איך להגדיר SPF, DKIM ו-DMARC כדי שמיילים מהאתר לא יגיעו לספאם

עודכן לאחרונה: 07.11.2026 · מאת עשהאל דרייר

בקצרה: SPF, DKIM ו-DMARC הן שלוש רשומות TXT ב-DNS של הדומיין, שמוכיחות לשרתי הדואר שמייל שנשלח בשמכם באמת מגיע מכם. SPF מפרט אילו שירותים מורשים לשלוח בשם הדומיין, DKIM מוסיף לכל מייל חתימה דיגיטלית, ו-DMARC אומר לשרת המקבל מה לעשות עם מייל שנכשל בבדיקות. באתר בקלאודוויז (Cloudways) מעתיקים את הערכים משירות השליחה (Elastic Email, Mailgun, SendGrid וכו'), מוסיפים אותם אצל הרשם או ב-Cloudflare, ומקפידים על רשומת SPF אחת בלבד לדומיין.

⏱ זמן ביצוע: 15–30 דקות, ועוד עד 24 שעות להתעדכנות ה-DNS · רמת קושי: בינוני · נבדק לאחרונה מול התיעוד הרשמי: 06.11.2026

מה זה SPF, DKIM ו-DMARC, בשפה פשוטה

כל אחד יכול לשלוח מייל שבשדה "מאת" כתוב info@העסק-שלכם.co.il. כדי להבדיל בין מייל אמיתי למזויף, שרתי דואר כמו Gmail ו-Outlook בודקים שלושה דברים ב-DNS של הדומיין.

SPF (Sender Policy Framework) הוא רשימת אורחים. רשומת TXT אחת בדומיין, שמתחילה ב-v=spf1, ומפרטת אילו שרתים ושירותים מורשים לשלוח מיילים בשם הדומיין. מייל שמגיע משרת שלא ברשימה נחשד כמזויף.

DKIM (DomainKeys Identified Mail) הוא חותמת. שירות השליחה חותם כל מייל בחתימה קריפטוגרפית, ומפרסם ב-DNS את המפתח הציבורי שמאפשר לבדוק אותה. אם החתימה תקינה, השרת המקבל יודע שהמייל נשלח באישור בעל הדומיין, ושלא שונה בדרך.

DMARC הוא מדיניות. הוא אומר לשרת המקבל: "אם מייל בשמי נכשל ב-SPF וב-DKIM, תעשה איתו כך": לא לעשות כלום, להעביר לספאם, או לדחות. בנוסף, הוא יכול לבקש דוחות על מי שולח בשמכם.

רשומה	איפה יושבת	דוגמה	מה קורה בלעדיה
SPF	TXT בשורש הדומיין (@)	v=spf1 include:_spf.elasticemail.com ~all	השרת המקבל לא יודע מי מורשה לשלוח
DKIM	TXT (או CNAME) בתת-שם כמו api._domainkey	v=DKIM1; k=rsa; p=...	אין הוכחה שהמייל לא זויף
DMARC	TXT בשם _dmarc	v=DMARC1; p=none;	אין מדיניות ואין דוחות, ושולחים בנפח גדול ל-Gmail עלולים להידחות

למה זה דחוף דווקא עכשיו: מאז 1 בפברואר 2024 גוגל דורשת מכל מי ששולח ל-Gmail לפחות SPF או DKIM, וממי ששולח יותר מ-5,000 מיילים ביום ל-Gmail את שלושתם, כולל DMARC (מדיניות p=none מספיקה). מייל בלי אימות עלול להגיע לספאם או להידחות.

לפני שמתחילים

• גישה לניהול ה-DNS של הדומיין: אצל הרשם (Box, LiveDNS, Internic וכו') או ב-Cloudflare, אם ה-DNS מנוהל שם. איך מגיעים לשם במדריך ל-DNS של דומיין ישראלי.
• רשימה של כל השירותים ששולחים מייל בשם הדומיין: שירות השליחה של האתר, תיבות הדואר (Rackspace, Google Workspace, Microsoft 365), מערכת דיוור, CRM, מערכת חשבוניות. כל אחד מהם צריך להיכנס ל-SPF.
• שירות שליחה מחובר לשרת. אם עוד לא בחרתם, ראו איזה פתרון מייל לבחור. לדוגמה, Elastic Email דרך קלאודוויז עולה החל מ-0.10$ לחודש ל-1,000 מיילים (ועד 57$ ל-1,000,000), נכון ל-06.11.2026 לפי עמוד המוצר. 0.10$ הם כ-0.32 ש"ח, הערכה לפי שער 3.194, ובלי התחשבות במסים.

איך מגדירים רשומת SPF?

הוספת רשומת SPF חדשה

1. בדקו קודם אם כבר יש לדומיין רשומת TXT שמתחילה ב-v=spf1. אם יש, אל תוסיפו חדשה. עברו לסעיף האיחוד.
2. בניהול ה-DNS צרו רשומה חדשה מסוג TXT.
3. ב-Name/Host הזינו @. בחלק מממשקי הרשמים משאירים את השדה ריק או כותבים את הדומיין המלא, לפי מה שהממשק מבקש.
4. ב-Value הזינו את הערך שהשירות שלכם נותן. לדוגמה, ל-Mailgun: v=spf1 include:mailgun.org ~all.
5. ב-TTL השאירו Automatic או את הערך הנמוך ביותר, ושמרו.

ה-include הנפוצים

שירות	מה מוסיפים ל-SPF
Elastic Email (קלאודוויז)	include:_spf.elasticemail.com (בתיעוד של קלאודוויז הערך המלא הוא v=spf1 a mx include:_spf.elasticemail.com ~all)
Rackspace Email (קלאודוויז)	include:emailsrvr.com
Mailgun	include:mailgun.org
Google Workspace	include:_spf.google.com
שירותים אחרים	הערך שמופיע אצלם בהגדרות אימות הדומיין

איחוד שתי רשומות SPF לאחת

זו טעות נפוצה: כל שירות שמוסיפים מבקש "להוסיף רשומת SPF", ומישהו מוסיף אותה כרשומה נוספת. לדומיין מותרת רשומת SPF אחת בלבד. אם יש שתיים, שתיהן נפסלות, וכל המיילים נכשלים ב-SPF.

נניח שיש לכם Elastic Email למיילים מהאתר ו-Rackspace לתיבות הצוות:

v=spf1 a mx include:_spf.elasticemail.com ~all
v=spf1 include:emailsrvr.com ~all

כללי האיחוד:

1. v=spf1 פעם אחת, בהתחלה.
2. a ו-mx, אם הופיעו באחת הרשומות, פעם אחת בלבד.
3. כל ה-include מכל הרשומות, זה אחר זה.
4. all אחד בלבד, בסוף. בחרו את האפשרות שמתאימה לכם (הסבר בטבלה בהמשך).

התוצאה:

v=spf1 a mx include:_spf.elasticemail.com include:emailsrvr.com ~all

מחקו את שתי הרשומות הישנות והשאירו רק את המאוחדת. איחוד SPF לא משנה את רשומות ה-MX ולא משפיע על קבלת מיילים, רק על אישור השליחה.

מה המשמעות של ~all, -all ו-?all

סיום	שם	מה השרת המקבל עושה עם שולח שלא ברשימה
-all	Fail	דוחה או מסמן ככישלון ברור
~all	Soft fail	מקבל, אבל מסמן כחשוד
?all	Neutral	לא מתייחס לרשומה
+all	Pass	מאשר את כולם. לעולם אל תשתמשו בזה

ההמלצה שלנו (החלטת עורך, והדוגמאות בתיעוד של קלאודוויז משתמשות גם ב-~all וגם ב--all): התחילו ב-~all. אחרי כמה שבועות, כשאתם בטוחים שכל השירותים ששולחים בשמכם נמצאים ברשומה, אפשר לעבור ל--all. בנוסף, לפי התיעוד, אל תוסיפו + לפני include. זה מיותר ועלול להכשיל בדיקות אצל חלק מהשרתים.

מגבלת 10 החיפושים

רשומת SPF יכולה לגרום לכל היותר ל-10 חיפושי DNS. המנגנונים include, a, mx, ptr, exists ו-redirect נספרים, וכל include יכול להכיל include משלו. מעבר ל-10, ה-SPF נכשל.

אם הגעתם לגבול: הסירו include של שירותים שאתם כבר לא משתמשים בהם, הסירו a ו-mx אם השרתים האלה לא שולחים מייל בפועל, או העבירו שירות מסוים לשלוח מתת-דומיין (למשל news.העסק.co.il), שיש לו רשומת SPF נפרדת.

הגדרת DKIM

רשומת DKIM היא ייחודית לכל שירות ולכל דומיין, ולכן תמיד מעתיקים אותה מהשירות. אי אפשר "לנחש" אותה.

1. בשירות השליחה, פתחו את עמוד אימות הדומיין. ב-Mailgun, למשל: Domains, בחירת הדומיין, ואז החלק Sending.
2. העתיקו את שם הרשומה (Host) ואת הערך שלה.
3. בניהול ה-DNS צרו רשומת TXT. ב-Name/Host הזינו את השם בדיוק כפי שמופיע אצל השירות, למשל pic._domainkey או api._domainkey.
4. ב-Value הדביקו את כל הערך, שמתחיל בדרך כלל ב-v=DKIM1; k=rsa; p=, בלי שבירות שורה ובלי רווחים מיותרים.
5. שמרו, וחזרו לשירות כדי ללחוץ Verify (אימות).

שימו לב לשלושה דברים:

• רשמים שמוסיפים את הדומיין לבד: אם תזינו api._domainkey.domain.co.il בממשק שמוסיף את הדומיין אוטומטית, תקבלו api._domainkey.domain.co.il.domain.co.il. בדקו איך הממשק שלכם מציג רשומות קיימות.
• שירותים שונים, רשומות שונות: בניגוד ל-SPF, לכל שירות יש רשומת DKIM משלו, בשם אחר, וזה תקין. אבל כשעוזבים שירות, מחקו את ה-DKIM הישן שלו, ואל תערבבו ערכים בין שירותים.
• Elastic Email: שם ה-Host הוא api._domainkey. מאוקטובר 2026 דומיינים חדשים מאמתים עם מפתח של 2048 ביט (דומיינים שכבר אומתו עם המפתח הישן ממשיכים לעבוד). אם ספק ה-DNS דוחה את הערך כי הוא ארוך מדי, מפצלים אותו לשתי מחרוזות במירכאות, ורוב הספקים עושים זאת אוטומטית.
• CNAME במקום TXT: חלק מהשירותים, כמו SendGrid, נותנים רשומות CNAME לאימות הדומיין במקום TXT. הוסיפו בדיוק את סוג הרשומה שהשירות מבקש. ב-Cloudflare, השאירו רשומות כאלה במצב DNS only (ענן אפור).

לקלאודוויז יש מדריך ייעודי לרשומות של Elastic Email, כולל DKIM ו-Tracking: אימות דומיין ב-Elastic Email. ל-Rackspace, התמיכה של קלאודוויז יכולה לעזור בהגדרת DKIM. להשוואה בין Google Workspace, Microsoft 365 ו-Rackspace ראו מייל עסקי עם הדומיין.

איך מגדירים רשומת DMARC?

DMARC בנוי על SPF ו-DKIM, ולכן מגדירים אותו אחרונה, אחרי ששניהם עובדים.

1. בניהול ה-DNS צרו רשומת TXT.
2. ב-Name/Host הזינו _dmarc.
3. ב-Value התחילו במדיניות מעקב בלבד:

v=DMARC1; p=none; rua=mailto:[email protected]

4. שמרו. התיבה שב-rua תתחיל לקבל דוחות יומיים משרתי הדואר הגדולים, בפורמט XML. עדיף להפנות אותם לתיבה ייעודית או לשירות שמנתח דוחות DMARC.

התחביר לפי RFC 7489 (נבדק 06.11.2026): התג v=DMARC1 חייב להיות ראשון ברשומה, והתגים מופרדים בנקודה-פסיק. אם תיבת ה-rua נמצאת בדומיין אחר, הדומיין המקבל צריך לפרסם רשומת אישור. התיעוד של Elastic Email מציע גם גרסה בלי דוחות (v=DMARC1; p=none;) וגם גרסה עם rua ו-ruf. המדיניות חלה על כל המיילים שנשלחים מהדומיין, לא רק על אלה של Elastic Email.

שלב	ערך p	משמעות	מתי
1. מעקב	p=none	לא משנים כלום, רק אוספים דוחות	מההתחלה, לפחות כמה שבועות
2. הסגר	p=quarantine	מייל שנכשל עובר לספאם	כשהדוחות מראים שכל השולחים הלגיטימיים עוברים
3. דחייה	p=reject	מייל שנכשל נדחה לגמרי	ההגנה המלאה מפני התחזות לדומיין

אל תקפצו ישר ל-p=reject. אם שכחתם שירות אחד (למשל מערכת החשבוניות ששולחת בשמכם), כל המיילים שלו ייעלמו בלי שאף אחד ידע.

למה DMARC נכשל גם כש-SPF עובר

DMARC בודק גם התאמה (Alignment): הדומיין שבשדה "מאת" שהלקוח רואה צריך להתאים לדומיין שעבר את SPF או DKIM. אם האתר שולח בשם info@העסק.co.il, אבל שירות השליחה חותם בשם הדומיין שלו ולא שלכם, SPF יכול לעבור ו-DMARC עדיין ייכשל. לכן חשוב לאמת אצל שירות השליחה את הדומיין שלכם, ולשלוח רק מכתובת על הדומיין הזה.

איך בודקים שהכול עובד

1. חכו להתעדכנות. שינויי DNS לוקחים לפעמים עד 24 שעות. אם האימות נכשל מיד אחרי ההוספה, חכו כמה שעות לפני שאתם משנים משהו.
2. שלחו מייל לבדיקה לכלי כמו mail-tester, שמציג ציון ופירוט של SPF, DKIM ו-DMARC.
3. בדקו מייל אמיתי ב-Gmail: פתחו מייל שנשלח מהאתר, בחרו בתפריט שלוש הנקודות "Show original" (הצג מקור), וחפשו SPF: PASS, DKIM: PASS ו-DMARC: PASS.
4. ודאו שיש רק רשומת SPF אחת שמתחילה ב-v=spf1, עם all אחד בסופה.

טעויות נפוצות ואיך לפתור אותן

שתי רשומות SPF: הנפוצה מכולן. אחדו לאחת לפי הכללים למעלה.

DKIM לא מאומת: השם (Host) לא זהה בדיוק למה שהשירות ביקש, הערך הודבק עם רווחים או שבירות שורה, או שהממשק הוסיף את הדומיין פעמיים. בדקו את הרשומה בכלי בדיקת DNS.

המיילים עדיין בספאם אחרי שהכול PASS: אימות הוא תנאי הכרחי, לא מספיק. בדקו את כתובת השולח (על הדומיין שלכם, לא gmail.com), את התוכן (קישורים מקוצרים, מילים שיווקיות, תמונה בלי טקסט), ואת שיעור התלונות. גוגל דורשת ששיעור הספאם המדווח יהיה מתחת ל-0.30% (ומומלץ מתחת ל-0.10%).

עברתם ל-Cloudflare והמיילים נשברו: רשומות ה-TXT וה-MX לא הועתקו, או שרשומת CNAME של שירות מייל הועברה למצב Proxied (ענן כתום). העתיקו הכול, והשאירו רשומות מייל ב-DNS only.

החלפתם שירות שליחה: הסירו את ה-include וה-DKIM של השירות הישן. רשומות מיותרות מבזבזות חיפושי DNS ועלולות לבלבל.

הגעתם ליותר מ-10 חיפושים: הסירו שירותים שלא בשימוש, או העבירו שליחה לתת-דומיין.

מקורות

• Cloudways Knowledge Base: Configure your domain with Mailgun SPF and DKIM records
• Cloudways Knowledge Base: How to merge multiple SPF records
• Google: Email sender guidelines

שאלות נפוצות

מדריכים קשורים

• אימות דומיין ב-Elastic Email
• איך להגדיר את התוסף WP Mail SMTP
• איזה פתרון מייל לבחור בקלאודוויז
• איך להגדיר SMTP בקלאודוויז
• כל המדריכים בתחום: מייל ומשלוח הודעות
• התמונה המלאה: אחסון אתרים בקלאודוויז

מקור רשמי: Configure Your Domain with Mailgun SPF and DKIM Records, How to Merge Multiple SPF Records (Cloudways Knowledge Base), Email sender guidelines (Google, נבדק 06.11.2026). המדריך נכתב ונבדק על ידי עשהאל דרייר · עודכן: 06.11.2026

גילוי נאות: זהו אתר עצמאי ואינו האתר הרשמי של Cloudways. חלק מהקישורים באתר הם קישורי שותפים – אם תירשמו דרכם נקבל עמלה, בלי עלות נוספת לכם. לפרטים המלאים