On dakikada SPF, DKIM ve DMARC

Hayatınızın en iyi e-postasını yazıp kimsenin okumamasıyla karşılaşabilirsiniz. Konu satırı zayıf olduğu için değil, onu alan sunucu e-postayı gerçekten sizin gönderip göndermediğinizi bilmediği ve şüpheye düştüğünde spam klasörüne attığı için.

Bu şüpheyi gidermek için alan adınızın DNS’inde yayımlanan üç kayıt vardır: SPF, DKIM ve DMARC. 2024’ten beri Gmail ve Yahoo, kullanıcılarına e-posta gönderenlerden bunları istiyor; 2025’ten beri Outlook da. İyi haber şu ki bunlar bir kez, yaklaşık on dakikada ayarlanır ve bir daha dokunmanız gerekmez. Bu yazıda her birinin ne yaptığını, Google Workspace ve Microsoft 365’te nasıl ayarlandığını ve çalıştığının nasıl kontrol edileceğini anlatıyoruz.

Sorun: adresinizi herkes yazabilir

E-posta, kimsenin kimlik taklidini düşünmediği bir dönemde tasarlandı. Protokol, herhangi bir sunucunun “Kimden: ayse@sirketiniz.com” diyen bir ileti göndermesine izin verir; tıpkı herkesin bir zarfın arkasına gönderen olarak sizin adresinizi yazabilmesi gibi.

SPF, DKIM ve DMARC, zarfın size ait olduğunu kanıtlamanın yoludur. Her biri farklı bir soruyu yanıtlar:

• SPF: Bu sunucunun bu alan adı adına e-posta gönderme izni var mı?
• DKIM: İleti alan adının imzasını taşıyor mu ve yolda değiştirilmemiş mi?
• DMARC: Yukarıdakilerden biri başarısız olursa e-postayı alan taraf ne yapmalı? Ve bunu kime bildirmeli?

İyi bir benzetme taahhütlü mektuptur: SPF, sizin adınıza gönderim yapmaya yetkili postanelerin listesidir; DKIM mühürdür; DMARC ise varış postanesine bıraktığınız, mühürsüz bir mektupla ne yapılacağına dair talimatlardır.

SPF: sizin adınıza kim gönderebilir

SPF (Sender Policy Framework), alan adınızda bulunan ve alan adınız adına e-posta gönderebilecek sunucuların listesini içeren bir metin (TXT) kaydıdır. Bir ileti geldiğinde alıcı sunucu iletinin nereden geldiğine bakar ve bunu bu listeyle karşılaştırır.

Bir SPF kaydı şöyle görünür:

v=spf1 include:_spf.google.com ~all

• v=spf1 bunun bir SPF kaydı olduğunu belirtir.
• include:_spf.google.com Google Workspace sunucularını yetkilendirir. Microsoft 365’te bu include:spf.protection.outlook.com olurdu.
• ~all başka herhangi bir sunucunun “muhtemelen” yetkili olmadığını söyler (yumuşak hata). -all ile hata katıdır.

Üç yaygın hata:

1. İki SPF kaydına sahip olmak. Her alan adı için yalnızca bir tane olabilir. Google Workspace’in yanında e-posta gönderen bir faturalama aracı da kullanıyorsanız iki include aynı kayda girer: v=spf1 include:_spf.google.com include:digerhizmet.com ~all.
2. On sorguyu aşmak. Her include bir DNS sorgusu sayılır ve bazıları içinde başkalarını barındırır. Standart en fazla on sorgu belirler; bunun üzerinde kontrol başarısız olur.
3. Bir hizmeti unutmak. Listede olmayan bir sunucudan gönderim yapıyorsanız (web siteniz, CRM’iniz, kendi SMTP’si olan bir müşteri bulma aracı) bu e-postalar SPF kontrolünden geçemez.

DKIM: her e-postanın imzası

DKIM (DomainKeys Identified Mail), her e-postaya dijital bir imza ekler. Sağlayıcınız iletiyi yalnızca kendisinde bulunan özel bir anahtarla imzalar, siz de herkesin imzayı doğrulayabilmesi için açık anahtarı DNS’te yayımlarsınız. Biri yolda iletinin tek bir virgülünü değiştirirse imza artık tutmaz.

SPF’in aksine DKIM anahtarını siz uydurmazsınız: e-posta sağlayıcınız oluşturur, siz yalnızca DNS’e kopyalarsınız.

• Google Workspace: Yönetici konsolunda Apps › Google Workspace › Gmail › Authenticate email bölümüne gidin, 2048 bitlik bir anahtar oluşturun ve size verilen TXT kaydını google._domainkey adıyla kopyalayın. Ardından konsola dönüp Start authentication düğmesine basın.
• Microsoft 365: Microsoft Defender portalında, alan adınızın DKIM ayarlarında size iki CNAME kaydı gösterilir (selector1._domainkey ve selector2._domainkey). Bunları DNS’inizde oluşturur ve imzalamayı etkinleştirirsiniz.

._domainkey öncesindeki kısma seçici (selector) denir. Aynı alan adının birden fazla anahtarı olabilmesini sağlar; örneğin biri Google için, biri faturalama aracınız için.

DMARC: bir şey başarısız olduğunda ne yapılmalı

SPF ve DKIM bazı şeyleri kontrol eder ama başarısız olurlarsa ne yapılacağını söylemez. Bunu DMARC (Domain-based Message Authentication, Reporting and Conformance) söyler ve önemli bir koşul ekler: hizalama. E-postanın SPF ya da DKIM’den geçmesi yetmez; bu kontrollerden geçen alan adı, alıcının gördüğü “Kimden:” alanındaki alan adıyla aynı olmalıdır.

DMARC kaydı, alan adınızda _dmarc adıyla oluşturulan başka bir TXT kaydıdır:

v=DMARC1; p=none; rua=mailto:dmarc@sirketiniz.com

• p= politikadır: none (hiçbir şey yapma, yalnızca bana bildir), quarantine (spam klasörüne gönder) ya da reject (reddet).
• rua= büyük sağlayıcıların size, alan adınız adına kimin e-posta gönderdiğini ve bunların kontrollerden geçip geçmediğini gösteren günlük raporları gönderdiği adrestir.

Hiçbir şeyi bozmadan nasıl ilerlenir:

1. p=none ve bir rua adresiyle başlayın. Google, Yahoo ve Microsoft’un istediği asgari budur.
2. Birkaç hafta boyunca raporlara bakın (bunları okunabilir hâle getiren ücretsiz hizmetler var). Başarısız olan meşru hizmetleri arayın: form gönderen web siteniz, faturalama aracınız, bülteniniz.
3. Meşru olan her şey geçtiğinde p=quarantine seviyesine, daha sonra da p=reject seviyesine çıkın. Bundan sonra alan adınızı taklit etmeye çalışan biri için iş çok zorlaşır.

Gmail, Yahoo ve Outlook ne istiyor?

Şubat 2024’ten beri Google ve Yahoo tüm gönderenlerden SPF ya da DKIM istiyor. Gmail hesaplarına günde 5.000’den fazla e-posta gönderenlerden ise ek olarak SPF, DKIM ve DMARC (p=none yeterlidir), “Kimden:” alan adıyla hizalama, tek tıkla abonelikten çıkma ve %0,3’ün altında bir spam şikâyeti oranı istiyor. Mayıs 2025’ten beri Outlook da yüksek hacimli gönderenlerden aynısını istiyor.

Posta kutunuzdan müşteri adaylarına ulaşıyorsanız muhtemelen günde 5.000’e varmıyorsunuzdur. Ama filtreler yalnızca kuralları uygulamaz; güveni de puanlar. Üç kaydı doğru ayarlanmış bir alan adı, az gönderse bile bu kayıtlara sahip olmayan bir alan adına göre bir adım önde başlar.

Çalıştığı nasıl kontrol edilir?

En basit yol herhangi bir araç gerektirmez:

1. Posta kutunuzdan bir Gmail hesabına kendinize bir e-posta gönderin.
2. E-postayı açın, üç noktaya tıklayın ve Orijinali göster seçeneğini seçin.
3. En üstte üç satır göreceksiniz: SPF: PASS, DKIM: PASS ve DMARC: PASS. Biri FAIL diyorsa ya da hiç görünmüyorsa neyi kontrol etmeniz gerektiğini artık biliyorsunuz.

DNS değişikliklerinin yayılmasının birkaç dakikadan birkaç saate kadar sürebileceğini unutmayın. Yeni bir kayıt oluşturduysanız ve kontrol başarısız oluyorsa başka bir şeye dokunmadan önce biraz bekleyin.

On dakikalık kontrol listesi

• Sizin adınıza gönderim yapan tüm hizmetleri içeren tek bir SPF kaydı.
• Sağlayıcınızda (Google Workspace ya da Microsoft 365) oluşturulmuş, DNS’te yayımlanmış ve etkinleştirilmiş DKIM.
• _dmarc adında, p=none ve raporlar için bir rua adresi içeren DMARC kaydı.
• Gmail’de “Orijinali göster” ile test: üç PASS.
• Birkaç hafta içinde raporları gözden geçirip quarantine seviyesine çıkmak.

Bununla, yazmak için bu kadar emek verdiğiniz e-postanın en azından birinin onu okuması için bir şansı olur.