SPF, DKIM ve DMARC Nedir? E-postalarınız Neden Spam Klasörüne Düşer?

Müşterinize gönderdiğiniz teklif e-postası spam klasörüne düştüyse ya da tanımadığınız kişilerden "bana garip bir e-posta gönderdiniz" mesajı aldıysanız, sorun büyük ihtimalle alan adınızın e-posta doğrulama ayarlarındadır. Bu ayarlar üç kısaltmayla anılır: SPF, DKIM ve DMARC.

Neden artık daha önemli?

E-posta protokolü ilk tasarlandığında gönderenin kimliğini doğrulamak için bir yöntem içermiyordu. Bu açık, sahte e-postaların ve oltalama saldırılarının yolunu açtı. Gmail ve Yahoo 2024'ten itibaren, Microsoft ise 2025'ten itibaren yüksek hacimde gönderim yapan alan adlarından SPF, DKIM ve DMARC kayıtlarını zorunlu olarak talep etmeye başladı. Az sayıda e-posta gönderen işletmeler için de bu kayıtlar teslim edilebilirliği belirgin şekilde etkiliyor.

SPF: Kim benim adıma gönderebilir?

SPF (Sender Policy Framework), alan adınız adına e-posta göndermeye yetkili sunucuları listeleyen bir DNS kaydıdır. Alıcı sunucu, gelen e-postanın bu listedeki bir sunucudan gelip gelmediğine bakar. Örnek bir SPF kaydı şöyle görünür:

v=spf1 include:_spf.e-posta-saglayiciniz.com ~all

Dikkat edilmesi gerekenler:

• Bir alan adında yalnızca bir SPF kaydı olmalıdır; birden fazla kayıt hataya yol açar.
• E-posta gönderen tüm servisler (e-posta sunucusu, web sitesi formları, bülten ve fatura programları) kayda eklenmelidir.
• SPF kaydının değerlendirilmesi sırasında yapılan DNS sorgusu sayısı 10 ile sınırlıdır; çok fazla servis eklemek kaydı geçersiz kılabilir.

DKIM: Bu e-posta yolda değişti mi?

DKIM (DomainKeys Identified Mail), gönderdiğiniz her e-postaya dijital bir imza ekler. İmzanın doğrulanması için gereken açık anahtar alan adınızın DNS kayıtlarında yayınlanır. Alıcı sunucu bu anahtarla imzayı kontrol eder; imza doğruysa e-postanın gerçekten sizden geldiği ve yolda değiştirilmediği anlaşılır.

DKIM kaydı genellikle secici._domainkey.firmaniz.com.tr biçimindeki bir adreste bulunur. Anahtarı e-posta servisiniz üretir; siz yalnızca DNS'e eklersiniz.

DMARC: Doğrulamadan geçemeyene ne yapılsın?

DMARC, SPF ve DKIM kontrollerinden geçemeyen e-postalara ne yapılacağını belirleyen politikadır. Aynı zamanda alan adınız adına kimlerin e-posta göndermeye çalıştığını size raporlar. Örnek bir DMARC kaydı:

v=DMARC1; p=none; rua=mailto:dmarc-rapor@firmaniz.com.tr

Politika (p) üç değer alabilir:

• none: Yalnızca izle ve raporla; e-postalara müdahale etme.
• quarantine: Doğrulamadan geçemeyen e-postaları spam klasörüne gönder.
• reject: Doğrulamadan geçemeyen e-postaları reddet.

Doğru kurulum sırası

1. Alan adınızdan e-posta gönderen tüm servisleri listeleyin.
2. SPF kaydını bu servislerin tamamını kapsayacak şekilde tek kayıt olarak oluşturun.
3. Her servis için DKIM'i etkinleştirin ve anahtarlarını DNS'e ekleyin.
4. DMARC'ı p=none ile başlatın ve raporları birkaç hafta izleyin.
5. Tüm meşru göndericilerin doğrulamadan geçtiğini gördükten sonra politikayı kademeli olarak quarantine ve reject seviyesine çıkarın.

DMARC'ı doğrudan reject ile başlatmak, unutulmuş bir servisin e-postalarının hiç ulaşmamasına yol açabilir. Kademeli ilerlemek en güvenli yoldur.

Kayıtlarınızı nasıl kontrol edersiniz?

Kendinize gönderdiğiniz bir e-postanın "orijinali göster" veya "ileti başlıkları" bölümünde SPF, DKIM ve DMARC sonuçlarını görebilirsiniz. "PASS" ifadesi kaydın doğru çalıştığını gösterir.

Bu kayıtların kurulumu ve takibi için e-posta güvenliği hizmetimizden yararlanabilirsiniz.