SPF, DKIM ve DMARC Nedir?
SPF, DKIM ve DMARC; bir alan adı adına e-posta göndermeye yetkili sistemleri tanımlayan, iletinin imzasını doğrulayan ve alıcı sunucuya başarısız doğrulamada nasıl davranacağını bildiren standartlardır. Birlikte ve doğru yapılandırıldıklarında alan adı sahteciliğini azaltır, gönderim kaynaklarını görünür hale getirir ve kurumsal e-posta teslim edilebilirliğini yönetmeye yardımcı olurlar.
SPF, DKIM ve DMARC farklı kontroller yapar
Bu üç kayıt birbirinin alternatifi değildir. SPF, zarf gönderici alanı için gönderen sunucunun yetkisini IP veya servis tanımları üzerinden kontrol eder. DKIM, ileti başlığı ve gövdesinin seçilen bölümlerini özel anahtarla imzalar; alıcı, DNS’teki açık anahtarla imzayı doğrular. DMARC ise görünen From alan adıyla SPF veya DKIM sonucunun uyumunu değerlendirir.
DMARC başarısı için SPF ya da DKIM’den en az birinin doğrulanması ve görünen gönderen alan adıyla hizalanması gerekir. Bu ayrım önemlidir; SPF teknik olarak başarılı olsa bile başka bir dönüş adresi kullanıyorsa DMARC uyumu oluşmayabilir. DKIM imzasının farklı bir alan adına ait olması da aynı sonucu doğurabilir.
- SPF
- Alan adı adına e-posta gönderebilecek sunucu ve servisleri DNS kaydında yetkilendirir.
- DKIM
- İletinin yetkili sistem tarafından imzalandığını ve imzalanan içeriğin değişmediğini doğrulamaya yardımcı olur.
- DMARC
- SPF veya DKIM sonucunu görünen From alan adıyla karşılaştırır; raporlama ve alıcı politikası sağlar.
- Hizalama
- Doğrulamayı geçen alan adının, kullanıcının gördüğü gönderen alanıyla kurala uygun biçimde eşleşmesidir.
Tüm gönderim kaynakları DNS değişikliğinden önce bulunmalıdır
Kurumsal e-posta yalnızca Microsoft 365 veya ana posta sunucusundan çıkmayabilir. Web sitesi formları, CRM, ERP, e-fatura, insan kaynakları, destek sistemi, bülten hizmeti, yazıcı ve güvenlik cihazları da alan adı adına ileti gönderebilir. Envantere alınmayan bir kaynak, SPF veya DMARC sıkılaştırıldığında meşru iletilerin reddedilmesine neden olabilir.
Her kaynak için gönderen alanı, dönüş adresi, DKIM desteği, sabit IP ihtiyacı ve hacim bilgisi kaydedilir. Mümkün olduğunda üçüncü taraf gönderimler alt alan adlarına ayrılır. Böylece ana alan adının itibarı korunur, yetki kapsamı daralır ve sorunlu kaynağın raporlarda bulunması kolaylaşır.
- Microsoft 365, Google Workspace veya şirket mail sunucusu
- Web sitesi ve uygulama bildirim servisleri
- CRM, ERP, e-fatura ve insan kaynakları platformları
- Bülten, pazarlama ve toplu gönderim hizmetleri
- Yazıcı, kamera, firewall ve izleme cihazı bildirimleri
- Tedarikçi tarafından kurum alan adıyla gönderilen iletiler
DMARC politikası raporlarla ve kademeli olarak sıkılaştırılır
İlk aşamada DMARC raporlaması etkinleştirilerek alan adı adına gönderim yapan kaynaklar gözlenir. Raporlar hangi sistemlerin SPF veya DKIM doğrulamasını geçtiğini, hizalama hatalarını ve yetkisiz gönderim denemelerini gösterir. Meşru kaynaklar düzeltilmeden doğrudan reddetme politikasına geçmek iş iletilerini durdurabilir.
Envanter tamamlanıp hatalar giderildikten sonra politika izleme seviyesinden karantinaya, ardından uygun kapsamda reddetmeye taşınabilir. Yüzde uygulaması ve alt alan adı politikası kontrollü geçiş için kullanılabilir. Politika değişikliklerinin etkisi, raporlar ve mail akışı üzerinden izlenmeye devam edilmelidir.
- p=none
- İletiye yaptırım uygulamadan doğrulama sonuçlarını raporlarla gözlemlemek için kullanılır.
- p=quarantine
- DMARC kontrolünü geçemeyen iletilerin alıcı tarafından şüpheli veya spam olarak değerlendirilmesini ister.
- p=reject
- DMARC kontrolünü geçemeyen iletilerin reddedilmesini ister; hazırlık tamamlandıktan sonra uygulanmalıdır.
- Raporlama
- Toplu raporlar gönderim kaynaklarını, doğrulama sonuçlarını ve yetkisiz kullanım denemelerini görünür kılar.
Kayıtlar kurulumdan sonra da izlenmeli ve güncellenmelidir
Yeni bir e-posta hizmeti devreye alındığında SPF kapsamı ve DKIM imzası kontrol edilmelidir. Kullanımdan kalkan servisler yetki listesinden çıkarılmalı, DKIM anahtarları sağlayıcı ve risk politikasına göre döndürülmeli, DMARC raporlarında yeni veya beklenmeyen kaynaklar araştırılmalıdır.
Teknik doğrulama teslim edilebilirliğin yalnızca bir bölümüdür. IP ve alan adı itibarı, gönderim hacmi, içerik, kullanıcı şikâyeti, ters DNS ve alıcı politikaları da sonucu etkiler. Bu nedenle “kayıtlar yeşil görünüyor” ifadesi her iletinin gelen kutusuna ulaşacağını garanti etmez.
- Tek ve geçerli SPF kaydının DNS sorgu sınırıyla birlikte kontrolü
- Her aktif gönderim hizmetinde DKIM imzasının doğrulanması
- DMARC toplu raporlarının düzenli incelenmesi
- Yeni servis ekleme ve eski servisi kaldırma prosedürü
- DNS değişikliklerinde TTL ve geri dönüş planı
- Kimlik avı bildirimi ve kullanıcı farkındalığı süreci
Sık Sorulan Sorular
Bir alan adında birden fazla SPF kaydı olabilir mi?
Aynı alan adı için birden fazla ayrı SPF TXT kaydı yayınlamak doğrulama hatasına yol açabilir. Yetkili kaynaklar tek SPF politikası içinde birleştirilmelidir. Kayıt uzunluğu ve DNS sorgu sayısı da kontrol edilmelidir.
DKIM selector nedir?
Selector, aynı alan adı için kullanılan DKIM açık anahtarını ayırt eden etikettir. Gönderen sistem ileti başlığında selector bilgisini taşır; alıcı bu bilgiyle DNS’te doğru anahtarı bulur. Farklı servisler veya anahtar dönüşümü için birden fazla selector kullanılabilir.
p=none alan adını korur mu?
p=none alıcıdan reddetme veya karantina istemez; esas olarak görünürlük ve raporlama sağlar. Yetkisiz gönderimleri bulmak ve meşru kaynakları düzeltmek için geçiş aşamasıdır. Koruma düzeyi hazırlık tamamlandıkça karantina veya reddetme politikasına taşınır.
DMARC doğrudan p=reject yapılmalı mıdır?
Genellikle önce tüm gönderim kaynakları bulunmalı, SPF ve DKIM hizalama sorunları giderilmeli ve raporlar izlenmelidir. Hazırlıksız p=reject, web formu, CRM veya üçüncü taraf gibi meşru kaynakların iletilerini durdurabilir.
E-posta yönlendirme SPF sonucunu neden etkileyebilir?
Yönlendiren sunucunun IP adresi ilk gönderen alanın SPF listesinde olmayabilir. DKIM imzası korunuyorsa DMARC DKIM üzerinden geçebilir; bazı sistemler SRS gibi yöntemler kullanır. Bu nedenle SPF ve DKIM birlikte yapılandırılmalıdır.
SPF, DKIM ve DMARC doğru olduğu halde mail neden spam olabilir?
Bu kayıtlar kimlik doğrulamasını güçlendirir ancak teslim yerini garanti etmez. IP ve alan adı itibarı, içerik, gönderim hacmi, kullanıcı etkileşimi, şikâyetler, liste kalitesi ve alıcı sunucunun politikası da spam kararını etkiler.
Biga Bilişim teknik ekibi tarafından gözden geçirilmiştir.
Teknik Değerlendirme İçin Bize Ulaşın
Alan adınız adına gönderim yapan sistemleri, mevcut DNS kayıtlarını ve DMARC raporlarını inceleyerek kesintisiz bir doğrulama ve sıkılaştırma planı hazırlayalım.