SPF, DKIM ו-DMARC ב-Exchange Online: הגדרת אימות דוא"ל

By Mirko Peters · 2026-10-29

למדו כיצד להגדיר SPF, DKIM ו-DMARC ב-Exchange Online כדי לאבטח את הדומיין שלכם, למנוע זיוף כתובות ולשפר באופן משמעותי את שיעורי מסירת הדואר.

Automatically translated with AI from the original post. Read the English original

אבטחת הדואר הנכנס והיוצא של הארגון שלכם ב-Microsoft 365 דורשת הגדרה נכונה של SPF, DKIM ו-DMARC. המדריך הזה מפרט כיצד שלושת פרוטוקולי אימות הדוא"ל החשובים הללו פועלים יחד ב-Exchange Online כדי להגן על הדומיין שלכם מפני זיוף, מהתקפות פישינג ומכשלי מסירה לא רצויים.

עיקרי הדברים

• SPF מגדיר אילו שרתי דואר מורשים לשלוח הודעות דוא"ל בשם הדומיין המותאם אישית שלכם.
• DKIM חותם קריפטוגרפית על ההודעות היוצאות כדי לוודא שתוכן הדוא"ל לא שונה במהלך ההעברה.
• DMARC משתמש בתוצאות SPF ו-DKIM כדי לקבוע כיצד שרתים מקבלים צריכים לטפל בהודעות לא מאומתות המתיימרות להגיע מהארגון שלכם.
• ניתוב ברירת המחדל של Microsoft בדומיין onmicrosoft.com מספק מסירה בסיסית, אך דומיינים מותאמים אישית דורשים רשומות SPF ו-DKIM מפורשות ב-DNS הציבורי שלכם.
• ניטור DMARC נכון מתחיל במדיניות 'none' לפני מעבר לאכיפה מחמירה של הסגר או דחייה.

הבנת אימות הדוא"ל ב-Exchange Online

במעבר ל-Exchange Online, ארגונים מתמקדים לרוב בהעברת תיבות דואר, מחברי היברידי ושיתוף לוחות שנה. עם זאת, הבטחת זרימת דואר תקינה דורשת הרבה יותר מסתם ניתוב רשומות MX ל-Microsoft. ללא אימות דוא"ל נכון, תקשורת עסקית לגיטימית נוטה לנחות בתיקיות הספאם, או גרוע מכך, גורמי איום מזייפים בקלות את זהות המותג שלכם.

פרוטוקולי אימות הדוא"ל משמשים כ"דרכון דיגיטלי" וכשומרי סף לדומיין שלכם. כאשר תיבת דואר ב-Exchange Online שולחת הודעה לנמען חיצוני כגון Gmail או Yahoo, שרתי הקבלה דורשים הוכחה מוחלטת לכך שההודעה באמת מקורה בארגון שלכם ולא זויפה על ידי צד זדוני שלישי. כאן שלישיית SPF, DKIM ו-DMARC הופכת לחובה עבור כל מנהל ענן מודרני.

תפקיד SPF ב-Exchange Online

Sender Policy Framework (SPF) הוא רשומת TXT בסיסית המפורסמת ברשם ה-DNS הציבורי שלכם. היא מפרטת במפורש את כתובות ה-IP והשירותים המורשים לשלוח דואר בשם הדומיין שלכם. עבור דייר ב-Exchange Online, רשומת ה-SPF שלכם חייבת לכלול את מנגנון ההכללה של Microsoft.

רשומת SPF טיפוסית ל-Exchange Online נראית פשוטה להפליא, ובדרך כלל כוללת את include:spf.protection.outlook.com. כאשר שרת חיצוני מקבל הודעה מהדומיין שלכם, הוא שואל את ה-DNS הציבורי, בודק את רשומת ה-SPF ומעריך אם כתובת ה-IP של השרת השולח תואמת לרשימה המורשית שלכם. אם הארגון משתמש בכלי שיווק, במערכות קריאות שירות או בפלטפורמות משאבי אנוש של צד שלישי ששולחות דואר בשמכם, יש לשלב גם אותם בזהירות ברשומת ה-SPF היחידה שלכם, כדי למנוע שגיאות תחביר וכשלים עקב חריגה ממגבלת מספר הבדיקות (lookup limit).

יישום חתימת DKIM

בעוד ש-SPF מאמת את שרת השליחה, DomainKeys Identified Mail (DKIM) מאמת את שלמות ההודעה עצמה. DKIM מוסיף חתימה דיגיטלית לכותרת של כל הודעת דוא"ל יוצאת. חתימה זו קשורה קריפטוגרפית למפתח ציבורי המפורסם בהגדרות ה-DNS של הדומיין שלכם.

‏Exchange Online מאפשר להגדיר DKIM בקלות דרך פורטל Microsoft Defender, אם כי נדרש ליצור רשומות CNAME ספציפיות אצל רשם ה-DNS החיצוני שלכם. לאחר ההפעלה, Exchange Online חותם באופן אוטומטי על ההודעות היוצאות שלכם. אם גורם זדוני יירט וישנה את ההודעה בדרכה, ערך ה-hash הקריפטוגרפי לא יעבור אימות, וזה יאותת מיד לשער הדואר המקבל שההודעה שונתה. הפעלת DKIM היא צעד חובה לשיפור יכולת המסירה אצל ספקי הדואר הגדולים, הן לצרכנים והן לארגונים.

אכיפת מדיניות DMARC

‏Domain-based Message Authentication, Reporting, and Conformance (DMARC) מאחד את SPF ו-DKIM תחת מדיניות אחת. רשומת DMARC אומרת לשרתי הדואר המקבלים מה לעשות אם הודעה נכנסת נכשלת גם בבדיקת SPF וגם בבדיקת DKIM. והחשוב מכול: DMARC מציג גם כללי יישור (alignment), שמוודאים שהדומיין הנראה למשתמש הקצה בכותרת ‏'From' תואם לדומיינים שאומתו על ידי SPF ו-DKIM.

כשמתחילים עם DMARC ב-Exchange Online, מנהלים צריכים תמיד להתחיל במדיניות ניטור (p=none). הגדרה זו מורה לשרתים המקבלים לשלוח דוחות XML מסכמים ויומני פורנזיקה יומיים לכתובת דיווח ייעודית, מבלי לחסום אף הודעה. ניתוח הדוחות מאפשר למנהלי IT לאתר שולחים לא מורשים, לתקן מערכות פנימיות שהוגדרו בצורה שגויה, ולעבור בהדרגה למדיניות p=quarantine ולבסוף ל-p=reject, להגנה מרבית על הדומיין.

פתרון תקלות נפוצות בזרימת דואר

גם עם הגדרות DNS נכונות, מנהלים שמנהלים את זרימת הדואר ב-Exchange Online נתקלים במלכודות עדינות. בעיה נפוצה מתעוררת בפריסות היברידיות, שבהן הודעות מנותבות גם דרך שרתי Exchange מקומיים וגם דרך Exchange Online Protection (EOP). אם לקישורי ממסר פנימיים (relay connectors) חסרות הרשאות מתאימות או הצהרות על כתובות IP של המקור, הודעות יוצאות עלולות להיכשל בחתימת DKIM או להפעיל כשלי SPF רכים (soft-fail).

אתגר נפוץ נוסף נוגע ליישומי צד שלישי שמנתבים דואר דרך Exchange Online באמצעות הגשת לקוח SMTP או שיטות שליחה ישירה. אם היישומים האלה משתמשים בדומיין המותאם האישי הראשי שלכם בכתובת השולח, ללא הרשאה מפורשת ברשומת SPF שלכם או אימות באמצעות תיבת דואר ייעודית ליישום, מסנני הספאם יסמנו במהירות את ההודעות שלכם. בדיקת יומני מעקב הודעות (message trace) במרכז הניהול של Exchange עוזרת לאתר פערי אימות אלה לפני שהם משפיעים על פעילות העסק היומיומית.

סיכום וצעדים הבאים

אבטחת הדומיין המותאם האישי שלכם ב-Exchange Online חורגת הרבה מעבר ליצירת תיבות דואר בסיסיות ושיתוף לוחות שנה. שליטה ב-SPF, DKIM ו-DMARC מבטיחה שהתקשורת של הארגון שלכם תישאר אמינה, עומדת בדרישות הרגולציה, ותגיע בבטחה לתיבות הדואר של הנמענים בכל העולם. כדי להכיר את ארכיטקטורת הדואר הבסיסית, תיבות דואר משותפות ואסטרטגיות ענן מול היברידיות, הקפידו להאזין לפרק המלא של הפודקאסט, להסבר ברור וללא ז'argon על כל מה שמתרחש במנוע הדואר המוביל של מיקרוסופט.

שאלות נפוצות

מהי מחרוזת ה-include של SPF עבור Exchange Online?

מחרוזת ה-include הסטנדרטית של SPF עבור Exchange Online ב-Microsoft 365 היא include:spf.protection.outlook.com. היא אומרת לשרתים המקבלים לסמוך על תשתית השליחה העננית המורשית של מיקרוסופט עבור הדומיין שלכם.

האם Exchange Online מפעיל DKIM באופן אוטומטי?

לא. מיקרוסופט מספקת את התשתית, אך מנהלים צריכים להפעיל ידנית את DKIM בפורטל Microsoft Defender ולפרסם את רשומות ה-CNAME הנדרשות אצל רשם ה-DNS הציבורי שלהם.

מהי מדיניות DMARC ההתחלתית המומלצת?

המדיניות ההתחלתית המומלצת היא p=none. היא מאפשרת לאסוף דוחות DMARC מסכמים ופורנזיים ללא השפעה על מסירת הדואר, ועוזרת לזהות מקורות דואר לגיטימיים לפני אכיפת מדיניות מחמירה יותר של quarantine או reject.

מדוע הודעות Exchange Online שלי נופלות לספאם?

הודעות נופלות לספאם לרוב כאשר לדומיין חסרות רשומות SPF, DKIM או DMARC מוגדרות כהלכה, או כאשר לכתובת ה-IP השולחת יש היסטוריית מוניטין גרועה. הגדרת פרוטוקולי האימות הללו בונה מוניטין שולח ומבטיחה הצבה נכונה בתיבת הדואר הנכנס.