SPF, DKIM ve DMARC Kayıtları: E-posta Teslim Edilebilirlik Rehberi

Gönderdiğiniz e-postalar spam klasörüne düşüyorsa ya da hiç ulaşmıyorsa, sorunun kaynağı büyük olasılıkla eksik kimlik doğrulama kayıtlarıdır. SPF, DKIM ve DMARC; alan adınızdan gönderilen e-postaların gerçekten size ait olduğunu alıcı sunuculara kanıtlayan üç DNS tabanlı standarttır. Gmail ve Yahoo gibi büyük sağlayıcılar, özellikle toplu gönderim yapan alan adları için bu kayıtları fiilen zorunlu tutmaktadır. Bu rehberde üçünü de gerçek kayıt örnekleriyle adım adım yapılandıracağız.

E-postalarınız Neden Spam Klasörüne Düşer?

E-posta protokolü tasarımı gereği, gönderen adresinin (From alanı) sahteciliğe açık olmasına izin verir. Kimlik doğrulama kayıtları olmayan bir alan adından gelen iletiyi alan sunucu, gönderenin gerçekliğini teyit edemez ve iletiyi şüpheli kabul eder. Üç standart bu boşluğu birlikte kapatır:

• SPF: Alan adınız adına hangi sunucuların e-posta göndermeye yetkili olduğunu listeler.
• DKIM: Her iletiye kriptografik imza ekler; içeriğin yolda değiştirilmediğini ve alan adınızdan çıktığını kanıtlar.
• DMARC: SPF/DKIM doğrulaması başarısız olursa alıcının ne yapacağını (hiçbir şey, karantina, ret) belirler ve size rapor gönderilmesini sağlar.

SPF Kaydı Nedir ve Nasıl Eklenir?

SPF (Sender Policy Framework), alan adınızın DNS'ine eklenen bir TXT kaydıdır. Alıcı sunucu, iletiyi getiren sunucunun IP adresini bu listeyle karşılaştırır.

Google Workspace kullanan bir alan adı için tipik kayıt:

Tür: TXT
Ad (Host): @
Değer: v=spf1 include:_spf.google.com ~all

Kendi sunucunuzdan da gönderim yapıyorsanız IP adresini ekleyebilirsiniz:

v=spf1 ip4:203.0.113.10 include:_spf.google.com ~all

Sözdiziminin parçaları şunlardır:

• v=spf1 — kaydın SPF sürüm 1 olduğunu belirtir, her kayıt bununla başlar.
• ip4: / ip6: — yetkili IP adresleri veya blokları.
• include: — başka bir alan adının SPF listesini dahil eder (e-posta servisleri kendi include adreslerini dokümante eder).
• ~all — listede olmayan kaynaklar softfail sayılır (şüpheli işaretlenir); -all ise kesin ret anlamına gelir.

İki kritik kural: Bir alan adında yalnızca bir SPF kaydı bulunabilir ve kayıt değerlendirilirken en fazla 10 DNS sorgusu (include zinciri dahil) yapılabilir. Birden fazla servis kullanıyorsanız hepsini tek kayıtta birleştirin.

DKIM: Dijital İmza ile Kimlik Doğrulama

DKIM (DomainKeys Identified Mail) çift anahtarlı şifreleme kullanır: Gönderen sunucu iletiyi özel anahtarla imzalar, alıcı sunucu DNS'te yayımladığınız genel anahtarla imzayı doğrular. Genel anahtar, selector adı verilen bir öneke sahip TXT kaydında durur:

Tür: TXT
Ad (Host): google._domainkey
Değer: v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ...

Buradaki p= değeri, e-posta sağlayıcınızın size verdiği genel anahtardır (örnekte kısaltılmıştır). Selector adı (google, default, s1 gibi) sağlayıcıya göre değişir. Anahtarı kendiniz üretmezsiniz; süreç tipik olarak şöyledir:

• E-posta sağlayıcınızın panelinde DKIM imzalamayı etkinleştirin.
• Sağlayıcının verdiği selector ve TXT değerini DNS'inize ekleyin.
• Panele dönüp doğrulamayı başlatın; kayıt yayıldığında imzalama devreye girer.

DMARC: Politikanızı Belirleyin

DMARC (Domain-based Message Authentication, Reporting and Conformance), _dmarc alt alanına eklenen TXT kaydıdır. Başlangıç için önerilen kayıt:

Tür: TXT
Ad (Host): _dmarc
Değer: v=DMARC1; p=none; rua=mailto:dmarc-rapor@alanadi.com

Etiketlerin anlamı:

• p= — politika: none (sadece izle), quarantine (spam klasörüne at), reject (tamamen reddet).
• rua= — toplu (aggregate) raporların gönderileceği adres. Alan adınızı kimlerin kullandığını bu raporlardan görürsünüz.
• pct= — politikanın iletilerin yüzde kaçına uygulanacağı (varsayılan 100).
• sp= — alt alan adları için ayrı politika tanımlamak isterseniz kullanılır.

Kayıtları Doğrulama

Kayıtları ekledikten sonra terminalden kontrol edebilirsiniz:

dig TXT alanadi.com +short
dig TXT google._domainkey.alanadi.com +short
dig TXT _dmarc.alanadi.com +short

Windows kullanıyorsanız nslookup -type=TXT alanadi.com aynı işi görür. Ayrıca kendinize bir Gmail adresine test iletisi gönderip iletinin Orijinali göster ekranında SPF: PASS, DKIM: PASS, DMARC: PASS satırlarını kontrol etmek en pratik uçtan uca testtir.

En Sık Yapılan Hatalar

Kayıt değişikliklerinin yayılması TTL süresine bağlı olarak birkaç dakikadan birkaç saate kadar sürebilir. Test ederken sabırlı olun; sonucu doğrulamadan ikinci bir değişiklik yapmak hata ayıklamayı zorlaştırır.

Aşamalı Geçiş Stratejisi

DMARC'ı sıkılaştırmak için acele etmeyin; meşru e-postalarınızı kaybetmemek için şu sırayı izleyin:

Bu üçlüyü doğru kurduğunuzda hem teslim edilebilirliğiniz belirgin biçimde iyileşir hem de alan adınızın sahtecilikte kullanılması büyük ölçüde engellenir. E-posta altyapınızda yapacağınız en yüksek getirili yatırımlardan biri budur.