Kurumsal E-posta: SPF, DKIM ve DMARC Nedir? Mailleriniz Neden Spama Düşer?

SPF, DKIM ve DMARC, alan adınızdan gönderilen e-postaların gerçekten sizden geldiğini alıcı sunuculara kanıtlayan üç DNS kaydıdır. DMARC nedir sorusunun kısa cevabı şu: SPF ve DKIM kontrollerinin sonucunu "Gönderen" adresinizle eşleştiren ve bu kontrolden geçemeyen e-postalara ne yapılacağını söyleyen bir politikadır. Bu kayıtlar eksik ya da hatalıysa, e-postalarınız Gmail, Yahoo ve diğer sağlayıcılarda spama düşebilir ya da hiç teslim edilmeyebilir.

E-postalarınız neden spama düşer?

E-posta protokolü ilk tasarlandığında "gönderen" bilgisini doğrulayan bir mekanizma yoktu. Yani herkes, herhangi bir adresi "Kimden" satırına yazabiliyordu. Ne yazık ki sahte e-posta (spoofing) ve oltalama (phishing) saldırıları bu açıktan yararlanır.

Bugün büyük e-posta sağlayıcıları bir e-postayı gelen kutusuna koymadan önce şu soruların cevabına bakar:

• Bu e-postayı gönderen sunucunun, bu alan adı adına gönderim yetkisi var mı? (SPF)
• E-posta yolda değiştirilmeden, alan adının sahibi tarafından mı imzalandı? (DKIM)
• Bu kontroller, kullanıcının gördüğü "Kimden" adresiyle uyumlu mu? Uyumlu değilse alan adının sahibi ne yapılmasını istiyor? (DMARC)

Bu kayıtlar yoksa ya da yanlışsa, e-postanız ne kadar masum olursa olsun "kimliği doğrulanamayan" bir e-posta olarak değerlendirilir. Spam şikâyetleri, bozuk bağlantılar ve içerik gibi başka etkenler de vardır, ama kimlik doğrulama artık temel şarttır.

SPF nedir?

SPF (Sender Policy Framework), IETF'nin RFC 7208 standardında tanımlanır. Alan adı sahibinin, kendi alan adı adına e-posta göndermesine izin verdiği sunucuları DNS'te yayımlamasını sağlar. Böylece alıcı sunucu, e-postayı gönderen IP adresinin bu listede olup olmadığına bakar.

SPF kaydı bir TXT kaydıdır ve şuna benzer:

“ ornekfirma.com.tr. TXT "v=spf1 include:_spf.ornek-saglayici.com ~all" “

• include: ile e-posta sağlayıcınızın sunucularını eklersiniz.
• Sondaki ~all "listede olmayanlar şüpheli", -all ise "listede olmayanlar reddedilsin" anlamına gelir.

SPF'te dikkat edilecekler:

• Bir alan adının tek bir SPF kaydı olmalıdır. Her yeni hizmet için ayrı bir v=spf1 kaydı eklemek yaygın bir hatadır; bunun yerine mevcut kayda yeni include: eklenir.
• 10 DNS sorgusu sınırı. RFC 7208'e göre SPF değerlendirmesi sırasında DNS sorgusu gerektiren ifadelerin (include, a, mx vb.) toplamı 10'u geçemez. Geçerse sonuç "permerror" olur, yani kayıt geçersiz sayılır. Kurumsal e-posta, bülten aracı, CRM, fatura sistemi derken bu sınır kolayca aşılabilir.
• SPF, "Kimden" adresini değil, teknik gönderici adresini kontrol eder. Bu yüzden SPF tek başına sahte "Kimden" adreslerini engellemez. Bu açığı DMARC kapatır.

DKIM nedir?

DKIM (DomainKeys Identified Mail), RFC 6376 standardında tanımlanır. Gönderen sunucu, e-postanın başlıklarını ve içeriğini özel bir anahtarla imzalar. Ardından alıcı sunucu, imzayı doğrulamak için gereken açık anahtarı doğrudan alan adınızın DNS kayıtlarından alır. Böylece e-postanın gerçekten o alan adının sorumluluğunda gönderildiği ve yolda değiştirilmediği anlaşılır.

DKIM kaydı da bir TXT kaydıdır ve bir seçici (selector) adıyla yayımlanır:

“ secici1._domainkey.ornekfirma.com.tr. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkq..." “

Seçici sayesinde bir alan adı birden fazla anahtar yayımlayabilir. Örneğin kurumsal e-posta sağlayıcınız bir seçici, bülten aracınız başka bir seçici kullanır. Anahtar değerini siz üretmezsiniz; e-posta sağlayıcınızın panelinden alıp DNS'e eklersiniz.

DMARC nedir?

DMARC (Domain-based Message Authentication, Reporting and Conformance), RFC 7489 belgesinde tanımlanır. İki işi vardır:

1. Hizalama (alignment) kontrolü: SPF ya da DKIM ile doğrulanan alan adının, kullanıcının gördüğü "Kimden" adresindeki alan adıyla eşleşip eşleşmediğine bakar. Eşleşme yoksa, SPF ya da DKIM teknik olarak geçse bile DMARC başarısız olur.
2. Politika ve raporlama: Başarısız e-postalara ne yapılacağını söyler ve size rapor gönderilmesini sağlar.

DMARC kaydı _dmarc alt adında yayımlanır:

“ _dmarc.ornekfirma.com.tr. TXT "v=DMARC1; p=none; rua=mailto:dmarc-rapor@ornekfirma.com.tr" “

p= değeri üç politikadan birini alır:

rua= etiketi, alıcı sunucuların size gönderdiği toplu raporların adresidir. Bu raporlar sayesinde alan adınız adına hangi sunucuların e-posta gönderdiğini görürsünüz. Unuttuğunuz bir gönderim aracını ya da alan adınızı taklit eden birini bu raporlardan fark edersiniz.

Gmail ve Yahoo'nun 2024 gönderici kuralları

Google ve Yahoo, Şubat 2024'ten itibaren göndericilere yönelik kimlik doğrulama kurallarını uygulamaya başladı. Nisan 2025 itibarıyla geçerli olan temel şartlar şöyle:

Tüm göndericiler için (Gmail):

• SPF veya DKIM kimlik doğrulaması
• Gönderen sunucu için ileri ve geri DNS (PTR) kayıtları
• E-posta gönderiminde TLS şifrelemesi
• Postmaster Tools'ta spam oranının %0,3'ün altında tutulması
• E-postanın RFC 5322 biçimine uygun olması

Günde yaklaşık 5.000 veya daha fazla e-posta gönderenler için (Gmail):

• SPF ve DKIM'in birlikte kurulması
• DMARC kaydı yayımlanması (politika p=none olabilir)
• Doğrudan gönderimlerde "Kimden" alan adının SPF ya da DKIM ile hizalanması
• Pazarlama ve abonelik e-postalarında tek tıkla abonelikten çıkma

Google, bir göndericinin bu eşiği bir kez geçtiğinde kalıcı olarak toplu gönderici sayıldığını ve aynı ana alan adından gönderilen e-postaların birlikte hesaplandığını belirtiyor. Tek tıkla abonelikten çıkma için toplu göndericilere 1 Haziran 2024'e kadar süre tanındı.

Yahoo da benzer şartları Şubat 2024'te uygulamaya koydu: tüm göndericilerden en az SPF veya DKIM; toplu göndericilerden SPF ve DKIM'in birlikte kurulması, en az p=none politikalı ve geçen bir DMARC kaydı, tek tıkla abonelikten çıkma ve abonelikten çıkma taleplerinin 2 gün içinde işlenmesi. Her iki sağlayıcı da spam oranının %0,3'ün altında tutulmasını istiyor.

Günde 5.000 e-posta göndermiyorsanız bu kuralların sizi ilgilendirmediğini düşünmeyin. "Tüm göndericiler" şartları herkes için geçerli. Ayrıca SPF, DKIM ve DMARC'ı birlikte kurmak, küçük hacimli göndericiler için de teslimatı daha öngörülebilir hale getirir.

Adım adım kurulum

1. Envanter çıkarın. Alan adınız adına e-posta gönderen her şeyi listeleyin: kurumsal e-posta, web sitesi formları, bülten aracı, CRM, e-fatura ya da muhasebe yazılımı, destek sistemi.
2. SPF kaydını tek kayıtta birleştirin. Her gönderim kaynağını include: ya da IP ile ekleyin. 10 sorgu sınırını kontrol edin.
3. Her kaynak için DKIM'i açın. Sağlayıcıların panelinden DKIM anahtarlarını alıp DNS'e ekleyin, ardından imzalamayı etkinleştirin.
4. DMARC'ı p=none ile başlatın. Rapor adresini ekleyin ve birkaç hafta raporları izleyin.
5. Eksikleri kapatın. Raporlarda gördüğünüz, doğrulanmamış meşru kaynakları düzeltin.
6. Politikayı kademeli sıkılaştırın. Önce quarantine, sonra reject. Acele etmek, meşru e-postalarınızın da reddedilmesine yol açabilir.

DNS kayıtlarının nerede yönetildiğini bilmiyorsanız önce DNS nedir? ve Domain nedir? yazılarımıza göz atabilirsiniz.

Sık yapılan hatalar

• İki ayrı SPF kaydı yayımlamak. İkisi de geçersiz sayılabilir.
• Web sitesi formlarını unutmak. Örneğin WordPress formları çoğu zaman sunucunun kendi e-posta işleviyle gönderilir. Bu sunucu SPF'te yoksa ve DKIM imzası atmıyorsa, form bildirimleri spama düşer. Bu yüzden formları kimliği doğrulanmış bir SMTP hesabı üzerinden göndermek daha sağlıklıdır.
• Doğrudan p=reject ile başlamak. Raporları görmeden sıkı politikaya geçmek, fark etmediğiniz bir gönderim kaynağını kesebilir.
• DMARC raporlarını hiç okumamak. p=none politikası tek başına koruma sağlamaz; asıl değeri raporlardadır.
• Hosting ya da e-posta sağlayıcısı değiştirirken kayıtları güncellememek. Taşıma sonrası eski SPF ve DKIM kayıtları geçersiz kalır.

Bizim deneyimimiz

Web sitesi projelerinde iletişim formlarının bildirim e-postaları ve kurumsal e-posta, işin teslim kontrolünün bir parçası. Projelerimizde siteyi yayına alırken alan adının DNS kayıtlarını birlikte gözden geçiriyor, form e-postalarının gerçekten ulaştığını test ediyoruz. Formların bildirimi gönderdiği adresin, alan adının SPF ve DKIM kayıtlarıyla uyumlu olmasına dikkat ediyoruz.

Sık sorulan sorular

Sonuç

Kurumsal e-postalarınızın güvenilir şekilde ulaşması, artık yalnızca iyi bir içerik meselesi değil. SPF gönderim yetkisini, DKIM imzayı, DMARC ise "Kimden" adresinin doğruluğunu ve politikayı belirler. Şubat 2024'ten bu yana büyük sağlayıcılar bu kayıtları açıkça şart koşuyor.

Web sitenizin form e-postalarını ve alan adı ayarlarınızı birlikte gözden geçirmek isterseniz web tasarım ve WordPress geliştirme hizmetlerimize göz atabilir ya da bize ulaşabilirsiniz.