בעמוד זהאיך WordPress שולח אימייל כברירת מחדל
אתר WordPress שולח יותר הודעות דוא"ל ממה שבעליו חושבים. ההתראה מטופס יצירת הקשר. איפוס הסיסמה. הודעת קבלת הפנים למשתמשים חדשים, ההתראה על תגובה שממתינה לאישור, ובחנות גם כל אישור הזמנה, חשבונית ועדכון משלוח של WooCommerce. את רוב ההודעות האלה אף אחד לא עיצב, ואף אחד לא בודק אותן עד שלקוח כותב שהודעת ההזמנה מעולם לא הגיעה.
כשאחת מההודעות האלה מגיעה לספאם, בדקו איך היא יוצאת מהשרת לפני שאתם משנים את הניסוח. ב-WordPress החלק הזה מוגדר כברירת מחדל לאפשרות עם סיכויי המסירה הנמוכים ביותר.
איך WordPress שולח אימייל כברירת מחדל
WordPress עצמו וכמעט כל תוסף ששולח דואר, כולל WooCommerce ותוספי טפסים, משתמשים בפונקציה אחת, wp_mail(). היא מעבירה את ההודעה אל PHPMailer, שכברירת מחדל מעביר אותה אל mail() של PHP, שמעבירה אותה לתוכנת הדואר שמותקנת בשרת האחסון. אין התחברות לספק דואר, אין חתימה, ואין שום דבר ב-DNS שלכם שמציין שהשרת הזה רשאי לשלוח בשם הדומיין שלכם.
כתובת השולח שנבחרת היא wordpress@ ואחריה הדומיין של האתר שלכם (WordPress מסיר www. מתחילת הדומיין). אם מעולם לא שיניתם אותה, זו הכתובת שהלקוחות שלכם רואים בשדה From, ובאתרים רבים אף אחד מעולם לא יצר תיבת דואר כזו.
באחסון שיתופי, ההודעה נשלחת מהשרת של חברת האחסון דרך כתובת IP שמשותפת לאתרים רבים אחרים. אם אחד מהם שולח לרשימה קנויה, או נפרץ ומתחיל להפיץ ספאם, הכתובת צוברת מוניטין גרוע, והודעות איפוס הסיסמה שלכם נשלחות מאותה כתובת כמו ההודעות שלהם.
לכן, התקנת WordPress שמוגדרת כברירת מחדל שולחת דואר שבו SPF אינו תואם לדומיין שלכם. כתובת ההחזרה נשארת בדרך כלל תחת שם השרת של חברת האחסון, ואם במקומה מופיעה הכתובת שלכם, SPF נכשל לחלוטין. גם אין חתימת DKIM עבור הדומיין שלכם, ולכן DMARC נכשל. Gmail ו-Yahoo קבעו את כללי השולחים שלהן בפברואר 2024. Microsoft עשתה זאת גם עבור דומיינים ששולחים יותר מ-5,000 הודעות ביום אל Outlook.com במאי 2025, ומאז נובמבר 2025 Gmail דוחה יותר מהדואר שמפר את הכללים שלה במקום להעביר אותו לספאם.
שלחו דרך שירות דוא"ל אמיתי
התיקון החשוב ביותר הוא להפסיק להשתמש ב-mail(). התקינו תוסף SMTP, האפשרויות הנפוצות הן WP Mail SMTP, FluentSMTP ו-Post SMTP, ולכל אחד מהם יש גרסה חינמית, וחברו אותו לשירות ששולח דוא"ל כראוי: ספק תיבת הדוא"ל שלכם, כגון Google Workspace או Microsoft 365, או שירות לשליחת הודעות מערכת כמו Amazon SES, Brevo, SendGrid או Mailgun.
התוסף מחליף את אמצעי השליחה שמתחת ל-wp_mail(), כך שכל הודעת דוא"ל מכל תוסף נשלחת בדרך החדשה, בלי לשנות את התוספים עצמם. אם התוסף מציע אפשרות API של הספק, השתמשו בה במקום ב-SMTP רגיל עם סיסמה. WP Mail SMTP מציין שהשליחה דרך API פועלת גם כשחברת האחסון שלכם חוסמת יציאות SMTP.
רבים מדלגים על החלק הבא. אמתו את הדומיין אצל אותו ספק: כל ספק מספק רשומות DNS לפרסום, בדרך כלל שתיים או שלוש רשומות CNAME עבור DKIM, וכן רשומת include של SPF או דומיין Return-Path מותאם. עד שהרשומות האלה יוגדרו ב-DNS שלכם, הספק ישתמש בשם שלו בחתימה, ו-DMARC ייכשל שם בדיוק כפי שנכשל בשרת האחסון.
כתובת From בטופסי יצירת קשר
תוספים לטפסים, ובהם Contact Form 7 ו-WPForms, מאפשרים לבחור מה יופיע בשורת From של ההתראה שמתקבלת. בהגדרות רבות מופיעה שם כתובת המבקר, כדי שלחיצה על Reply תשלח תשובה למבקר. זה נראה מתוחכם, וזה בדיוק מה ש-DMARC נועד למנוע.
נניח שמבקרת בשם אנה כותבת מהכתובת anna@yahoo.com. האתר שולח עכשיו הודעה שטוענת כי הגיעה מ-yahoo.com, דרך שרת ש-Yahoo מעולם לא אישרה. yahoo.com מפרסם מדיניות DMARC של p=reject, ולכן שרת מקבל שמציית לה דוחה את ההתראה כהודעה מזויפת. כשהמבקר משתמש ב-Gmail, המדיניות מקלה יותר וההודעה מגיעה לעיתים קרובות יותר לספאם. WPForms מזהיר בדיוק מפני זה בתיעוד שלו.From הוא אתם, Reply-To הוא המבקר
במקום זאת, הגדירו את הטופס כך:
- From: כתובת בדומיין שלכם, כגון
forms@yourdomain.com, באותו דומיין שעבורו תוסף ה-SMTP שלכם מאומת. - Reply-To: כתובת המבקר, משדה הטופס. לחיצה על Reply עדיין תשלח תשובה לאנה.
- To: תיבת הדואר שאתם באמת קוראים.
ב-Contact Form 7 ההגדרה נמצאת בלשונית Mail: הזינו את הכתובת שלכם בשדה From והוסיפו Reply-To: [your-email] תחת Additional headers. בתוספים האחרים לטפסים יש שדה Reply-To בהגדרות ההתראות שלהם.
אימיילים של WooCommerce
ל-WooCommerce יש הגדרות שולח משלו: WooCommerce, אחר כך Settings, אחר כך Emails, ובאזור Email Sender Options, עם שם "From" וכתובת "From". כברירת מחדל, הכתובת היא כתובת האימייל של מנהל האתר. אם מי שהתקין את החנות השתמש שם בכתובת Gmail, כל אישור הזמנה נשלח כאילו הגיע מ-gmail.com, ונכשל ב-DMARC מאותה סיבה כמו טופס יצירת הקשר שלמעלה. הגדירו שם כתובת בדומיין המאומת שלכם. שם החנות הוא שם שולח מתאים. (בהתראות ההזמנה שנשלחות אליכם, WooCommerce כבר מגדיר את הלקוח בשדה Reply-To, וזו הדרך הנכונה.)
יש שתי בעיות באימיילים של חנות שאינן קיימות בטופס יצירת קשר.
הראשונה היא נפח השליחה. מבצע או תוסף ניוזלטר ששולח ללקוחות דרך אותו נתיב המשמש לאישורי הזמנה מערבבים דואר שיווקי ודואר תפעולי תחת אותו מוניטין. אם הניוזלטר מקבל תלונות, גם הקבלות נפגעות. שליחת שני הסוגים דרך שירותים שונים מפרידה ביניהם, וגם תת-דומיין נפרד לשיווק עוזר מעט, אם כי ספקי הדוא"ל עדיין מייחסים משקל מסוים למוניטין של הדומיין הראשי.
השנייה היא סוגיית ביטול ההרשמה. אישורי הזמנה ואיפוסי סיסמה הם הודעות תפעוליות, וכלל ביטול ההרשמה בלחיצה אחת של Gmail ושל Yahoo אינו חל עליהן. בקשת ביקורת, תזכורת על עגלה שננטשה או אימייל בסגנון "אולי תאהבו גם" שנשלחים ללקוחות קודמים הם הודעות שיווקיות, ואם אתם שולחים אותם בהיקף גדול, הכלל חל עליהם במלואו. כלומר, נדרשת כותרת List-Unsubscribe עם אפשרות ביטול הרשמה בלחיצה אחת. בדקו אם התוסף ששולח אותם מוסיף את הכותרת הזאת. הבדיקה שלמטה תציג זאת בכל מקרה.
צד ה-DNS, במילים פשוטות
לא משנה דרך איזה שירות אתם שולחים, הדומיין שלכם זקוק לשלושה דברים ב-DNS כדי שהדוא"ל ייחשב מהימן. הסבר מלא מופיע במאמר הסבר על SPF, DKIM ו-DMARC. הנה המשמעות עבור אתר WordPress.
- SPF. רשומת TXT אחת בדומיין שלכם שמפרטת מי רשאי לשלוח בשמו. שירותי שליחה רבים אינם דורשים כאן שינוי, כי הם מבצעים התאמה באמצעות דומיין ההחזרות שלהם. אם השירות שלכם מבקש להוסיף
include:ולדומיין כבר יש רשומה עבור ספק תיבת הדואר שלכם, הוסיפו אותו לרשומה הקיימת. אל תיצרו רשומה נוספת. שתי רשומות SPF הן שגיאה, ושתיהן מפסיקות לעבוד. בדקו את התוצאה באמצעות בודק SPF. - DKIM. הרשומות שקיבלתם משירות השליחה שלכם. לאחר שהן פעילות, השירות חותם על כל הודעה באמצעות הדומיין שלכם, וזאת החתימה ש-DMARC מחפש.
- DMARC. רשומת TXT בכתובת
_dmarc.yourdomain.com. התחילו עםv=DMARC1; p=none; rua=mailto:וכתובת שאתם קוראים, ולאחר מכן החמירו את המדיניות כשהדוחות מראים שאין כשל בהודעות שלכם. בודק DMARC קורא את הרשומה הקיימת שלכם.
זכרו שייתכן ששרת האחסון עדיין שולח משהו בעצמו, למשל משימת cron או תוסף ישן שקורא ישירות ל-mail() במקום ל-wp_mail(). ההודעות האלה עוקפות את תוסף ה-SMTP, ודוחות DMARC יציגו אותן כמקור שלא ציפיתם לו.
בדיקת האימיילים האמיתיים, לא הודעת בדיקה
לכל תוסף SMTP יש כפתור "send test email", וכל מה שהוא מוכיח הוא שהחיבור פועל. הוא לא מציג את אישור ההזמנה כפי ש-WooCommerce בונה אותו, את ההתראה מהטופס עם כותרת ה-Reply-To שלה, או את הודעת איפוס הסיסמה עם הקישור ש-WordPress מוסיף לה.
לכן אני גורם ל-WordPress לשלוח את ההודעות האמיתיות. כתובת בדיקה מדף הבית מקבלת הודעה אחת, לכן קבלו כתובת חדשה לכל אימייל שברצונכם לבדוק. עבור הטופס, הגדירו את הכתובת כנמען ההתראה למשך דקה ושלחו את הטופס. עבור WooCommerce, בצעו הזמנת בדיקה והשתמשו בכתובת כאימייל של הלקוח. עבור איפוס הסיסמה, הקצו את הכתובת למשתמש בדיקה ובקשו איפוס. כל הודעה מקבלת דוח משלה, עם SPF, DKIM ו-DMARC וההתאמה שלהם, 21 רשימות חסימה, תוכן וקישורים וכללי השולחים בתפוצה רחבה. כדי לבדוק את התיקייה ב-Gmail, Outlook, Yahoo ובספקים אחרים, צריך לשלוח את אותה הודעה לרשימת תיבות דואר עם סמן בשורת הנושא. טופס או הזמנה בחנות אינם יכולים לעשות זאת, לכן השאירו את החלק הזה לאימיילים שאתם שולחים בעצמכם.
אם אתם מעדיפים לא לבצע הזמנות בדיקה באופן ידני, התוסף החינמי ל-WordPress שולח את ההודעות האלה דרך wp_mail() של האתר שלכם, באותו מסלול שבו עובר האימייל של הלקוחות שלכם, ומציג את התוצאה בלוח הבקרה. הוא גם מזהה כשהאתר מתחיל לשלוח סוג אימייל שלא ראה בעבר.
כשההודעות עדיין מגיעות לספאם
אם האימות עובר בהצלחה, כתובת ה-From נמצאת בדומיין שלכם והאימייל עדיין מגיע לספאם, בדקו את המוניטין של התשתית שדרכה אתם שולחים. כתובת IP של אחסון משותף שנמצאת ברשימת חסימה היא סיבה נפוצה לכך כשעדיין משתמשים ב-mail(), ובודק רשימות החסימה יציג זאת. לתוכן יש השפעה קטנה יותר ממה שנהוג לחשוב. התראה מטופס עם קישור יחיד ושלוש שורות טקסט כמעט אף פעם לא מפעילה מסנן בפני עצמה. אימייל של WooCommerce עם תבנית HTML כבדה, תמונה גדולה אחת ומקצר קישורים עלול לעשות זאת.
בדקו הודעה אחת, תקנו את מה שמופיע בדוח ושלחו אותה שוב לכתובת חדשה.