הסבר על אימות דואר אלקטרוני

רשומת SPF: מה זה, איך כותבים
ואיך בודקים שהיא תקינה

רשומת SPF היא שורת טקסט (TXT) ב-DNS של הדומיין שמפרטת אילו שרתים רשאים לשלוח מייל בשם הדומיין. שרת המקבל בודק אותה ומחליט אם המייל מורשה, חשוד או נדחה. לדומיין צריכה להיות רשומה תקינה אחת, בתוך מגבלה של 10 חיפושי DNS, והיא עובדת הכי טוב יחד עם DKIM ו-DMARC.

עודכן לאחרונה: 28.10.2026 | נכתב ונבדק על ידי צוות PhishingU

מהי רשומת SPF?

SPF (Sender Policy Framework) הוא מנגנון אימות דואר. בעל הדומיין מפרסם ב-DNS רשימה של שרתים ושירותים (כמו Google Workspace, Microsoft 365 או מערכת דיוור) שמורשים לשלוח בשמו. כשמגיע מייל, שרת הדואר המקבל משווה את כתובת השרת השולח לרשימה. SPF בודק את כתובת השולח הטכנית של המעטפה (Return-Path) ולא את השם שהמשתמש רואה בשדה "מאת", ולכן הוא לבדו לא עוצר כל התחזות.

איך נראית רשומת SPF?

רשומת SPF היא רשומת TXT בשורש הדומיין. היא מתחילה ב-v=spf1, ממשיכה ברשימת מקורות מורשים, ונגמרת בכלל שקובע מה לעשות עם כל השאר.

v=spf1 include:_spf.google.com ~all
  • v=spf1מזהה את הרשומה כ-SPF גרסה 1.
  • include:מצרף את רשימת השרתים המורשים של ספק חיצוני.
  • ip4: / ip6:מתיר כתובת IP או טווח כתובות ספציפיים.
  • ~allכל שאר השולחים נחשבים חשודים (softfail). עם -all כל השאר נדחה (fail).

דוגמאות לפי ספק הדואר

הערכים נכונים לעת כתיבת העמוד. בדקו בתיעוד הרשמי של הספק לפני שאתם משנים רשומה פעילה.

Google Workspace

v=spf1 include:_spf.google.com ~all

Microsoft 365

v=spf1 include:spf.protection.outlook.com -all

שני הספקים יחד

v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all

אם אתם שולחים גם ממערכת דיוור שיווקי או ממערכת חיובים, הוסיפו את ה-include שלה לאותה רשומה. אל תיצרו רשומה שנייה.

שגיאות נפוצות ברשומת SPF

שתי רשומות SPF לאותו דומיין

יותר מרשומת SPF אחת גורמת לשגיאה מסוג PermError והבדיקה נכשלת. אחדו הכול לרשומה אחת.

יותר מ-10 חיפושי DNS

התקן מגביל את הרשומה ל-10 חיפושי DNS (include, a, mx, redirect ואחרים). כל include של ספק מוסיף חיפושים, ואם עוברים את המגבלה הבדיקה נכשלת. בדקו את הרשומה והסירו ספקים שאינם בשימוש.

שימוש ב-+all או ב-?all

הגדרות אלה מתירות או מתעלמות מכל שולח, ולכן הרשומה לא מגנה בפועל. מקובל להתחיל ב-~all, ולעבור ל-all עם מקף רק אחרי שמוודאים שכל השולחים הלגיטימיים ברשימה.

שולח לגיטימי שחסר ברשימה

מערכת חיובים, דיוור שיווקי או CRM ששולחים בשם הדומיין ולא נכללו ברשומה עלולים לגרום למיילים לגיטימיים להידחות או להגיע לספאם.

הנחה ש-SPF מספיק

SPF לא מגן על שדה "מאת" שהמשתמש רואה. כדי לצמצם התחזות לדומיין צריך להגדיר גם DKIM ו-DMARC.

SPF, DKIM ו-DMARC: איך הם עובדים יחד

SPF מאשר את השרת השולח, DKIM חותם על תוכן המייל, ו-DMARC קובע מה לעשות כשהבדיקות נכשלות ושולח דוחות לבעל הדומיין.

הסבר מלא ובדיקה של שלוש הרשומות

איך בודקים את רשומת ה-SPF שלכם?

הזינו את הדומיין בכלי הבדיקה החינמי של PhishingU וקבלו אינדיקציה ראשונית על מצב SPF, DKIM ו-DMARC. הבדיקה רצה על הדומיין שהזנתם, קוראת רשומות DNS ציבוריות ואינה מחליפה בדיקה של מומחה.

שאלות נפוצות על רשומת SPF

רוצים לדעת מה מצב הדומיין שלכם?

בדיקה ראשונית ללא עלות וללא התחייבות, עם המלצה מעשית להמשך.

בדיקת DMARC, SPF ו-DKIMמה זה פישינג?סימולציית פישינג לעובדים

עדכוני אבטחה - ישירות למייל

מאמרים, כלים וטיפים מעולם הפישינג ואבטחת המידע