# יסודות אבטחה לאתר עסקי, ומה סריקה חינמית בודקת

> HTTPS ו-HSTS, אימות מייל, עדכונים, כניסות חזקות, גיבויים שנבדקו, גישת מנהל מוגבלת והתראות. אילו משבעת הדברים סריקה חיצונית יכולה לבדוק, וביקורת של שלושים דקות לשאר.

- עמוד באתר: https://sporesec.com/he/blog/website-security-basics-business-site
- שפה: עברית
- עודכן לאחרונה: 2026-10-17
- זמין גם בשפה English: https://sporesec.com/en/blog/website-security-basics-business-site.md

## תשובה

HTTPS ו-HSTS, אימות מייל, עדכונים, כניסות חזקות, גיבויים שנבדקו, גישת מנהל מוגבלת והתראות. אילו משבעת הדברים סריקה חיצונית יכולה לבדוק, וביקורת של שלושים דקות לשאר.

- מאת מהדי גריבקוב
- פורסם: 2026-09-30
- עודכן: 2026-10-17
- אבטחה, 7 דקות קריאה
- מילות מפתח: יסודות אבטחת אתר, רשימת בדיקה לאבטחת אתר עסקי, HSTS SPF DKIM DMARC, סריקת אבטחה חינמית לאתר

יסודות האבטחה של אתר עסקי הם שבעה דברים: HTTPS שהדפדפנים מצווים לדרוש, אימות דוא״ל לדומיין שלכם, תוכנה ותוספים מעודכנים, כניסות חזקות וייחודיות עם גורם שני, גיבויים שנבדקו, גישת ניהול מוגבלת, ואדם שמקבל את ההתראה. סריקה חיצונית חינמית יכולה לבדוק את השניים הראשונים. את השאר היא לא רואה, ולכן שם נתפסים לרוב אתרים של עסקים קטנים. הנה כל אחד מהם, למה הוא חשוב, מי יכול לבדוק אותו, וביקורת של שלושים דקות שאפשר להריץ השבוע.

### 1. האם האתר מוגש ב-HTTPS, והאם דפדפנים מחייבים את זה?

HTTPS מצפין את החיבור בין המבקר לאתר. כותרת בשם Strict-Transport-Security, או HSTS, הולכת צעד אחד קדימה. MDN מתארת אותה כמודיעה "לדפדפנים שאל המארח צריך לגשת רק ב-HTTPS, ושכל ניסיון עתידי לגשת אליו ב-HTTP יוסב אוטומטית ל-HTTPS" (תרגום שלנו). משמעות נוספת: אם מתרחשת שגיאת תעודה, הדפדפן לא מציע למבקר דרך לעבור אותה בלחיצה. MDN מוסיפה שהכותרת חייבת להישלח ב-HTTPS, ומתעלמים ממנה אם היא נשלחת ב-HTTP רגיל.

**מי יכול לבדוק:** סריקה חיצונית, כי גם התעודה וגם הכותרת פומביות. זו אחת הבדיקות ב[בדיקת האתר החינמית](https://sporesec.com/he/tools) שלנו. רשמו גם את תאריך תפוגת התעודה ומי מחדש אותה.

### 2. האם מישהו יכול לשלוח דוא״ל בשם הדומיין שלכם?

רשומות ה-DNS של הדומיין אומרות לשרתי דואר מי רשאי לשלוח בשמכם. הן נקראות SPF, DKIM ו-DMARC. זה כבר לא רק נוהג טוב: בהנחיות השולחים של Google כתוב שמ-1 בפברואר 2024 כל השולחים לחשבונות Gmail חייבים "להגדיר אימות דוא״ל SPF או DKIM", ושולחים של יותר מ-5,000 הודעות ביום ל-Gmail חייבים להגדיר SPF, DKIM ו-DMARC, עם ביטול הרשמה בלחיצה אחת בדואר שיווקי (תרגום שלנו). בלי זה, הצעות המחיר והחשבוניות שלכם עלולות להגיע לספאם, וקל יותר לכל אחד לשלוח זיוף משכנע בשמכם.

**מי יכול לבדוק:** סריקה חיצונית, כי הרשומות פומביות. הסתייגות אחת: רשומת DKIM יושבת תחת שם שהספק של הדואר בוחר, ולכן סריקה שלא מוצאת אותה צריכה לומר "לא ניתן היה לבדוק" ולא "חסרה". אם החלפתם לאחרונה חבילת דואר, ראו את ה[השוואה בין Microsoft 365 ל-Google Workspace](https://sporesec.com/he/blog/microsoft-365-vs-google-workspace-small-office) ובדקו שוב את הרשומות, כי ייתכן שרשומות של הספק הקודם עדיין שם.

### 3. האם התוכנה שמאחורי האתר מעודכנת?

תוכנה לא מעודכנת ותוספים פגיעים הם דרך נפוצה לפריצה לאתר, וסריקה חיצונית לא יכולה לראות אותם. בשאלות הנפוצות של MDN Observatory (כפי שנקלטו ביוני 2026) כתוב שהבדיקות שלה לא מכסות "גרסאות תוכנה מיושנות, פגיעויות SQL injection, תוספים פגיעים של מערכות ניהול תוכן, יצירה או אחסון לא נכונים של סיסמאות", ושאלה "חשובים בדיוק כמו הנושאים ש-Observatory כן בודק" (תרגום שלנו). ציון נקי על כותרות הוא לא אתר מאובטח.

אם האתר רץ על WordPress, ספר ההקשחה של WordPress (עודכן לאחרונה ב-7 בינואר 2026) אומר לשמור על הגרסה העדכנית ביותר, כי "גרסאות ישנות של WordPress לא מקבלות עדכוני אבטחה" (תרגום שלנו). הוא גם אומר להשיג תוספים ותבניות רק ממאגר WordPress.org או מחברות מוכרות. המדריך [WordPress, Shopify או אתר מותאם](https://sporesec.com/he/blog/wordpress-shopify-or-custom-site-israel) מסביר מה כל פלטפורמה משאירה לכם לתחזק.

**מי יכול לבדוק:** מי שמפעיל את האתר. בקשו את תאריך העדכון האחרון של מערכת הניהול, התבנית וכל תוסף, ומחקו תוספים שאתם לא משתמשים בהם.

### 4. האם הכניסות חזקות, ייחודיות ומוגנות בגורם שני?

היסודות של NIST לאבטחת סייבר בעסק קטן (הדף עודכן ב-22 במאי 2026) אומרים לדרוש סיסמאות חזקות ולשקול מנהל סיסמאות, ולדרוש מהעובדים להפעיל אימות רב-שלבי, במיוחד עמיד לפישינג, בכל חשבון שמציע אותו (תרגום שלנו). הפעילו אותו לניהול האתר, לחשבון האחסון, לרשם הדומיין ולדוא״ל שלכם, בסדר הזה של סיכון. הרשם חשוב יותר ממה שרוב הבעלים חושבים: מי ששולט בדומיין שולט בכתובת האתר ובדוא״ל שלכם.

**מי יכול לבדוק:** אתם, בהגדרות האבטחה של כל חשבון. סורק לא יכול.

### 5. יש לכם גיבוי שנבדק?

אם האתר ניזוק או ננעל, גיבוי הוא הדרך להחזיר אותו. ספר ההקשחה של WordPress מונה גיבויים בין היסודות ואומר שתוכנית לגיבוי ושחזור "יכולה לעזור לכם לחזור לאוויר מהר יותר" (תרגום שלנו). הוא צריך להיות נפרד מהאתר, עדכני, ולהשתחזר לפחות פעם אחת כבדיקה. איך עושים את זה, ראו [גיבויים שבאמת אפשר לשחזר מהם](https://sporesec.com/he/blog/backups-that-actually-restore).

### 6. למי יש גישת ניהול, והאם צריך?

ספרו את החשבונות שיכולים לשנות את האתר: הסוכנות שבנתה אותו, פרילנסר מלפני שלוש שנים, עובד שעזב. הסירו כל חשבון שאין לו סיבה קיימת לפעול. תנו לכל אדם כניסה משלו, לא משותפת, כדי שתוכלו לראות מי עשה מה.

### 7. מי מקבל את ההתראה כשמשהו נשבר?

אתר שנפל, תעודה שעומדת לפוג או טופס שהפסיק לשלוח לידים צריכים להגיע לאדם עם שם. הגדירו ניטור וכתובת התראה, ורשמו מי מגיב. בדקו את טופס יצירת הקשר פעם בחודש בשליחת הודעה לעצמכם, כי טופס שנכשל בשקט עולה בלידים במשך שבועות.

### מה סריקה לא אומרת לכם?

כל מה שנמצא תחת "מי מפעיל את האתר" למעלה. סריקה חינמית קוראת מה שהאתר מראה כלפי חוץ. היא לא נכנסת, לא בודקת את התוספים ולא מסתכלת בתוך השרת. בשביל זה צריך אדם שמקים ומטפל במערכת. [הגדרת האבטחה](https://sporesec.com/he/services/security) שלנו כוללת חשבונות עם כניסה רב-שלבית, גיבויים, אימות דוא״ל וכותרות אתר, במחיר לפי היקף. זו עבודת הקמה, לא הערכה מוסמכת.

### מהי ביקורת שלושים הדקות?

1. הריצו את הסריקה החינמית על הדומיין ורשמו מה היא מסמנת ומה היא אומרת שלא יכלה לבדוק.
2. היכנסו לרשם הדומיין ובדקו את דוא״ל הקשר, את תאריך התפוגה ושגורם שני מופעל.
3. רשמו כל חשבון ניהול באתר והסירו את אלה שאף אחד לא יכול להסביר.
4. פתחו את מסך העדכונים ורשמו כמה עדכונים ממתינים וכמה ישן הישן ביותר.
5. מצאו את הגיבוי האחרון ושאלו מי שחזר אי פעם גיבוי.
6. שלחו הודעת בדיקה דרך טופס יצירת הקשר וראו מי מקבל אותה.

[קבעו שיחת היכרות חינם](https://sporesec.com/he/book) אם אתם רוצים שאדם יעבור על הרשימה איתכם.

### מקורות

- [Strict-Transport-Security, MDN](https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Strict-Transport-Security), הדף שונה לאחרונה ב-23 באפריל 2026, כפי שנקלט ב-Common Crawl ב-9 ביוני 2026.
- [Observatory FAQ, MDN](https://developer.mozilla.org/en-US/observatory/docs/faq), כפי שנקלט ב-Common Crawl ב-12 ביוני 2026.
- [Email sender guidelines, Google](https://support.google.com/a/answer/81126), כפי שנקלט ב-Common Crawl ב-16 במאי 2026.
- [Hardening WordPress, WordPress Advanced Administration Handbook](https://developer.wordpress.org/advanced-administration/security/hardening/), עודכן לאחרונה ב-7 בינואר 2026, כפי שנקלט ב-Common Crawl ב-12 ביוני 2026.
- [Cybersecurity Basics, NIST Small Business Cybersecurity Corner](https://www.nist.gov/itl/smallbusinesscyber/cybersecurity-basics), הדף עודכן ב-22 במאי 2026, כפי שנקלט ב-Common Crawl ב-7 ביוני 2026.

## שאלות ותשובות

### מה סריקה חיצונית חינמית יכולה לבדוק?

אותות פומביים: HTTPS וכותרת HSTS, כותרות אבטחה, ורשומות SPF, DKIM ו-DMARC. היא לא רואה את התוספים, הסיסמאות או השרת שלכם.

### ציון טוב בכותרות אומר שהאתר מאובטח?

לא. בשאלות הנפוצות של MDN Observatory כתוב שהוא לא בודק תוכנה מיושנת, SQL injection, תוספי CMS פגיעים ושמירת סיסמאות, שחשובים בדיוק כמו מה שהוא בודק.

### צריך אימות מייל אם אני שולח רק כמה מיילים?

Google דורשת SPF או DKIM מכל שולח לחשבונות Gmail מאז 1 בפברואר 2024, ו-SPF, DKIM ו-DMARC משולחים של 5,000 הודעות ביום ומעלה.


## הצעד הבא

- לקביעת שיחת היכרות חינם: https://sporesec.com/he/book.md
- בלוג: https://sporesec.com/he/blog.md

---

- יצירת קשר: contact@sporesec.com | WhatsApp https://wa.me/972532322318 | https://sporesec.com/he/contact.md
- לקביעת שיחת היכרות חינם: https://sporesec.com/he/book.md
- נתוני האתר לקריאה ממוחשבת: https://sporesec.com/llms.txt | https://sporesec.com/agents/he/index.json