Neden gerekli?
E-posta protokolü, gönderen adresinin doğruluğunu kendiliğinden kontrol etmez; herkes herhangi bir adresi “gönderen” olarak yazabilir. Spam ve oltalama maillerinin çoğu bu açığı kullanır. Alıcı sunucular bu nedenle üç soruya yanıt arar:
- SPF: Bu mail, alan adının izin verdiği bir sunucudan mı geldi?
- DKIM: Mail yolda değiştirilmeden, alan adının dijital imzasıyla mı geldi?
- DMARC: SPF veya DKIM başarısız olursa alan adı sahibi ne yapılmasını istiyor ve gönderen adresi bu kontrollerle uyumlu mu?
Google ve Yahoo Şubat 2024'ten, Microsoft ise 2025'ten itibaren kişisel hesaplara yoğun gönderim yapanlardan bu kayıtların tamamını istiyor. Kayıtları eksik olan gönderenlerin mailleri spam klasörüne alınıyor veya reddediliyor.
SPF kaydı
SPF, alan adınız adına mail gönderebilecek sunucuları listeleyen bir TXT kaydıdır. Alan adının köküne (@) eklenir.
| Mail sağlayıcınız | Örnek SPF kaydı |
|---|---|
| Google Workspace | v=spf1 include:_spf.google.com ~all |
| Microsoft 365 | v=spf1 include:spf.protection.outlook.com ~all |
| Hosting firması (cPanel vb.) | Firmanızın verdiği include ifadesi veya sunucu IP'si: v=spf1 ip4:SUNUCU_IP ~all |
| İkisi birden | v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all |
- Alan adında tek bir SPF kaydı olmalıdır; yeni bir servis eklerken mevcut kaydı düzenleyin.
- SPF değerlendirmesi en fazla 10 DNS sorgusuna izin verir. Çok sayıda include eklemek bu sınırı aşabilir.
~all(yumuşak ret) çoğu işletme için güvenli bir başlangıçtır;-alldaha katıdır.
Toplu mail panelimiz gönderimi kendi mail hesabınızın sunucusu üzerinden yaptığı için SPF kaydınıza ek bir ifade eklemenize gerek yoktur; mevcut sağlayıcınızın kaydı yeterlidir.
DKIM imzası
DKIM, giden her maile alan adınıza ait gizli bir anahtarla imza ekler. Alıcı sunucu, DNS'teki açık anahtarla bu imzayı doğrular. DKIM'i mail sağlayıcınızın panelinden açarsınız:
Google Workspace
- Yönetici Konsolu'nda Uygulamalar > Google Workspace > Gmail > E-postanın kimliğini doğrulama bölümüne gidin.
- Alan adınızı seçip yeni kayıt oluşturun. Google size
google._domainkeyadlı bir TXT kaydı verir. - Bu kaydı DNS panelinize ekleyin, birkaç saat sonra Yönetici Konsolu'nda Kimlik doğrulamayı başlat'a basın.
Microsoft 365
- Microsoft Defender portalında E-posta ve işbirliği > İlkeler ve kurallar > Tehdit ilkeleri > E-posta kimlik doğrulama ayarları > DKIM bölümünü açın.
- Alan adınız için verilen
selector1._domainkeyveselector2._domainkeyCNAME kayıtlarını DNS'e ekleyin. - Kayıtlar görüldükten sonra DKIM imzalamayı etkinleştirin.
Hosting firması
cPanel'de E-posta Teslim Edilebilirliği ekranı DKIM kaydının durumunu gösterir; alan adınızın DNS'i başka bir yerdeyse ekrandaki kaydı oraya kopyalamanız gerekir.
DMARC politikası
DMARC, _dmarc adlı bir TXT kaydıdır. SPF veya DKIM'den en az birinin geçmesini ve geçen kontrolün “Gönderen” adresindeki alan adıyla uyumlu olmasını ister. Başlangıç için önerdiğimiz kayıt:
Ad: _dmarc
Tür: TXT
Değer: v=DMARC1; p=none; rua=mailto:[email protected]- p=none ile başlayın. Hiçbir mail engellenmez;
ruaadresine gelen raporlarla hangi sunucuların sizin adınıza mail gönderdiğini görürsünüz. - Meşru göndericileri düzeltin. Raporlarda SPF veya DKIM'den geçemeyen kendi servislerinizi (fatura sistemi, web sitesi formu vb.) yapılandırın.
- p=quarantine'e geçin. Birkaç hafta sorunsuz rapor aldıktan sonra kontrolden geçemeyen mailler spam klasörüne alınır.
- Hazır olduğunuzda p=reject. Alan adınızı taklit eden mailler tamamen reddedilir.
Kayıtları kontrol etmek
Kayıtları ekledikten sonra komut satırından kontrol edebilirsiniz:
nslookup -type=TXT alanadiniz.com
nslookup -type=TXT _dmarc.alanadiniz.com
nslookup -type=TXT google._domainkey.alanadiniz.comDaha pratik bir yol: kendi Gmail adresinize bir mail gönderin, maili açıp Diğer > Orijinali göster'e tıklayın. SPF, DKIM ve DMARC satırlarında “PASS” görüyorsanız kurulum tamamdır. Toplu mail panelimiz de mail hesabınızı bağladığınızda bu üç kaydı otomatik kontrol eder ve eksik olanı gösterir.
Sık yapılan hatalar
- İki ayrı SPF kaydı: Yeni bir servis eklerken eskisini silmeden ikinci bir
v=spf1kaydı eklemek SPF'yi tamamen bozar. - Kaydı yanlış yere eklemek: Alan adınızın nameserver'ı Cloudflare'deyse hosting panelinize eklediğiniz kayıt geçerli olmaz.
- Gönderen adresiyle uyumsuzluk: Mail
[email protected]adresinden gidiyor ama DKIM başka bir alan adıyla imzalanıyorsa DMARC başarısız olur. - DMARC'ı doğrudan reject yapmak: Henüz yapılandırılmamış bir meşru servisiniz varsa o servisin mailleri reddedilir.
Alan adı kayıtlarınız tamamlandıktan sonra çıkış linklerinizi de kendi alan adınıza taşıyabilirsiniz: bülten alan adı kurulumu.