SPF, DKIM ve DMARC Nasıl Çalışır? Kurumsal E-posta Rehberi

SPF, DKIM ve DMARC; alan adınızdan gönderilen e-postaların doğrulanmasına yardımcı olan üç tamamlayıcı mekanizmadır. Tek başına spam garantisi vermezler, ancak doğru yapılandırıldıklarında sahte gönderim riskini azaltır ve alıcı sunuculara daha güvenilir sinyaller sunar.

SPF neyi doğrular?

SPF kaydı, alan adınız adına e-posta göndermesine izin verilen sunucu ve hizmetleri listeler. TXT kaydı olarak yayımlanır. Web sunucusu, kurumsal posta sağlayıcısı ve e-posta pazarlama servisi kullanılıyorsa tüm yetkili kaynaklar politika içinde değerlendirilmelidir.

Bir alan adı için birden fazla bağımsız SPF kaydı oluşturmak doğrulama hatasına yol açabilir. Mevcut kayıt varsa yeni kaynak aynı politika içine eklenmelidir.

DKIM ne sağlar?

DKIM, gönderilen e-postaya dijital imza ekler. Alıcı sunucu DNS'te yayımlanan açık anahtarla bu imzayı kontrol eder. Böylece iletinin yetkili sistem tarafından imzalandığı ve taşıma sırasında belirli bölümlerinin değiştirilmediği doğrulanabilir.

DKIM kaydındaki selector değeri posta hizmetine göre değişir. Sağlayıcının verdiği kayıt adı ve TXT değerini eksiksiz kullanın.

DMARC politikası

DMARC, SPF ve DKIM sonuçlarını alan adı uyumuyla birlikte değerlendirir. Ayrıca doğrulama raporlarının hangi adrese gönderileceğini ve başarısız iletilere nasıl davranılacağını belirtir.

Yeni kurulumda önce raporlama amaçlı p=none politikasıyla başlamak, meşru gönderim kaynaklarını gözlemlemeyi kolaylaştırır. Raporlar kontrol edilmeden doğrudan katı reddetme politikasına geçmek geçerli e-postaların engellenmesine neden olabilir.

Önerilen uygulama sırası

1. Tüm e-posta gönderim kaynaklarını listeleyin.
2. Tek ve geçerli SPF kaydı oluşturun.
3. Her gönderim hizmetinde DKIM'i etkinleştirin.
4. DMARC'ı raporlama politikasıyla başlatın.
5. Raporlarda bilinmeyen kaynakları araştırın.
6. Hazır olduğunuzda politikayı kademeli olarak sıkılaştırın.

rDNS neden ayrıca önemlidir?

Mail sunucusunun IP adresi için PTR/rDNS kaydı, sunucu adını işaret etmelidir. PTR kaydı genellikle IP adresini sağlayan hosting firması üzerinden yönetilir. Sunucu adı, ileri DNS kaydı ve posta servisinin selamlama adı birbiriyle uyumlu olmalıdır.

Örnek kayıtlar

Web sitesi ve e-postası Fiberserver hostingde olan bir alan adı için tipik kayıtlar şöyledir (alan adı ve sunucu adını kendinize göre değiştirin):

ornek.com.          TXT  "v=spf1 a mx -all"
default._domainkey  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBg...IDAQAB"
_dmarc              TXT  "v=DMARC1; p=none; rua=mailto:dmarc@ornek.com"

• a mx: web sunucusunun A kaydı ve MX'te tanımlı posta sunucusu gönderim yapabilir.
• Google Workspace, Microsoft 365 veya bir pazarlama servisi de kullanıyorsanız include:_spf.google.com gibi ifadeleri aynı kayda ekleyin.
• -all listede olmayan kaynakları reddeder; emin değilseniz önce ~all (softfail) ile başlayın.

Sık yapılan hatalar

• Birden fazla SPF kaydı: Alan adında iki ayrı v=spf1 kaydı varsa doğrulama tamamen başarısız olur. Tek kayıtta birleştirin.
• 10 DNS sorgu sınırı: SPF'teki include, a, mx ifadelerinin toplam sorgu sayısı 10'u geçerse kayıt geçersiz sayılır. Kullanılmayan servisleri çıkarın.
• +all kullanmak: Herkese gönderim izni verir, SPF'i anlamsız kılar.
• DKIM anahtarını eksik kopyalamak: Uzun TXT değerleri bazı panellerde parçalara bölünür; sonundaki karakterlerin kesilmediğini kontrol edin.
• DMARC'ı doğrudan p=reject ile başlatmak: Raporları görmeden sıkılaştırmak meşru e-postaları da engeller.

Kayıtları nasıl doğrularsınız?

Kendinize bir test e-postası gönderip alıcı tarafta iletinin kaynağını (Gmail'de "Orijinali göster") açın; Authentication-Results satırında spf=pass, dkim=pass ve dmarc=pass görmelisiniz. Komut satırından kayıtları şöyle sorgulayabilirsiniz:

dig TXT ornek.com +short
dig TXT default._domainkey.ornek.com +short
dig TXT _dmarc.ornek.com +short

Fiberserver hostingde kurulum

cPanel'deki E-posta Teslimi (Email Deliverability) aracı SPF ve DKIM kayıtlarını sizin için üretir; DNS'iniz bizde ise "Düzelt" butonuyla tek tıkla yayınlar. DNS başka bir sağlayıcıdaysa aracın gösterdiği değerleri oraya kopyalayın. Mail sunucunuzun rDNS kaydı Fiberserver sunucularında otomatik tanımlıdır; kendi Cloud VDS'inizde posta sunucusu çalıştırıyorsanız PTR kaydını FiberVM panelinden sunucu adınıza göre düzenleyin.