dmarc checker mxtoolbox מול dmarcian מול proofpoint: איזה כלי DMARC ו-SPF מתאים לכם
כשמנהלים קמפיין קולד אימייל ממוקד ל-B2B, כמעט תמיד שולחים מתת-דומיין ייעודי ולא מהדומיין הראשי של החברה — וזה אומר כמה רשומות SPF, DKIM ו-DMARC שצריך לוודא שהן תקינות, לא רק פעם אחת בהקמה אלא כל חודש מחדש. הבעיה היא שיש עשרות כלים לבדיקת DMARC, חלקם חינמיים וחלקם דורשים מנוי, וההבדלים ביניהם משפיעים ישירות על כמה מהר מגלים שבירה ברשומה לפני שהיא פוגעת בתגובות. המדריך הזה משווה בין הכלים הנפוצים ביותר ומסביר מתי כל אחד מהם באמת עוזר.
- dmarc checker mxtoolbox מתאים לבדיקה חד-פעמית ומהירה, לא לניטור שוטף
- dmarcian הוא הכלי המומלץ למי שמנהל כמה דומיינים ורוצה לקרוא דוחות rua בלי לפענח XML ידנית
- dmarcian spf surveyor פותר בעיה ספציפית וקריטית — חריגה ממגבלת 10 חיפושי DNS ב-SPF
- proofpoint dmarc checker רלוונטי בעיקר לארגונים שכבר בתוך אקוסיסטם proofpoint
- מדיניות DMARC צריכה לעלות בהדרגה (none → quarantine → reject) ולא בקפיצה אחת
כמה דומיינים, כמה כלים, כמה כאב ראש
חברות B2B ששולחות קמפיינים ממוקדים כמעט אף פעם לא שולחות מהדומיין הראשי. הפרקטיקה המקובלת היא תת-דומיין ייעודי לשליחה קרה — למשל reach.company.co.il לצד company.co.il — כדי שאם משהו משתבש בתגובות ספאם, זה לא פוגע בתיבת המכירות או בדואר הפנימי של הארגון.
המשמעות המעשית: לכל דומיין ותת-דומיין יש רשומת SPF, מפתחות DKIM ומדיניות DMARC נפרדות, ולפעמים גם ספק שליחה שונה לכל אחד. ברגע שיש שלושה-ארבעה דומיינים פעילים, בדיקה ידנית ב-DNS פעם בחודש כבר לא מספיקה — צריך כלי שמרכז את התמונה, ורצוי כזה שגם שולח התראה כשמשהו נשבר, לא רק כשמישהו טורח לבדוק.
מה בודקים בפועל: קריטריונים לרשומת DMARC ו-SPF תקינה
בדיקת DMARC אמיתית לא נגמרת ב'האם יש רשומה'. אלה הפרמטרים שבאמת קובעים אם הרשומה מגינה על הדומיין או רק קיימת על הנייר:
- מדיניות (p=) — none רק לתקופת הרצה ראשונית, quarantine או reject לדומיין שכבר יציב
- יישור (alignment) — aspf ו-adkim ברמת relaxed לרוב מספיק ל-B2B, strict דורש התאמה מדויקת של תת-הדומיין
- כתובת rua מוגדרת ופעילה — בלי דוחות אין דרך לדעת מי מתחזה או נכשל בהזדהות
- SPF עד 10 חיפושי DNS — חריגה גורמת ל-permerror ולכישלון שקט של כל הבדיקה
- כל ספקי השליחה בפועל (ESP, כלי מעקב, שרתי דואר פנימיים) כלולים ברשומת ה-SPF
- pct=100 — אחרת רק חלק מהתעבורה בכלל נבדקת מול המדיניות
השוואת הכלים: mxtoolbox, dmarcian ו-proofpoint
dmarc checker mxtoolbox הוא כנראה הכלי הכי נפוץ לבדיקה מהירה וחד-פעמית — מדביקים דומיין, מקבלים תוצאה תוך שניות, בלי הרשמה. הבעיה: dmarc analyzer mxtoolbox בגרסה החינמית לא שומר היסטוריה ולא מפענח דוחות rua אוטומטית, אז לניטור שוטף צריך שדרוג לתשלום או כלי אחר לצדו.
dmarcian בנוי בדיוק לניהול שוטף. הפענוח של דוחות ה-rua נעשה אוטומטית לגרפים קריאים, אפשר לראות אילו IP-ים שולחים בשם הדומיין ולזהות תוך ימים ניסיונות התחזות (spoofing) לפני שהם הופכים לבעיית מוניטין. dmarcian spf surveyor הוא כלי נפרד וממוקד בתוך אותה משפחה — הוא 'שוטח' את שרשרת ה-include ומראה בדיוק כמה מתוך 10 חיפושי ה-DNS כבר בשימוש, מה שחוסך המון ניחושים כשמוסיפים ספק שליחה חדש.
proofpoint dmarc checker שונה בגישה — הוא חלק מפלטפורמת אבטחת דואר ארגונית רחבה, לא כלי עצמאי. הוא הגיוני לחברה שכבר לקוחה של proofpoint לצרכי אבטחה פנימית, אבל בשביל בדיקת DMARC/SPF בלבד לקמפיין B2B הוא כלי כבד ויקר יחסית לצורך.
נתונים אינדיקטיביים, מתוך בדיקות ראשוניות בפרקטיקת קמפיינים ממוקדים ל-B2B
טווחים סבירים והדרגתיות במעבר בין מדיניות
אחת הטעויות הנפוצות היא לקפוץ ישר ל-p=reject אחרי שרואים שרשומת DMARC 'נראית תקינה'. הדרך הבטוחה היא הדרגתית: להתחיל ב-p=none כדי לאסוף דוחות בלבד, לוודא שכל השולחים הלגיטימיים מזוהים נכון, ורק אז לעבור ל-quarantine ובהמשך ל-reject.
טווחים אינדיקטיביים בלבד, משתנים לפי מספר ספקי השליחה בדומיין
טעויות נפוצות שראינו אצל לקוחות שמנהלים כמה דומיינים
רוב הבעיות לא נובעות מחוסר ידע טכני אלא מחוסר תחזוקה שוטפת אחרי ההקמה הראשונית.
- מוסיפים ספק שליחה או כלי מעקב חדש בלי לעדכן את רשומת ה-SPF — התוצאה permerror שקטה
- מגדירים DMARC על הדומיין הראשי אבל לא על תת-הדומיין הייעודי לקמפיינים
- אף אחד לא קורא את דוחות ה-rua שמגיעים — הם רק נערמים בתיבה בלי שמישהו פותח אותם
- עוברים ל-p=reject מהר מדי, לפני שווידאו שכל שרתי הדואר הפנימיים גם עוברים יישור
- מתייחסים ל-DMARC כפתרון עצמאי, בלי לקשר אותו לעמידה בתיקון 40 לחוק התקשורת — עלייה בתלונות ספאם על אי-עמידה בדרישות הזדהות והסרה פוגעת במוניטין הדומיין גם אם ה-DMARC טכנית תקין
דוגמה מהשטח: לקוח הוסיף כלי מעקב פתיחות חדש לקמפיין, שכח לעדכן include ב-SPF, וזה חצה בשקט את מגבלת 10 החיפושים. תוך שבוע שיעור ה-inbox placement ירד מ-92% ל-61%, ורק בדיקה עם dmarcian spf surveyor חשפה שהבעיה היא permerror ולא תוכן המייל.
צ'קליסט חודשי — איך אנחנו עושים את זה ב-LDM
לכל דומיין שליחה של לקוח אנחנו מריצים בדיקה חודשית קבועה, לא רק בהקמה. הצ'קליסט קצר בכוונה כדי שבאמת יבוצע כל חודש:
- בדיקת DMARC מהירה עם dmarc checker mxtoolbox לכל דומיין פעיל
- סריקת דוחות rua ב-dmarcian לזיהוי שולחים לא מוכרים
- בדיקת כמות חיפושי SPF עם dmarcian spf surveyor אחרי כל שינוי בספקים
- ווידוא שמדיניות הדומיין תואמת לשלב שבו הוא נמצא (none/quarantine/reject)
- בדיקה שמנגנון ההסרה וזיהוי השולח בדואר תואמים לתיקון 40 לחוק התקשורת, כדי שהתלונות לא יעלו במקביל
שאלות נפוצות
מה ההבדל בין dmarc checker mxtoolbox לבין dmarcian?
mxtoolbox מיועד לבדיקה מהירה וחד-פעמית בלי הרשמה. dmarcian בנוי לניטור שוטף — הוא שומר היסטוריה ומפענח דוחות rua אוטומטית, מה שחשוב במיוחד כשמנהלים כמה דומיינים במקביל.
האם dmarcian spf surveyor בחינם?
כן, הכלי לבדיקת מספר חיפושי ה-DNS ברשומת SPF זמין בחינם ולא דורש הרשמה. הוא שימושי במיוחד לפני הוספת ספק שליחה או כלי מעקב חדש, כדי לוודא שלא חורגים ממגבלת 10 החיפושים.
כמה זמן לוקח לעבור מ-p=none ל-p=reject בבטחה?
בממוצע כחודש-חודש וחצי לדומיין עם ספק שליחה אחד-שניים: כשבועיים לאיסוף ווידוא בשלב none, ועוד כשלושה-ארבעה שבועות במעבר דרך quarantine עד שרואים אפס שגיאות יישור.
האם צריך DMARC אם שולחים נפח קטן בלבד לקמפיין B2B ממוקד?
כן, ואולי דווקא יותר. נפח קטן וממוקד לא מגן על הדומיין מהתחזות, ולעיתים גופי דואר גדולים סורקים דומיינים ללא DMARC בחומרה רבה יותר בגלל היעדר סימן אמון בסיסי.
מה הקשר בין DMARC לתיקון 40 לחוק התקשורת?
DMARC הוא מנגנון טכני לאימות זהות השולח, בעוד תיקון 40 קובע דרישות משפטיות כמו הסכמה מפורשת מראש למשלוח דבר פרסומת וזיהוי ברור של השולח עם אפשרות הסרה נוחה. עמידה בשניהם יחד היא מה ששומר גם על תקינות טכנית וגם על שיעור תלונות ספאם נמוך.
proofpoint dmarc checker מתאים לעסק קטן שמריץ קמפיין B2B?
בדרך כלל לא כדאי, אלא אם הארגון כבר לקוח של proofpoint לצרכי אבטחת דואר כללית. עלות ומורכבות ההטמעה גבוהות ביחס לצורך פשוט של בדיקת DMARC/SPF, ו-dmarcian או mxtoolbox נותנים כיסוי מספיק.
רוצים ליישם את זה באאוטריץ׳ שלכם?
נראה לכם איך זה עובד על הסגמנט והמוצר שלכם — לפני שמתחילים.
דברו איתנו