בדקנו את אתר הליכוד לעומק: מאובטח, שקוף, אבל בלתי נראה לגוגל ולבינה המלאכותית

ב-27 באוקטובר 2026 ישראל הולכת לבחירות. הקמפיינים כבר עברו כמעט כולם לרשת, ובינה מלאכותית נכנסה לכל שלב בהם: מכתיבת מסרים ועד בחירת קהלים. אבל יש מקום אחד שבו מפלגה מציגה את עצמה בלי מתווכים: האתר הרשמי שלה.

בארגון ה-AI הישראלי החלטנו לבדוק את אתרי המפלגות כמו שבודקים אתר של ארגון גדול לפני הטמעת AI. לא רק מה הגולש רואה, אלא מה רואות המכונות: גוגל, ChatGPT, Perplexity ושאר מנועי התשובות שדרכם חלק גדל מהבוחרים כבר מחפש מידע. ובמקביל, מה רואה מי שמסתכל על שכבות האבטחה, הפרטיות והקוד.

זו הסקירה הראשונה בסדרה, והיא עוסקת באתר הליכוד, likud.org.il. כל המפלגות ייבדקו לפי אותם פרמטרים בדיוק, כדי שאפשר יהיה להשוות ביניהן בסוף הסדרה.

המתודולוגיה: שמונה קטגוריות, ציון משוקלל

כל קטגוריה מקבלת ציון מ-1 עד 5. הציון הסופי משוקלל, ומשקל גבוה יותר ניתן לנושאים שבהם עוסק הארגון שלנו: מוכנות לעידן ה-AI, נראות, אבטחה ופרטיות.

תעודת זהות טכנית

• תשתית: אתר סטטי שמוגש דרך Vercel, עם שרתי שמות של Cloudflare. אין מערכת ניהול תוכן מסורתית כמו וורדפרס.

• מבנה: עמוד אחד ארוך. כתובות ישנות כמו /news או /achievements מפנות לעוגנים בעמוד הבית.

• שפות: עברית, אנגלית, צרפתית, רוסית וערבית.

• עדכון אחרון של העמוד: 12 באוקטובר 2026, לפי כותרת השרת.

1. AI ומוכנות למכונות

אין באתר בוט AI. לא צ'אט שעונה על שאלות על המצע, לא עוזר שמסביר איך מצביעים ולא התאמה אישית של תוכן. בדקנו את קוד המקור ואת תשעת קובצי ה-JavaScript של האתר: אין בהם שום חיבור לשירותי שפה כמו OpenAI, Gemini או Claude, ואין ווידג'ט צ'אט מסחרי.

מה שכן יש הוא כפתור "פנו לראש הממשלה", שפותח הודעה מוכנה בוואטסאפ האישי של הגולש. זה ערוץ אנושי, לא בוט, והאתר מציין שהוא לא שומר את ההודעה. הנוכחות היחידה של "בוט" באתר היא דווקא מנגנון נגד בוטים: Cloudflare Turnstile, שמגן על טופס בקשת העזרה בהגעה לקלפי.

הבעיה הגדולה יותר בעידן ה-AI היא לא היעדר הצ'אט, אלא האופן שבו האתר נראה למכונות:

• אין נתונים מובנים. אין באתר סימון Schema.org מכל סוג, כולל סוג הנתונים PoliticalParty ב-Schema.org. זה הסימון שעוזר למנועי חיפוש ולמודלי שפה לדעת בוודאות מי עומד בראש המפלגה, מה הלוגו ומי ברשימה.

• התוכן החשוב נטען רק בדפדפן. הסיפורים האישיים של 30 המועמדים נטענים מקובץ נתונים נפרד, רק אחרי שהדף רץ בדפדפן. כך גם התרגומים: בקובץ התרגומים יש 1,112 מחרוזות בכל שפה, אבל העמוד באנגלית מכיל בקוד שלו בערך 37 תווים של טקסט. רוב סורקי ה-AI לא מריצים JavaScript, כך שמבחינתם גרסת השפות הזרות כמעט ריקה. גם גוגל ממליץ לא להסתמך על כך, כפי שמופיע בההנחיות של גוגל לאתרים שנבנים ב-JavaScript.

• סורקי AI חסומים. קובץ ה-robots.txt חוסם את כל הסורקים, ובהם GPTBot של OpenAI, שמכבד את ההוראה הזו לפי התיעוד של OpenAI על הסורקים שלה. אין גם קובץ llms.txt, הפורמט שמתחיל להתקבל להצגת אתר למודלי שפה.

ה-AI מופיע באתר בדיוק פעם אחת: ככרטיס הישג בתחום החינוך, "STEM + AI, מדעים ובינה מלאכותית בכיתות". כלומר, כנושא של מדיניות ולא כחלק מהאתר עצמו.

ציון: 1 / 5

2. נראות בחיפוש: האתר מבקש מגוגל לא להציג אותו

זה הממצא המרכזי של הסקירה. האתר שולח למנועי החיפוש את אותה הוראה בשלוש דרכים שונות:

1. קובץ robots.txt חוסם את כל הסורקים מכל האתר. בראש הקובץ נשארה הערה של המפתחים: "STAGING: להחליף ב-Allow לפני העלייה לאוויר".

2. תגית meta robots בקוד העמוד: noindex, nofollow, noarchive.

3. כותרת השרת X-Robots-Tag עם אותה הוראה, גם ברמת התקשורת עם השרת.

ובנוסף, מפת האתר (sitemap.xml) מצביעה על דומיין לדוגמה, likud.example.org, ולא על הכתובת האמיתית. זו כתובת תבנית שמעולם לא הוחלפה.

שלושת הסימנים מצביעים על מקור אחד: הגדרות של סביבת פיתוח, שנועדו למנוע מגוגל לסרוק גרסה לא גמורה, עלו יחד עם האתר לכתובת הרשמית. לפי ההסבר של גוגל על robots.txt והתיעוד של גוגל על noindex, הוראות כאלה גורמות לכך שהאתר לא יופיע בתוצאות החיפוש, או יופיע בלי תיאור. המשמעות המעשית: מי שמחפש בגוגל את שם המפלגה מגיע לכל מקום אחר לפני האתר הרשמי. ובעידן שבו בוחרים שואלים את ChatGPT או את Perplexity, האתר הרשמי פשוט לא נמצא במקורות שלהם.

הצד החיובי: כשהחסימה תוסר, הבסיס מוכן. יש כתובת קנונית, סימון שפות (hreflang) לחמש השפות, תיאור לעמוד ותגיות שיתוף מלאות. לא מצאנו טקסט נסתר או מילות מפתח מוחבאות, טכניקה שעדיין נפוצה באתרים שמנסים לרמות את גוגל.

ציון: 1 / 5

3. אבטחת מידע: חזק בביטון - האתר מוגן היטב, הדואר פחות

בצד של האתר, התמונה טובה במיוחד ביחס לאתרים פוליטיים:

• כותרות אבטחה מלאות: HSTS לשנתיים, Content Security Policy נוקשה שמתיר רק סקריפטים מאושרים מראש, איסור הטמעה של האתר בתוך אתרים אחרים, וחסימת גישה למצלמה, למיקרופון ולתשלומים.

• משטח תקיפה מצומצם: אתר סטטי, בלי מערכת ניהול תוכן שאפשר לתקוף. לא מצאנו בקוד או בקבצים הציבוריים הפניה לממשק ניהול.

• הגנה על הטפסים: טופס העזרה בהגעה לקלפי מוגן ב-Turnstile, בשדה מלכודת לבוטים ובאימות טלפון בקוד SMS.

שתי נקודות פחות טובות באתר עצמו: השרת מתיר לכל אתר אחר לקרוא את התגובות שלו (Access-Control-Allow-Origin: *), שהוא סיכון נמוך באתר בלי אזור אישי אבל לא הכרחי. ואין קובץ security.txt לפי התקן RFC 9116, כך שלחוקר שמוצא חולשה אין כתובת מסודרת לדווח אליה.

הדואר האלקטרוני הוא החוליה החלשה. כאן הממצא שהכי רלוונטי לתקופת בחירות:

• מדיניות DMARC של הדומיין מוגדרת על p=none, כלומר מצב ניטור בלבד. היא לא מורה לשרתי הדואר לדחות הודעות שמתחזות לדומיין של המפלגה.

• ברשומת ה-SPF יש הפניה של הדומיין לעצמו (include:likud.***.**), מבנה שתקן SPF (RFC 7208) מגדיר כשגיאה. במקרה כזה בדיקת ה-SPF עלולה להיכשל לגמרי.

בתקופה שבה הודעות פישינג בשם מפלגות ומועמדים הן כלי מוכר, הגדרה כזו מקשה על ספקי הדואר להבדיל בין הודעה אמיתית של המפלגה לבין הודעה מזויפת. זה תיקון של כמה דקות.

ציון: 4 / 5

4. פרטיות ומעקב: פער בין המדיניות לטופס

מדיניות הפרטיות מפורטת ומותאמת לתיקון 13 לחוק הגנת הפרטיות, כולל זכויות עיון, תיקון ומחיקה וכתובת לפניות. אבל השוואה בין מה שכתוב בה לבין מה שקורה בפועל מגלה שלושה פערים:

• כלי מעקב שהובטחו ולא נמצאו. המדיניות מצהירה על Google Analytics ועל Facebook Pixel. בקוד העמוד לא מצאנו אף אחד מהם, והמדיניות עצמה מציינת ש"באנר הסכמה לעוגיות יתווסף עם הטמעת כלי המדידה". מדיניות האבטחה של השרת כבר מתירה טעינה מהשרתים של פייסבוק, כלומר התשתית לפיקסל מוכנה.

• מידע על מצב בריאותי. המדיניות קובעת שהאתר "אינו אוסף או מעבד מידע רגיש", ומביאה כדוגמה מידע רפואי. אבל טופס העזרה בהגעה לקלפי מבקש לבחור מה מקשה להגיע, עם אפשרויות כמו "מצב רפואי", "כיסא גלגלים" ו"מוגבלות בראייה", לצד כתובת מלאה, קומה ושאלה אם יש מעלית. מידע על מצב בריאותי ומוגבלות נחשב לפי החוק מידע רגיש, כפי שמסבירה הרשות להגנת הפרטיות. הטופס עצמו מוגדר היטב, עם הסכמה מפורשת ומטרה מוגדרת, ולכן הפער הוא בעיקר במדיניות שלא עודכנה.

• אימות טלפון. המדיניות מציינת שמספרי הטלפון במתחם המתנדבים "טרם מאומתים באמצעות SMS", בזמן שטופס העזרה בקלפי כבר משתמש בקוד SMS. אלה שני תהליכים שונים, אבל זה עוד סימן שהמסמך מפגר אחרי האתר.

ציון: 3 / 5

5. תוכן ואמינות: הצד החזק של האתר

מדור ההישגים הוא אחד הבנויים בקפידה שראינו באתר פוליטי. כל נתון מגיע עם שם המקור (הלמ"ס, בנק ישראל, רשות החדשנות, הכנסת, משרד הביטחון ואחרים), עם תווית מצב כמו "נתון מדווח", "תקציב שאושר" או "תוכנית רב־שנתית", ועם לחצן "ההקשר המלא" שמציג גם את הסייגים.

כמה דוגמאות: ליד הנתון על אינפלציה של 1.5% מוסבר שהמדד החודשי עלה באותו חודש ב-0.7%. ליד היקף חוזי היצוא הביטחוני מצוין שחוזים שנחתמו אינם הכנסות שכבר התקבלו. ליד נתון הצמיחה הרבעונית מוסבר שהקצב השנתי המחושב אינו הצמיחה של השנה כולה. יש גם פרק "מאחורי המספרים" שמסביר את השיטה, וסימון "נבדק ועודכן 23.09.2026".

זה לא אומר שהבחירה מה להציג נייטרלית, זה אתר של מפלגה. אבל מבחינת שקיפות הנתונים, הרף גבוה מהמקובל.

ציון: 4.5 / 5

6. נגישות

יש תפריט נגישות עם הגדלת טקסט עד 200%, ניגודיות גבוהה, הדגשת קישורים והפחתת תנועה, קישור "דלג לתוכן", תיאורי תמונות ותוויות לשדות. הצהרת הנגישות מפרטת רכז נגישות ודרכי פנייה, אבל גם מודה ש"טרם הושלמה בדיקת נגישות מקצועית מקיפה, ואין בהצהרה זו אישור לעמידה מלאה בתקן".

ציון: 3.5 / 5

7. רעננות ועדכון

הנתונים באתר עדכניים, עד אוגוסט וספטמבר 2026, והעמוד עודכן יומיים לפני הבדיקה. אבל אין ארכיון ידיעות מתוארך ואין הזנת RSS. מדור "מה חדש" מבוסס על פיד מהאינסטגרם של המפלגה ושל ראש הממשלה, שנטען בדפדפן. כך קשה למדוד קצב עדכון לאורך זמן, ומנועי חיפוש לא רואים את העדכונים בכלל.

ציון: 3 / 5

8. ביצועים ותשתית

השרת מהיר: זמן תגובה של כ-0.2 שניות, הגשה מהמטמון של Vercel ושימוש בגרסאות קבועות לקבצים. אבל תמונות הפתיחה של הקמפיין כבדות: ארבעה קבצים ששוקלים יחד כ-3.6 מגה, ובהם קובץ PNG יחיד של כ-2 מגה. בטלפון עם קליטה חלשה זה מורגש. לפי ההמלצות של Google ל-web.dev על תמונות, פורמטים כמו WebP או AVIF היו מקטינים את המשקל פי כמה.

ציון: 3.5 / 5

מה העין הרגילה לא רואה: שבעה ממצאים מאחורי הקלעים

1. הערת מפתח שנשכחה: "STAGING: להחליף ב-Allow לפני העלייה לאוויר" בקובץ שגוגל קורא ראשון.

2. מפת אתר לדומיין לדוגמה: likud.example.org במקום הכתובת האמיתית.

3. תרגומים מלאים שאף מכונה לא רואה: 1,112 מחרוזות בכל שפה, שנטענות רק בדפדפן.

4. הבוט היחיד באתר הוא נגד בוטים: Turnstile על טופס הקלפי.

5. תשתית לפיקסל של פייסבוק כבר מוכנה בהגדרות האבטחה, אף שהפיקסל עצמו עוד לא נטען.

6. טופס שאוסף מידע על מצב בריאותי, בזמן שמדיניות הפרטיות אומרת שלא נאסף מידע כזה.

7. דואר שקל להתחזות אליו: DMARC במצב ניטור ו-SPF עם הפניה עצמית.

טבלת הציונים

סיכום: אתר של 2026 שמכונות רואות כמו אתר ריק

אתר הליכוד הוא פרדוקס. מבחינת אבטחת האתר, שקיפות הנתונים והמהירות, הוא מהטובים שבדקנו, ובמקומות מסוימים עדיף על אתרים של חברות גדולות. אבל שורה אחת בקובץ שנשכחה מסביבת הפיתוח מוחקת אותו מגוגל, והבחירה לטעון את התוכן החשוב רק בדפדפן הופכת אותו כמעט שקוף למנועי התשובות של עידן ה-AI.

במילים אחרות: ה-AI נמצא באתר כנושא, לא ככלי. בסקירות הבאות נבדוק אם זה דפוס. האם גם מפלגות אחרות חוסמות את עצמן? האם מישהי כבר הציבה בוט מול הבוחרים? ומי מוכנה באמת לבוחר ששואל את ChatGPT במקום את גוגל?

מה זה אומר לארגון שלכם

הממצאים כאן לא ייחודיים לפוליטיקה. אנחנו פוגשים אותם שוב ושוב בארגונים:

• בדקו מה עולה לאוויר, לא רק מה נבנה. הוראת noindex מסביבת הפיתוח היא אחת הטעויות הנפוצות בהעלאת אתר חדש. בדיקה של robots.txt ושל כותרות השרת צריכה להיות חלק מכל רשימת השקה.

• תכננו את האתר גם בשביל מכונות. נתונים מובנים, תוכן שנמצא בקוד העמוד ולא רק בדפדפן, ולשקול קובץ llms.txt. כך מנועי ה-AI יכולים לצטט אתכם במדויק במקום לנחש.

• הגנו על הדומיין שלכם בדואר. DMARC במצב דחייה הוא אחד הצעדים הזולים והמשתלמים נגד פישינג בשם הארגון.

• עדכנו את מדיניות הפרטיות כל פעם שמוסיפים טופס. הפער בין המדיניות למה שהטפסים אוספים בפועל הוא בדיוק מה שרגולטור, או עיתונאי, יחפש.

מתכננים להטמיע AI בארגון ורוצים לוודא שהתשתית מוכנה? ראו את המדריך לרגולציית AI בישראל ובאיחוד האירופי, או דברו איתנו.