Mailchimp, Brevo או SendGrid: הסכנה בשליחה בלי דומיין מאומת

כשפותחים חשבון ב-Mailchimp, Brevo או SendGrid ומתחילים לשלוח בלי לעבור את שלב "אימות דומיין" בהגדרות, הפלטפורמה לא חוסמת אתכם — היא פשוט ממשיכה לשלוח בשמכם מדומיין טכני שלה. זה עובד, המיילים יוצאים, אבל ה-DKIM חתום על שם הפלטפורמה ולא על שם העסק שלכם, וה-DMARC לא מיושר. התוצאה: המוניטין שנצבר הוא לא שלכם, אלא של כל מי שמשתמש באותה תשתית משותפת — כולל שולחים בעייתיים שמורידים לכולם את הציון.

מה קורה בפועל כשלא מאמתים דומיין

בכל שירות דיוור יש מנגנון של "דומיין ברירת מחדל" — כתובת טכנית ששולחת בשמכם עד שתחברו דומיין משלכם. ב-Mailchimp זו לרוב תשתית מסוג mcsv.net, ב-SendGrid sendgrid.net, וב-Brevo דומיינים טכניים דומים. השורה "מאת" (From) בתיבת הנכנס עדיין תציג את הכתובת שהגדרתם, אבל שרתי הדואר בודקים דבר אחר: על מי נחתם ה-DKIM-Signature ומה כתוב ב-Return-Path. אם אלה מצביעים על הדומיין הטכני של הפלטפורמה ולא על הדומיין שלכם, אין "יישור" (alignment) ל-DMARC — וזה נקודה שספאם-פילטרים בודקים במפורש.

המשמעות המעשית: המוניטין שנבנה מכל שליחה לא נצבר על הדומיין שלכם, אלא מתמזג עם המוניטין של כל שולח אחר שמשתמש באותה פלטפורמה ולא אימת דומיין. אם שולח אחר ליד שלכם על אותה תשתית שלח בפראות או קיבל הרבה תלונות ספאם, זה יכול להשפיע גם על ההגעה שלכם — בלי שעשיתם דבר לא תקין.

שלושת רכיבי האימות שצריכים להיות מיושרים לדומיין שלכם, לא של הפלטפורמה

למה זה מגדיל את הסיכוי לנפילה בספאם, בדיוק בישראל

מרוב עסקים ישראלים, גם אם קהל הלקוחות שלהם מקומי, המיילים בפועל מגיעים לתיבות של Gmail (אישי ו-Google Workspace), Outlook/Hotmail ו-iCloud — כל אלה ספקים בינלאומיים עם כללים מחמירים לשולחים מסיביים. מ-2024 Gmail ו-Yahoo דורשים מכל שולח, גם קטן: SPF ו-DKIM תקינים, רשומת DMARC שקיימת (לפחות ב-p=none), אפשרות הסרה בלחיצה אחת (One-Click Unsubscribe לפי RFC 8058), ושיעור תלונות ספאם מתחת לרף נמוך מאוד. דומיין שלא מאומת בפלטפורמת הדיוור נכשל כבר בדרישה הראשונה — יישור DMARC — ומגיע לתיבת הספאם או ל"קידום" אפילו אם התוכן עצמו לגיטימי לחלוטין.

גם Walla! Mail וגם ISP-ים ישראלים ותיקים נוהגים לשקלל את המוניטין הכלל-רשתי של הדומיין השולח — כלומר בעיה שנוצרה בגלל דומיין לא מאומת אצל Gmail תשפיע גם על ההגעה לתיבות המקומיות, לא רק על התיבות הבינלאומיות.

איך מאמתים דומיין נכון ב-Mailchimp, Brevo או SendGrid

בכל שלוש הפלטפורמות התהליך דומה במהות, גם אם השמות שונים בממשק:

נכנסים להגדרות השולח או "Domain Authentication" בחשבון.
מוסיפים את הדומיין שלכם (למשל yourbrand.co.il).
הפלטפורמה מציגה רשומות CNAME או TXT ספציפיות שצריך להוסיף ב-DNS של הדומיין — בדרך כלל שתיים-שלוש רשומות DKIM ורשומת SPF.
מוסיפים את הרשומות בפאנל הניהול של הדומיין (Cloudflare, GoDaddy, ספק אחסון וכו').
חוזרים לפלטפורמה ומאשרים אימות — ברגע שהאימות עובר, ה-From וה-DKIM ייחתמו על הדומיין שלכם, וה-DMARC יעבור יישור.

דוגמה לרשומת SPF שמאפשרת לפלטפורמת דיוור לשלוח בשם הדומיין שלכם

רשומת SPF אחת לכל הדומיין

אם אתם משתמשים בכמה שירותים במקביל (Mailchimp לניוזלטר, Cardcom לחיובים, Grow לחנות) — כולם צריכים להופיע ב-רשומת SPF אחת עם כל ה-include הרלוונטיים. שתי רשומות SPF נפרדות באותו דומיין לא עובדות ועלולות לגרום לכשל אימות אצל חלק מהספקים.

הדרישה הישראלית שקיימת בלי קשר לאימות הטכני

אימות SPF/DKIM/DMARC פותר את הצד הטכני, אבל תיקון 40 לחוק התקשורת (בזק ושידורים) מחייב שכבה נוספת שאף ESP לא עושה עבורכם אוטומטית: שליחה רק לנמענים שנתנו הסכמה מפורשת (opt-in) מראש, תיוג המילה פרסומת בתחילת שורת הנושא בכל הודעה שיווקית, פרטי קשר ברורים של השולח בגוף ההודעה, ואפשרות הסרה פשוטה מרשימת התפוצה. חוק הגנת הפרטיות מוסיף עליו דרישות כלליות לטיפול בכתובות מייל כמידע אישי. שני החוקים חלים בין אם שולחים מ-ActiveTrail המקומי ובין אם מ-Mailchimp הבינלאומי — הדומיין המאומט לא פוטר מהם.

מה עם WooCommerce, Shopify ופלטפורמות ישראליות כמו Grow

הבעיה לא נגמרת ב-ESP-ים הגדולים. חנות WooCommerce שלא מותקן בה פלאגין SMTP שולחת מיילים דרך wp_mail() מהשרת המארח — לרוב בלי SPF/DKIM תקינים לדומיין שלכם, קלאסיקה שגורמת להתראות משלוח ואישורי הזמנה שנופלים בספאם. Shopify דורש אימות דומיין נפרד לפני ששולחים מהדומיין המסחרי שלכם. פלטפורמות ישראליות כמו Grow שולחות לפעמים אישורי הזמנה מתשתית הפלטפורמה בלי שהעסק חיבר דומיין משלו — גם כאן צריך להיכנס לפאנל ולוודא שה-DNS מוגדר נכון.

איך בודקים שהאימות בפועל תפס

אחרי חיבור הדומיין, אל תסתפקו ב"וי ירוק" בפאנל של הפלטפורמה — הוא בודק רק שהרשומות קיימות ב-DNS, לא איך המייל בפועל מתנהג בתיבה של Gmail או Walla!. השלב הבא הוא לשלוח בדיקה אמיתית: אפשר להשתמש בבדיקת הגעה לתיבה חינמית שמראה בדיוק לאיזו תיקייה נכנס המייל בכל ספק, מה תוצאת SPF/DKIM/DMARC בפועל על אותה הודעה, וגם צילום מסך של איך המייל נראה בתיבה אמיתית. למי שרוצה גם תמונת מצב רחבה יותר על אימוץ SPF/DKIM/DMARC ברשת, יש סקירה שבועית ב-/email-stats/.

לוודא שכתובת ה-From היא על הדומיין שלכם, לא דומיין הפלטפורמה.
לבדוק בכותרות ההודעה ש-SPF ו-DKIM מסומנים pass על הדומיין שלכם.
לוודא שיש רשומת DMARC בדומיין, גם אם ברמת p=none להתחלה.
לשלוח בדיקת הגעה חדשה אחרי כל שינוי ב-DNS — שינויים יכולים להתעכב בהתפשטות.

איך אני יודע אם הדומיין שלי מאומת ב-Mailchimp?

בהגדרות השולח (Sending Domains / Domain Authentication) יש סטטוס לכל דומיין. אם מופיע "Verified" עם CNAME/DKIM ירוק — טוב. אבל כדאי לאמת גם עם בדיקת הגעה עצמאית, כי הסטטוס בפאנל בודק רק שהרשומות קיימות ב-DNS, לא איך המייל מתנהג בתיבה בפועל.

האם אפשר לשלוח מ-Gmail האישי דרך Brevo בלי לאמת דומיין?

טכנית אפשר, אבל זה בעייתי כפול: Gmail לא מאפשר בקלות לגורם חיצוני לשלוח בשמו עם SPF/DKIM תקינים, ואם תשתמשו בכתובת Gmail כ-From מבלי לשלוח בפועל מתשתית Google — ה-DMARC של Gmail יכשיל את ההודעה. מומלץ להשתמש בדומיין עסקי משלכם ולאמת אותו בפלטפורמה.

מה ההבדל בין SPF ל-DKIM כשמדובר בפלטפורמת דיוור?

SPF אומר "לשרתים של הפלטפורמה הזאת מותר לשלוח בשם הדומיין שלי" — זה מנגנון בדיקת מקור. DKIM חותם את תוכן ההודעה בחתימה קריפטוגרפית שמאשרת שהיא לא שונתה בדרך, וצריך שהחתימה הזאת תהיה על הדומיין שלכם, לא על דומיין הפלטפורמה. DMARC משלב את שניהם ודורש שהדומיין שרואים ב-From יתאים לדומיין שאימתו ב-SPF ו/או ב-DKIM.

מאמרים קשורים