלייר (שרתי השמות שלו מוגדרים אצל הרשם). אם זה עוד לא קרה, התחילו במדריך חיבור דומיין מקלאודפלייר לקלאודוויז.

הצד של קלאודפלייר

1. בדשבורד של Cloudflare בחרו את הדומיין, ואז DNS > Settings.
2. בכרטיס DNSSEC לחצו Enable DNSSEC.
3. נפתח חלון עם הערכים של רשומת ה-DS. העתיקו אותם לקובץ טקסט. אפשר לחזור אליהם בכל רגע דרך DS record באותו כרטיס.
4. אל תסגרו את הטאב לפני שיש לכם את ארבעת הערכים: Key Tag, Algorithm, Digest Type ו-Digest.

לפי התיעוד של Cloudflare על DNSSEC, האלגוריתם המועדף שלהם הוא 13, שאצל חלק מהרשמים מופיע בשם ECDSA Curve P-256 with SHA-256. קלאודפלייר מוסיף את ה-DS לבד רק לדומיינים שרשומים אצלו או לסיומות מסוימות, ו-co.il לא ביניהן. לכן הצעד הבא עליכם.

הצד של הרשם הישראלי

כל רשם מוסמך של co.il מציג את זה קצת אחרת, ולכן הצעדים כאן כלליים. לא נציין את הרשם שלנו. מה שצריך למצוא בממשק הוא אזור בשם DNSSEC, DS Records או "רשומות DS", בדרך כלל בהגדרות הדומיין, לצד שרתי השמות.

1. היכנסו לחשבון אצל הרשם ופתחו את הגדרות הדומיין.
2. חפשו את האזור של DNSSEC או DS. אם אין כזה בממשק, פתחו פנייה לתמיכה של הרשם ובקשו להוסיף רשומת DS. שלחו את ארבעת הערכים בטקסט.
3. מלאו את השדות לפי הטבלה שלמטה, ושמרו.
4. חכו. השינוי עובר מהרשם לאזור co.il, ובדרך כלל לוקח בין כמה דקות לכמה שעות.
5. בדקו בעצמכם, לפי הסעיף הבא. אחר כך גם הכרטיס בקלאודפלייר יעבור ל-Active.

שדה אצל הרשם	מה ממלאים	הערה
Key Tag	מספר קצר מהחלון של Cloudflare	מזהה את המפתח
Algorithm	13	לפעמים מופיע כ-ECDSAP256SHA256
Digest Type	2	כלומר SHA-256
Digest	המחרוזת הארוכה מהחלון	מעתיקים בדיוק, בלי רווחים. אל תפרסמו אותה בפורומים

טעות שכדאי להכיר: חלק מהממשקים מבקשים גם את המפתח הציבורי (DNSKEY) או את הדגלים (Flags 257). גם אותם תמצאו בחלון של Cloudflare. מלאו רק את מה שהרשם מבקש.

איך בודקים ש-DNSSEC באמת עובד?

בודקים שלושה דברים: שיש מפתחות, שיש DS באזור co.il, ושה-resolver מסמן את התשובה כמאומתת. אפשר לעשות את כל זה מהמחשב, בלי לשלם על כלי. במחשב עם dig (לינוקס, מק או WSL):

dig DNSKEY example.co.il +short
dig DS example.co.il +short
dig A example.co.il +dnssec @1.1.1.1 | grep flags

בווינדוס, בלי להתקין כלום, אפשר לשאול את שרת ה-DNS של קלאודפלייר דרך HTTPS עם curl:

curl -s -H "accept: application/dns-json" "https://cloudflare-dns.com/dns-query?name=example.co.il&type=DS"
curl -s -H "accept: application/dns-json" "https://cloudflare-dns.com/dns-query?name=example.co.il&type=A"

בדיקה	אצלנו ב-7.11.2026	מה צריך לראות בסוף
DNSKEY	שתי רשומות, Algorithm 13	אותו דבר
DS באזור co.il	אין תשובה	רשומה אחת עם אותו Key Tag
הדגל AD בתשובה	"AD":false	"AD":true
whois	DNSSEC: unsigned	DNSSEC: signed

לבדיקה ויזואלית, DNSViz מצייר את כל השרשרת מהשורש ועד הדומיין שלכם, ומסמן באדום איפה היא נשברת.

מה זה HSTS, ולמה הפעלנו אותו בלי preload?

HSTS (HTTP Strict Transport Security) היא כותרת שאומרת לדפדפן: "לתקופה הזו, אל תפתח את האתר אלא ב-HTTPS". מהביקור השני והלאה, הדפדפן לא ינסה בכלל HTTP, וכך אי אפשר "להוריד" את הגולש לחיבור לא מוצפן ברשת WiFi ציבורית. ההגדרה המלאה מופיעה ב-RFC 6797.

בקלאודפלייר זה נמצא ב-SSL/TLS > Edge Certificates > HTTP Strict Transport Security (HSTS). לפי התיעוד של HSTS ב-Cloudflare, יש ארבע אפשרויות: משך (Max Age, מחודש עד 12 חודשים), includeSubDomains, Preload ו-No-Sniff.

אפשרות	מה בחרנו	למה
Max Age	6 חודשים	מספיק ארוך כדי להגן, וקצר מספיק כדי לתקן טעות בתוך חצי שנה
includeSubDomains	כבוי	לא בדקנו שכל תת-דומיין עובד ב-HTTPS. תת-דומיין בלי HTTPS היה נחסם
Preload	כבוי	דורש 12 חודשים לפחות, ויציאה מרשימת הדפדפנים איטית. לא מתחייבים לפני שכל השאר יציב
No-Sniff	פעיל	מונע מהדפדפן לנחש סוג קובץ. אין לו מחיר באתר וורדפרס רגיל

האזהרה החשובה: אחרי ש-HSTS פעיל, אסור לבטל את ה-HTTPS. גולשים שכבר קיבלו את הכותרת לא יוכלו להיכנס לאתר עד שהתקופה תיגמר. לכן מפעילים HSTS רק כשההפניה ל-HTTPS כבר עובדת. הבדיקה המלאה נמצאת במדריך הפניה ל-HTTPS בקלאודוויז. על רשימת ה-preload עצמה אפשר לקרוא ב-hstspreload.org.

בודקים את זה בשורה אחת:

curl -sI https://example.co.il/ | grep -i -E "strict-transport|x-content-type"

למה TLS 1.2 כמינימום, ואת מי זה משאיר בחוץ?

TLS הוא הפרוטוקול שמצפין את החיבור בין הדפדפן לאתר. הגרסאות 1.0 ו-1.1 ישנות, והדפדפנים המרכזיים כבר הפסיקו לתמוך בהן. אצלנו המינימום היה 1.0, כלומר האתר עדיין הסכים לחיבור חלש למי שביקש. ב-SSL/TLS > Edge Certificates > Minimum TLS Version העלינו אותו ל-1.2.

לפי התיעוד של Minimum TLS Version, לקוח שמנסה גרסה נמוכה מהמינימום לא משלים את החיבור ומקבל שגיאת TLS. בפועל, מי שנפגע הם בעיקר מכשירים ותוכנות ישנים מאוד. גולש בכרום, אדג', ספארי או פיירפוקס עדכניים לא ירגיש שום הבדל.

איך בדקנו (7.11.2026): ניסינו להתחבר לאתר בכל גרסה בנפרד עם OpenSSL 3.0. בדיקת ביקורת מול שרת שתומך רק ב-TLS 1.1 הצליחה, כך שהכלי שלנו מסוגל לדבר 1.1. מול האתר שלנו, TLS 1.0 ו-1.1 קיבלו protocol version alert, ו-1.2 ו-1.3 התחברו. אם השגיאה הזו מופיעה לכם בדפדפן, ההסבר המלא נמצא בעמוד ERR_SSL_PROTOCOL_ERROR.

מלכודת בבדיקה מווינדוס: ה-curl שמגיע עם ווינדוס 11 משתמש ב-Schannel, ו-Schannel עצמו כבר לא תומך ב-TLS 1.1. לכן curl --tlsv1.1 --tls-max 1.1 ייכשל מול כל אתר, גם אתר שתומך ב-1.1. השגיאה תהיה SEC_E_UNSUPPORTED_FUNCTION, והיא לא אומרת כלום על השרת. בדקו מלינוקס, ממק או עם openssl:

openssl s_client -connect example.co.il:443 -tls1_1 </dev/null 2>&1 | grep -i -E "alert|Protocol"
openssl s_client -connect example.co.il:443 -tls1_2 </dev/null 2>&1 | grep -i "Protocol"

אילו טעויות יכולות להפיל את הדומיין?

DNSSEC ו-HSTS הן הגדרות שמגינות, אבל טעות בהן מפילה את האתר לכל הגולשים. אלה המקרים שכדאי להכיר לפני שמתחילים:

מעבר שרתי שמות או רשם כש-DS עדיין קיים: אם תעבירו את ה-DNS לספק אחר וה-DS הישן נשאר אצל הרשם, ה-resolvers יחזירו SERVFAIL והאתר ייעלם. קלאודפלייר מזהיר על זה במפורש: קודם מוחקים את ה-DS, מחכים שה-TTL שלו יפוג, ורק אז מחליפים שרתי שמות. התסמין אצל הגולש נראה כמו DNS_PROBE_FINISHED_NXDOMAIN או שגיאת DNS דומה.

כיבוי DNSSEC בקלאודפלייר לפני מחיקת ה-DS: אותה תוצאה. הסדר הנכון בביטול: קודם מוחקים את ה-DS אצל הרשם, מחכים, ואז מכבים בקלאודפלייר.

Digest עם תו חסר: רשומת DS שגויה גרועה יותר מרשומה חסרה, כי היא שוברת את האימות. אחרי ההוספה בדקו מיד ב-DNSViz.

includeSubDomains בלי בדיקה: תת-דומיין ישן, למשל של מערכת דיוור או סביבת בדיקות, שאין לו תעודה, יפסיק להיפתח לגולשים שביקרו באתר הראשי.

Preload "כי זה מומלץ": הכניסה לרשימה מהירה, אבל היציאה ממנה לוקחת זמן רב, והיא נשארת בדפדפנים שכבר הורידו את הרשימה. שווה רק אחרי שהכול יציב לאורך זמן.

מה ההגדרות האלה לא מכסות?

הן מגינות על הדרך לאתר, לא על האתר עצמו ולא על החשבון אצל הרשם. גניבת דומיין קורית בדרך כלל דרך החשבון: סיסמה חלשה, מייל שנפרץ או בקשת העברה שלא שמו לב אליה. לכן, נוסף על DNSSEC:

• הפעילו אימות דו-שלבי בחשבון אצל הרשם ובחשבון של Cloudflare.
• ודאו שכתובת המייל של בעל הדומיין פעילה ושייכת לכם. בקשות העברה נשלחות אליה.
• בדקו אצל הרשם אם יש נעילת העברה, והפעילו אותה.
• עקבו אחרי מועד החידוש. דומיין שפג הוא הדרך הפשוטה ביותר לאבד אותו. רקע על רישום והרשמים: רישום דומיין בישראל.

השכבות שמגינות על האתר עצמו (חומת אש, הגנה מפני בוטים, עדכונים וגיבויים) מרוכזות במדריך אבטחת אתרים. הגדרות ה-DNS של דומיין ישראלי, כולל שרתי שמות, מוסברות במדריך DNS לדומיין ישראלי.

איך זה מתחבר לקלאודוויז (Cloudways)?

בתצורה שלנו קלאודוויז לא נוגע בהגדרות האלה. השרת מקבל את הבקשות מקלאודפלייר, וכל השלושה מוגדרים בחשבון Cloudflare שלנו, בחבילה החינמית. כדאי לזכור שגם בשרת עצמו צריכה להיות תעודת SSL תקפה, כדי שהחיבור בין קלאודפלייר לשרת יהיה מוצפן ומאומת. איך מתקינים אותה: התקנת תעודת SSL בקלאודוויז.

קלאודוויז מציע גם תוסף Cloudflare Enterprise שמנוהל מהפאנל, בלי חשבון קלאודפלייר נפרד ובלי החלפת שרתי שמות. לא בדקנו איך מפעילים בו DNSSEC, ולכן לא נכתוב על זה. ההבדלים בין החבילות מוסברים בהשוואת Cloudflare Free מול Enterprise, והמחירים במחירון התוספים.

שאלות נפוצות

מדריכים קשורים

• אבטחת אתרים: כל השכבות
• DNS לדומיין ישראלי
• חיבור דומיין מקלאודפלייר לקלאודוויז
• רישום דומיין בישראל
• ERR_SSL_PROTOCOL_ERROR: שגיאות SSL בדפדפן
• הפניה ל-HTTPS בקלאודוויז
• כל המדריכים בתחום: אבטחה

מקורות: בדיקות שלנו מ-7.11.2026 (דשבורד Cloudflare של cw-servers.co.il, curl ו-OpenSSL מישראל, שאילתות DNS דרך cloudflare-dns.com); DNSSEC, HTTP Strict Transport Security, Minimum TLS Version (Cloudflare Docs); RFC 6797: HSTS; HSTS Preload List; DNSViz. נכתב ונבדק על ידי עשהאל דרייר · עודכן: 07.11.2026

גילוי נאות: זהו אתר עצמאי ואינו האתר הרשמי של Cloudways. חלק מהקישורים באתר הם קישורי שותפים – אם תירשמו דרכם נקבל עמלה, בלי עלות נוספת לכם. לפרטים המלאים