מערכת ה-DNS היא אחת התשתיות החשובות ביותר באינטרנט, אך גם אחת המובנות פחות. כמעט כל תקלה שבה אתר "לא עולה", מייל שלא מגיע ליעד, או תעודת אבטחה שלא מתאמתת — מובילה בסופו של דבר לרשומת DNS אחת שהוגדרה בצורה שגויה. הבנה בסיסית של סוגי הרשומות ותפקידן היא כלי עבודה חיוני לכל בעל אתר, מנהל שיווק דיגיטלי או איש IT.
במדריך הזה נסביר בשפה ברורה מהי מערכת DNS, נעבור על סוגי הרשומות המרכזיים שכל בעל דומיין נתקל בהם, ונקדיש התייחסות מעמיקה למשולש רשומות ה-TXT שאחראי על אבטחת הדואר האלקטרוני שלכם: SPF, DKIM ו-DMARC.
מהי מערכת DNS ולמה היא קריטית
DNS, ראשי תיבות של Domain Name System, היא בעצם "ספר הטלפונים" של האינטרנט. בני אדם זוכרים שמות דומיין כמו livedns.co.il, אך מחשבים ושרתים מתקשרים ביניהם באמצעות כתובות IP מספריות. תפקידה של מערכת ה-DNS הוא לתרגם את שם הדומיין הקריא לבני אדם לכתובת ה-IP שאליה הדפדפן צריך לפנות בפועל.
התהליך מתרחש תוך אלפיות שנייה: כשמשתמש מקליד כתובת אתר, הדפדפן שולח שאילתה לשרתי ה-DNS, מקבל בחזרה את כתובת ה-IP המתאימה, ורק אז יוצר את החיבור לשרת שמאחסן את האתר. כל ההגדרות הללו מנוהלות באזור ה-DNS (DNS Zone) של הדומיין, שבו יושבות הרשומות השונות.
חשוב להבין מושג נוסף — TTL (Time To Live). זהו פרק הזמן, הנמדד בשניות, שבו שרתי הביניים ברחבי העולם שומרים במטמון (Cache) את הרשומה לפני שהם בודקים אותה מחדש. TTL נמוך (למשל 300 שניות) גורם לשינויים להתעדכן מהר יותר אך מגביר את העומס, בעוד TTL גבוה (למשל 86400 שניות, קרי יממה) חוסך בקשות אך גורם לשינויים להתפשט לאט. לכן, לפני מעבר שרת מומלץ להנמיך את ה-TTL מבעוד מועד.
רשומת A ורשומת AAAA — הבסיס של הכול
רשומת ה-A (Address) היא הרשומה הבסיסית והנפוצה ביותר. היא מקשרת בין שם הדומיין לבין כתובת IP מסוג IPv4, כלומר כתובת בפורמט המוכר של ארבעה מספרים המופרדים בנקודות (למשל 192.0.2.10). כאשר אתם מפנים דומיין לשרת אחסון חדש, רשומת ה-A היא הרשומה שאתם מעדכנים.
רשומת ה-AAAA (המכונה "Quad A") ממלאת בדיוק את אותו תפקיד, אך עבור כתובות מסוג IPv6 — הדור החדש של כתובות ה-IP, שנוצר כדי לפתור את מחסור הכתובות בפרוטוקול הישן. אם השרת שלכם תומך ב-IPv6, מומלץ להגדיר גם רשומת AAAA לצד רשומת ה-A.
רשומת CNAME — כינוי (Alias) לדומיין
רשומת CNAME, ראשי תיבות של Canonical Name, אינה מצביעה על כתובת IP אלא על שם דומיין אחר. השימוש הנפוץ ביותר הוא הפניית תת-דומיין לדומיין הראשי — למשל, הגדרה שבה www.example.com מפנה אל example.com. היתרון הוא שאם כתובת ה-IP של הדומיין הראשי משתנה, אין צורך לעדכן גם את תת-הדומיין; הוא "יורש" את השינוי אוטומטית.
חשוב לזכור שני כללים: לא ניתן להגדיר רשומת CNAME עבור הדומיין הראשי עצמו (ה-Root או Apex), ולא ניתן לשלב CNAME עם רשומות אחרות באותו שם. CNAME נפוצה מאוד באימות שירותים חיצוניים, בהגדרת רשתות CDN ובחיבור פלטפורמות ענן.
רשומת MX — ניתוב הדואר הנכנס
רשומת MX (Mail Exchange) קובעת לאיזה שרת יש להפנות את הדואר האלקטרוני הנשלח לכתובות תחת הדומיין. בלי רשומת MX תקינה, מיילים שנשלחים אל הכתובת שלכם פשוט לא יגיעו.
לכל רשומת MX יש ערך עדיפות (Priority): ככל שהמספר נמוך יותר, כך עדיפות השרת גבוהה יותר. ניתן להגדיר כמה רשומות MX עם עדיפויות שונות, כך שאם שרת הדואר הראשי אינו זמין, הדואר ינותב לשרת הגיבוי. למשתמשים ב-
Microsoft 365 או בפתרונות דואר ענן אחרים, הגדרת רשומות ה-MX הנכונות היא שלב הכרחי בתהליך ההקמה.
רשומת TXT — הרשומה הרב-תכליתית
רשומת TXT מאפשרת לשמור טקסט חופשי באזור ה-DNS. במקור היא נועדה להערות בלבד, אך כיום היא הפכה לכלי מרכזי לאימות ולאבטחה. ספקי שירות רבים מבקשים להוסיף רשומת TXT ייחודית כדי להוכיח בעלות על הדומיין, וחשוב מכך — שלוש רשומות הליבה של אבטחת הדואר (SPF, DKIM ו-DMARC) מיושמות כולן כרשומות TXT.
שלישיית אבטחת הדואר: SPF, DKIM ו-DMARC
זהו החלק הקריטי ביותר עבור כל עסק ששולח דואר אלקטרוני. שלוש הרשומות הללו פועלות יחד כדי להוכיח שהמייל שנשלח בשם הדומיין שלכם הוא אכן אותנטי, למנוע התחזות (Spoofing) ולשפר משמעותית את הסיכוי שהמיילים שלכם יגיעו לתיבת הדואר הנכנס ולא לתיקיית הספאם.
SPF — מי מורשה לשלוח בשמכם
SPF, ראשי תיבות של Sender Policy Framework, היא רשומת TXT שמפרטת אילו שרתים מורשים לשלוח דואר בשם הדומיין שלכם. כאשר שרת דואר מקבל הודעה, הוא בודק את רשומת ה-SPF של הדומיין השולח ומוודא שהשרת שממנו נשלחה ההודעה אכן נמצא ברשימת המורשים. אם לא — ההודעה עלולה להיחסם או להיות מסומנת כספאם.
חשוב לדעת שדומיין יכול להכיל רק רשומת SPF אחת. אם אתם משתמשים בכמה שירותים ששולחים דואר בשמכם (למשל Microsoft 365 יחד עם מערכת דיוור), יש לאחד את כולם לרשומה אחת באמצעות מנגנון include.
DKIM — חתימה דיגיטלית לכל הודעה
DKIM, ראשי תיבות של DomainKeys Identified Mail, מוסיף חתימה דיגיטלית מוצפנת לכל הודעת דואר יוצאת. שרת השולח חותם על ההודעה באמצעות מפתח פרטי, ושרת המקבל מאמת את החתימה מול המפתח הציבורי שמפורסם ברשומת TXT באזור ה-DNS שלכם. אם החתימה תואמת, הדבר מוכיח שההודעה לא שונתה בדרך ושהיא אכן נשלחה מהדומיין המורשה. DKIM מספק שכבת אמון נוספת ומחזק את המוניטין (Reputation) של הדומיין בעיני ספקי הדואר הגדולים.
DMARC — המדיניות המאחדת
DMARC, ראשי תיבות של Domain-based Message Authentication, Reporting and Conformance, היא הרשומה שמאחדת את SPF ו-DKIM וקובעת מדיניות: מה שרת המקבל צריך לעשות עם הודעה שנכשלה באימות. המדיניות יכולה להיות none (רק ניטור ודיווח), quarantine (העברה לספאם) או reject (חסימה מוחלטת). בנוסף, DMARC מספקת מנגנון דיווח שמאפשר לכם לקבל תמונה מלאה על מי שולח דואר בשם הדומיין שלכם — כלי חשוב לזיהוי ניסיונות התחזות.
מומלץ להתחיל במדיניות none כדי לאסוף נתונים, ולאחר מכן להחמיר בהדרגה ל-quarantine ולבסוף ל-reject, לאחר שווידאתם שכל השירותים הלגיטימיים שלכם עוברים את האימות בהצלחה.
למה כדאי לנהל את ה-DNS אצל ספק מקצועי
הגדרה שגויה של רשומה בודדת עלולה להשבית אתר שלם או לחסום את כל תעבורת הדואר של הארגון. ניהול DNS אצל ספק מקצועי מבטיח ממשק ניהול ברור, זמינות גבוהה של שרתי השמות, תמיכה מקצועית בזמן אמת ויכולת לבצע שינויים בביטחון. כ
רשם הדומיינים המוסמך הגדול בישראל, LiveDNS מנהלת מעל 100,000 שמות מתחם ומעמידה לרשות לקוחותיה תשתית DNS יציבה, ממשק ניהול מתקדם וצוות מומחים שמלווה כל שינוי — מהגדרת רשומת A בסיסית ועד להטמעה מלאה של מדיניות DMARC.
אם אתם מתלבטים לגבי הגדרה מסוימת, מתכננים מעבר שרת או רוצים לוודא שאבטחת הדואר של הארגון מוגדרת כראוי — צוות המומחים של LiveDNS זמין עבורכם בטלפון
03-9700600.