תשובה מהירה
איך עוצרים זיוף דואר בדומיינים שאינם בשימוש?
פרסמו שלוש רשומות DNS בכל דומיין שאינו שולח דואר: null MX עם עדיפות 0 שמצביע על נקודה (RFC 7505), רשומת SPF שקוראת v=spf1 -all, ורשומת DMARC עם p=reject ב-_dmarc. תבנית ה-no-email של Wardmint מפרסמת את שלושתן בלחיצה אחת, והתשע הסיומות של ערכת המתחזים שלה עולות $212.41 לשנה.
שלוש הרשומות שהופכות דומיין לחסין דואר
| רשומה | שם | סוג | ערך | מה היא אומרת |
|---|---|---|---|---|
| Null MX | @ | MX | 0 . | הדומיין הזה אינו מקבל דואר (RFC 7505) |
| SPF | @ | TXT | "v=spf1 -all" | אף שרת אינו מורשה לשלוח בשם הדומיין הזה (RFC 7208) |
| DMARC | _dmarc | TXT | "v=DMARC1; p=reject; adkim=s; aspf=s" | מבקשים מהנמענים לדחות דואר שנכשל בבדיקות (RFC 7489) |
למה דומיינים שאינם בשימוש צריכים רשומות דואר?
כי כל אחד יכול לשים את הדומיין שלכם בשורת From של מייל, ודומיין בלי רשומות לא נותן לנמענים שום דבר לבדוק. דומיין הגנתי כמו טעות הקלדה במותג שלכם מושך מסיבה זו. מתחזים שולחים דואר שנראה כאילו הגיע מהווריאנט, או משם שנראה כמו כתובת התמיכה שלכם, ומערכת קבלה שלא מוצאת מדיניות אין לה בסיס לדחות אותו.
שתי רשומות סוגרות את רוב הפער. SPF מפרטת את השרתים שרשאים לשלוח עבור הדומיין, ורשומת SPF בלי שרתים עם hard fail דוחה כל שולח. DMARC אומר לנמענים מה לעשות בדואר שנכשל בבדיקות SPF ו-DKIM, ו-p=reject מבקש מהם לסרב לו. הרשומה השלישית, null MX, אומרת לשולחים שלדומיין אין שרת דואר, כך שהודעה אליו נכשלת מיד במקום להישלח שוב במשך ימים.
רשימת הסיומות ההגנתיות של Wardmint נמצאת ב-אילו דומיינים פרויקט קריפטו צריך לרשום. כשאתם הבעלים שלהם, שלוש הרשומות האלה הן הראשונות להוסיף.
מה עושה רשומת null MX (RFC 7505)?
null MX היא רשומת MX בודדת עם עדיפות 0 ועם נקודת שורש כיעד, והיא אומרת שהדומיין אינו מקבל דואר. RFC 7505 מגדיר אותה. ה-exchange הוא תווית באורך אפס, שנכתבת בקבצי הזונה כנקודה, ומכיוון שנקודה אינה שם מארח תקין, אי אפשר לטעות ברשומה הזאת בשרת דואר אמיתי.
שני כללים חלים. דומיין שמפרסם null MX אסור לו לפרסם אף רשומת MX אחרת. והרשומה היא null MX רק בצורה המדויקת הזאת: עדיפות 0, יעד נקודה. שולחים שרואים אותה נכשלים מיד עם שגיאה קבועה, מה שעוצר לולאות דואר וחוסך את תורי הניסיונות החוזרים של שולחים ישרים שהקלידו את הדומיין שלכם לא נכון.
בלעדיה, שולח שלא מוצא MX חוזר לרשומת A של הדומיין ומנסה לספק שם, וזה איטי ופחות ברור. null MX מסירה את הניחושים האלה.
מה משמעות SPF v=spf1 -all?
זו רשומת TXT שלא מאשרת שום שולח, והמינוס גורם לכל בדיקה להיכשל. RFC 7208 מגדיר אותה: v=spf1 הוא תג הגרסה, ו--all הוא הנחיה בודדת שבה המנגנון all תמיד תואם והמציין המינוס מחזיר fail. יחד הם קובעים שאף מארח אינו רשאי לשלוח דואר עבור השם.
RFC 7208 מציע את הגישה הזאת לשמות שאינם משמשים בכתובות ואינם אמורים לשלוח דואר. פרסמו אותה בשורש של כל דומיין הגנתי. SPF נבדק עבור הדומיין בשולח המעטפה או בשם HELO, ולכן מתחזה עשוי גם לנסות תת-דומיין שלא הגדרתם. רשומת TXT עם wildcard, שחלה על שמות מתחת לדומיין שאין להם רשומות משלהם, יכולה לכסות אותם.
example.com. 3600 IN MX 0 .
example.com. 3600 IN TXT "v=spf1 -all"
_dmarc.example.com. 3600 IN TXT "v=DMARC1; p=reject; adkim=s; aspf=s"מה מוסיפה DMARC p=reject?
DMARC מוסיפה את המדיניות והדיווח: היא אומרת לנמענים לדחות דואר שנכשל, ומאפשרת לכם לראות מי מנסה. RFC 7489 מציב את המדיניות כרשומת TXT בשם _dmarc של הדומיין. התג v חייב לבוא ראשון ולהיות DMARC1, ו-p קובע את המדיניות ל-none, quarantine או reject. התג sp קובע את המדיניות לתת-דומיינים, ואם הוא חסר, p חל עליהם. התגים adkim ו-aspf קובעים יישור מחמיר או מרוכך, ו-rua נותן כתובות לדוחות מצטברים.
ה-RFC זהיר לגבי העוצמה של p=reject: הבעלים מבקש מהנמענים לדחות, והם נדרשים לעשות מאמץ מיטבי אבל אינם מחויבים באופן מחמיר. ספקי תיבות הדואר הגדולים פועלים לפיו בפועל, ולכן כדאי לפרסם את הרשומה.
כדי לראות ניסיונות, הוסיפו כתובת דיווח, למשל rua=mailto:[email protected], בתיבת דואר שאתם קוראים. לפרויקט עם כמה דומיינים הגנתיים, תיבת דיווח אחת לכולם מספיקה. דומיין ששולח דואר בפועל, כמו הדומיין הראשי שלכם, שמרו אותו במדיניות שתואמת לשולחים האמיתיים שלו, וקראו את הדוחות המצטברים לפני שאתם עוברים ל-reject.
כמה עולה להגן על ערכת הגנתית?
שלוש הרשומות לא עולות דבר נוסף ב-Wardmint; הדומיינים הם העלות. Wardmint מספק תבנית DNS "ללא מייל" (null MX, SPF -all, DMARC p=reject), כך שאי אפשר להשתמש בדומיין הגנתי כדי לזייף את הדואר שלכם; העברת כתובות URL בחינם כדי לשלוח כל וריאנט לאתר הראשי שלכם; וחידוש אוטומטי מהיתרה, כך שאף וריאנט לא פג.
לפי הסקר של Wardmint מ-12 בנובמבר 2026, תשע הסיומות בקבוצת הפישינג שלה (.xyz, .pro, .info, .shop, .online, .icu, .click, .live ו-.support) עולות $212.41 לשנה בסך הכול, או $637.23 לשלוש שנים, וכל אחת יכולה לשאת את תבנית ללא הדואר. הסט המרכזי של .com, .net, .org, .io, .xyz, .app עולה $128.94 לשנה. הסטים הם הצעות, לא חבילות: את השמות מכניסים לסל דרך החיפוש המרובה, עד 50 בכל פעם.
החילו את התבנית על כל דומיין הגנתי שאינו מפנה תעבורת רשת, ושלבו אותה עם העברת כתובת URL לאלה שכן מפנים. שיטת בחירת השמות מופיעה ב-איך בונים רשימת דומיינים הגנתית למותג שלכם.
איך עוצרים זיוף על דומיין שאינו בשימוש בחמישה שלבים
ודאו שהדומיין אינו שולח דואר
בדקו שאף שירות, כלי ניוזלטרים או יישום אינו שולח מהדומיין הזה. אם אחד מהם שולח, אל תשתמשו בתבנית הזאת.
פרסמו את ה-null MX
הוסיפו רשומת MX עם עדיפות 0 והיעד מוגדר לנקודה אחת, והסירו כל רשומת MX אחרת.
פרסמו את רשומת ה-SPF
הוסיפו רשומת TXT בשורש עם הערך v=spf1 -all, ושמרו אותה כרשומת SPF היחידה.
פרסמו את רשומת ה-DMARC
הוסיפו רשומת TXT בשם _dmarc עם v=DMARC1; p=reject, וכתובת דיווח ב-rua אם אתם רוצים דוחות.
בדקו את הרשומות
הריצו dig MX, dig TXT ו-dig TXT _dmarc על הדומיין והשוו את התשובות לתבנית.
dig MX example.com +short
dig TXT example.com +short
dig TXT _dmarc.example.com +shortשאלות על זיוף ודומיינים שאינם בשימוש
האם אפשר להשתמש ב-p=reject בלי כתובת דיווח?
כן. התג rua אופציונלי, ובלעדיו הנמענים לא שולחים דוחות מצטברים. הוסיפו אחת אם אתם רוצים לראות ניסיונות.
האם null MX עוצר זיוף בכוחות עצמו?
לא. היא עוצרת דואר מלהגיע לדומיין. SPF ו-DMARC הם שאומרים לנמענים לא לתת אמון בדואר שמתיימר להגיע ממנו.
האם הדומיין הראשי שלי צריך את אותן רשומות?
לא. דומיין ששולח דואר צריך SPF ו-DKIM לשולחים האמיתיים שלו. השתמשו שם ב-p=reject רק אחרי שקראתם דוחות DMARC ויישרתם כל שולח.
האם אני צריך את שלוש הרשומות בכל דומיין הגנתי?
כן, בכל דומיין שאינו שולח ואינו מקבל דואר. כל רשומה מכסה חלק אחר של הבדיקה, ותבנית Wardmint מפרסמת אותן יחד.
האם התבנית עולה כסף נוסף?
לא. היא חלק מכלי ההגנה הכלולים ברישום, לצד העברת URL חינמית וחידוש אוטומטי מהיתרה שלכם.
לסיכום
- דומיין הגנתי שאינו שולח דואר זקוק לשלוש רשומות DNS.
- Null MX: עדיפות 0, יעד נקודה (RFC 7505), ואין רשומת MX אחרת.
- SPF: v=spf1 -all, שאינה מאשרת שום שולח (RFC 7208).
- DMARC: v=DMARC1; p=reject בשם _dmarc, שמבקשת מהנמענים לסרב לדואר שנכשל (RFC 7489).
- תבנית ה-no-email של Wardmint מפרסמת את שלוש הרשומות בלחיצה אחת.
- התשע הסיומות של ערכת המתחזים עולות $212.41 לשנה; התבנית חינם.
- אל תשתמשו בתבנית על דומיין ששולח דואר אמיתי.
מקורות (3)
- RFC 7505: A Null MX No Service Resource Record for Domains That Accept No Mail — IETF / RFC Editor (נקרא ב-2026-11-12)
- RFC 7208: Sender Policy Framework (SPF) — IETF / RFC Editor (נקרא ב-2026-11-12)
- RFC 7489: DMARC — IETF / RFC Editor (נקרא ב-2026-11-12)