אבטחת דואר אלקטרוני לעסק אינה רק עניין של מסנן ספאם. אחת הבעיות הנפוצות היא שמישהו שולח הודעות בשם הדומיין שלכם, למשל חשבונית מזויפת ללקוח, ואף אחד לא מגלה את זה עד שהנזק כבר קרה. שלושה מנגנוני אימות, SPF, DKIM ו-DMARC, נועדו בדיוק לזה, והם מוגדרים פעם אחת ברשומות ה-DNS של הדומיין.
התשובה הקצרה: אם הדומיין שלכם לא מוגדר עם שלושתם, כל אחד יכול לשלוח הודעה שנראית כאילו יצאה מכם, ושרתי דואר רבים לא יעצרו אותה. כשההגדרה נכונה, הודעות מזויפות נדחות או מסומנות כחשודות, וגם הדואר החוקי שלכם מגיע לתיבת הדואר הנכנס בתדירות גבוהה יותר.
## מה כל מנגנון עושה
SPF הוא רשימה של השרתים שמורשים לשלוח דואר בשם הדומיין שלכם. שרת מקבל בודק את הרשימה ומשווה אותה לשרת ששלח בפועל. DKIM מוסיף לכל הודעה חתימה דיגיטלית, כך שאפשר לוודא שההודעה לא שונתה בדרך ושהיא באמת יצאה ממערכת מורשית.
DMARC מחבר ביניהם. הוא קובע מה לעשות כשהבדיקות נכשלות: לא לעשות דבר ורק לדווח, להעביר לספאם, או לדחות לגמרי. בנוסף הוא שולח לכם דוחות שמראים מי שולח דואר בשם הדומיין, כולל שירותים שלא ידעתם עליהם.
## איך מטמיעים בלי לשבור את הדואר
הטעות הנפוצה היא להפעיל מדיניות קשוחה מיד. עסקים משתמשים לרוב ביותר ממערכת אחת ששולחת דואר: שירות הדואר הראשי, מערכת חשבוניות, פלטפורמת דיוור שיווקי, מערכת CRM ואפילו טופס באתר. אם אחת מהן לא נכללה ב-SPF או לא חותמת ב-DKIM, הודעות לגיטימיות יידחו.
לכן מתחילים במיפוי כל השירותים ששולחים בשמכם. אחר כך מפעילים DMARC במצב מעקב בלבד, קוראים את הדוחות כמה שבועות, מתקנים פערים, ורק אז מחמירים למדיניות של הסגרה ולבסוף דחייה.
## טעויות שכדאי להימנע מהן
רשומת SPF אחת בלבד מותרת לכל דומיין, ויש מגבלה על מספר הבדיקות שהיא יכולה להכיל. הוספת רשומה שנייה או שרשור שירותים ללא בקרה גורמים לכישלון בדיקה שקט. טעות נוספת היא להגדיר DMARC ולהתעלם מהדוחות, ואז לא יודעים אם משהו נשבר.
כדאי גם לא לשכוח דומיינים שאינם בשימוש. דומיין ישן שלא שולחים ממנו דואר הוא יעד מועדף להתחזות, ומומלץ להגדיר עבורו מדיניות שאוסרת על כל שליחה.
## מה עוד כדאי לבדוק
אימות דומיין לא מחליף הגנה על החשבונות עצמם. הפעילו אימות דו שלבי לכל תיבות הדואר, הגבילו העברה אוטומטית של הודעות לכתובות חיצוניות, ובדקו מדי פעם כללי תיבה חשודים. התחזות לא תמיד מגיעה מבחוץ, לעיתים היא מתחילה מחשבון עובד שנפרץ.
לסיכום, הגדרת SPF, DKIM ו-DMARC היא אחת ההשקעות הזולות והיעילות ביותר באבטחת דואר אלקטרוני לעסק. עשו זאת בהדרגה, עקבו אחר הדוחות, ושלבו עם הגנה על החשבונות. אם אתם לא בטוחים מה מוגדר כיום בדומיין שלכם, בדיקה ראשונית פשוטה היא צעד טוב להתחלה.