איך עושים DMARC Lookup לדומיין שהוא לא שלכם - מדריך מעשי לפענוח מדיניות
כשבודקים DMARC בדרך כלל בודקים את הדומיין העצמי - אבל dmarc lookup domain של צד שלישי הוא כלי עבודה שימושי לא פחות: לפני שמציעים שירות דיוור לפרוספקט, לפני שבוחרים ספק דוא״ל חדש, או כדי להבין כמה מוגן דומיין של מתחרה. המדריך הזה מסביר איך מריצים את הבדיקה בשלוש דרכים שונות, איך קוראים נכון את התוצאה, ואיפה אנשים טועים בפענוח.
- dmarc lookup domain של צד שלישי שימושי לפני שיתוף פעולה עם ספק, לפני הצעה לפרוספקט, ולבנצ׳מרק תחרותי
- יש שלוש דרכים מעשיות: dig מהטרמינל, כלי dmarc lookup online, וניתוח כותרות מייל שכבר התקבל
- p=none זו רק ניטור בלי הגנה בפועל - לא לבלבל עם p=reject
- היעדר רשומת DMARC לגמרי הוא דגל אדום גדול יותר מרשומה עם p=none
- DMARC ותיקון 40 לחוק התקשורת פותרים בעיות שונות - הסכמה לעומת אימות טכני - ושתיהן נדרשות למייל עסקי לגיטימי
למה בודקים DMARC Lookup של דומיין שהוא לא שלכם
כשמדברים על DMARC lookup רוב האנשים חושבים מיד על בדיקת הדומיין העסקי שלהם - האם ה-SPF וה-DKIM מיושרים, האם המדיניות מספיק מחמירה. אבל בעבודה יומיומית סביב קמפיינים ממוקדי B2B, לפעמים הבדיקה המעניינת באמת היא dmarc lookup domain של מישהו אחר: פרוספקט שעומדים להציע לו שירות דיוור, ספק (ESP, אג׳נסיה, פלטפורמת אוטומציה) ששוקלים לעבוד איתו, או מתחרה שרוצים להבין את רמת הבשלות הטכנית שלו.
המדיניות שדומיין מפרסם ברשומת DMARC שלו חושפת הרבה בלי צורך לשאול אף אחד: האם הוא מוגן מפני spoofing, כמה רציני הצוות הטכני שמאחוריו, ובעקיפין - האם יש סיכוי שהמיילים שתשלחו אליו ייתקלו בסינון אגרסיבי כי גם התשתית הנכנסת שלו נבנתה ברצינות.
- לפני שמציעים שירות דיוור לפרוספקט - להבין את נקודת הפתיחה שלו ולהתאים את השיחה
- לפני שבוחרים ספק דוא״ל חדש - לוודא שהוא לא שולח מדומיין חשוף לזיוף
- לבנצ׳מרק תחרותי - להשוות רמת הגנה מול מתחרים באותו ורטיקל
איך מריצים dmarc lookup בפועל - שלוש שיטות
יש שלוש דרכים מעשיות לבצע dmarc lookup, מהמהירה והטכנית ביותר ועד הנגישה למי שלא מסתובב בטרמינל.
שורת פקודה נותנת את הרשומה הגולמית בלי תיווך - זו הדרך המדויקת ביותר, אבל דורשת לדעת לקרוא תגי DNS. כלי dmarc lookup online עושים בדיוק את אותה עבודה ומוסיפים פענוח מוכן לכל תג, מה שהופך אותם לנוחים כשצריך לבדוק כמה דומיינים ברצף. וכשאין גישה ל-DNS אבל יש מייל אמיתי מהצד השני, אפשר לקרוא את כותרות ה-Authentication-Results ולראות מה השרת המקבל בדק בפועל.
- שורת פקודה: dig TXT _dmarc.example.co.il +short - מחזיר את הרשומה הגולמית
- כלי dmarc lookup online חינמיים - כמו dmarcian, MXToolbox או dmarc lookup proofpoint - מדביקים דומיין ומקבלים פענוח מוכן
- ניתוח כותרות מייל שכבר התקבל מהדומיין - שימושי כשאין גישה ל-DNS שלו
כדי לבדוק דומיין של ספק פוטנציאלי, למשל אינטגרל מערכות (integral-systems.co.il), מריצים dig TXT _dmarc.integral-systems.co.il +short ומקבלים משהו כמו v=DMARC1; p=quarantine; pct=100; rua=mailto:dmarc-reports@integral-systems.co.il - כבר מכאן רואים שיש הגנה בינונית ושליחת דוחות פעילה, כלומר צוות שמנטר את התוצאות.
איך לפרש את מה שקיבלתם: policy, pct ו-benchmark
התג החשוב ביותר ברשומה הוא p= - המדיניות עצמה. p=none אומר שהדומיין רק אוסף דוחות ולא נוקט פעולה נגד מייל מזויף, p=quarantine מסמן מייל חשוד כספאם, ו-p=reject חוסם אותו לגמרי לפני שהוא מגיע לתיבה. תג pct= קובע על איזה אחוז מהתעבורה הכושלת המדיניות בפועל חלה - pct=50 עם p=reject אומר שרק חצי מהמייל הכושל נחסם, לא הכל.
כשמשווים מספר דומיינים בבת אחת - למשל כמה ספקים פוטנציאליים - שווה להסתכל על ההתפלגות הכללית ולא רק על מקרה בודד.
הנתונים הם טווחים אינדיקטיביים מתוך ניסיון בקמפייני B2B ממוקדים, לא סקר רשמי.
טעויות נפוצות בפענוח dmarc lookup domain
הטעות הכי נפוצה היא לזהות ״יש רשומת DMARC״ עם ״הדומיין מוגן״. p=none זו רק שכבת ניטור - הדומיין עדיין פתוח לגמרי לזיוף, פשוט מישהו מקבל דוחות על זה.
- לבלבל בין p=none (ניטור בלבד) לבין הגנה בפועל שנותנת רק p=quarantine או p=reject
- להתעלם מ-pct= ולהניח שהמדיניות חלה על 100% מהתעבורה
- לבדוק את הדומיין הראשי בלבד ולפספס תת-דומיין שמשמש בפועל לשליחה
- להניח יישור SPF/DKIM אוטומטי בלי לבדוק את תגי adkim ו-aspf (strict מול relaxed)
- לא לבדוק אם rua= פעיל בכלל - כתובת דוחות שלא קיימת אומרת שאף אחד לא קורא את הנתונים
checklist עסקי: מה עושים עם מה שגיליתם
אם בדקתם דומיין של פרוספקט ומצאתם p=none או שאין רשומה בכלל - זה חומר לשיחת מכירה, לא סיבה לפסול אותו. הרבה חברות ישראליות בגודל בינוני פשוט לא הגיעו עדיין לשלב הזה, וזו נקודת כניסה טבעית להסביר למה DMARC חשוב ל-deliverability שלהם.
אם בדקתם ספק דוא״ל שאתם שוקלים - p=reject עם pct=100 ורשומת rua פעילה הוא סימן טוב לצוות טכני רציני. אם הוא שולח מטעמכם (co-branding, subdomain delegation), ודאו שהיישור בין SPF/DKIM לדומיין השולח בפועל תקין, לא רק שקיימת רשומה כלשהי.
כדאי גם להבחין בין שתי שכבות שונות לגמרי: DMARC הוא אימות טכני שמונע זיוף כתובת השולח, בעוד תיקון 40 לחוק התקשורת מסדיר את חובת קבלת ההסכמה (opt-in) לפני משלוח דבר פרסומת בדוא״ל, עם פטור צר למשלוח ללקוח קיים. גם דומיין עם p=reject מושלם לא פוטר משמירה על תיקון 40 - ולהפך, הסכמה תקינה לא מגנה על הדומיין מפני spoofing בלי DMARC. ב-LDM בודקים את שתי השכבות לפני עלייה לאוויר עם דומיין חדש ללקוח.
שאלות נפוצות
מה ההבדל בין dmarc lookup online לבין הרצת dig מהטרמינל?
dig מחזיר את הרשומה הגולמית בלי תיווך, ומתאים למי שרגיל לקרוא תגי DNS ישירות. כלי dmarc lookup online עושים את אותה שאילתה אבל מוסיפים פענוח מוכן לכל תג, מה שחוסך זמן כשבודקים כמה דומיינים ברצף.
האם dmarc lookup proofpoint שונה מכלים אחרים?
מבחינת השאילתה הבסיסית - לא, כולם קוראים את אותה רשומת TXT ב-DNS. ההבדל הוא בממשק ובהסברים הנלווים; שווה להשוות בין שניים-שלושה כלים אם התוצאה קריטית להחלטה עסקית.
מצאתי דומיין בלי רשומת DMARC בכלל - זה אומר שהוא לא לגיטימי?
לא בהכרח, אבל זה דגל אדום גדול יותר מרשומה עם p=none. חלק גדול מהעסקים הישראליים בגודל בינוני עדיין לא הגדירו DMARC, וזה לרוב סימן להזנחה טכנית כללית ולא לכוונה זדונית.
איך בודקים DMARC של תת-דומיין ולא רק הדומיין הראשי?
מריצים את אותה שאילתה מול _dmarc.subdomain.example.co.il. אם אין רשומה ספציפית לתת-הדומיין, DMARC לרוב יורש את המדיניות של הדומיין הארגוני הראשי, אלא אם הוגדר אחרת.
כל כמה זמן כדאי לחזור ולהריץ dmarc lookup tool על אותו דומיין?
לפני כל שיתוף פעולה משמעותי חדש עם אותו ספק או פרוספקט, ולפחות פעם ברבעון אם הוא ממשיך לשלוח מטעמכם - מדיניות DMARC משתנה כשארגונים מתקדמים בהדרגה מ-p=none ל-p=reject.
רוצים ליישם את זה באאוטריץ׳ שלכם?
נראה לכם איך זה עובד על הסגמנט והמוצר שלכם — לפני שמתחילים.
דברו איתנו