Yayın: · Güncelleme: · Oner Business Teknik Ekibi
SPF, DKIM ve DMARC, alan adınızın DNS'ine eklenen üç e-posta kimlik doğrulama kaydıdır. SPF hangi sunucuların sizin adınıza e-posta gönderebileceğini listeler, DKIM iletilere doğrulanabilir bir dijital imza ekler, DMARC ise bu kontrolleri görünen gönderen adresiyle eşleştirip başarısız iletilerin izlenmesini, karantinaya alınmasını veya reddedilmesini sağlar. Birlikte sahte e-postayı engeller ve teslim edilebilirliği artırır.
E-posta kimlik doğrulaması neden bu kadar önemli?
E-posta altyapısının temeli olan SMTP, gönderen adresinin gerçekten o kişiye ait olup olmadığını kontrol edecek şekilde tasarlanmamıştır. Bu nedenle kimlik doğrulama kayıtları olmayan bir alan adı adına, örneğin muhasebe@sirketiniz.com.tr görünümüyle, herkes e-posta gönderebilir. Bu açık, özellikle iş e-postası dolandırıcılığında (BEC) kullanılır: tedarikçi adına sahte fatura gönderme, IBAN değişikliği bildirimi ya da yöneticinin ağzından acil ödeme talebi en sık görülen senaryolardır.
İkinci boyut teslim edilebilirliktir. Gmail, Yahoo ve Outlook.com gibi büyük sağlayıcılar, yüksek hacimli göndericiler için SPF, DKIM ve DMARC'ı zorunlu hâle getirdi; kimlik doğrulaması eksik iletiler giderek daha sık spam klasörüne düşüyor veya reddediliyor. Yani bu kayıtlar hem markanızı korur hem de meşru e-postalarınızın hedefe ulaşmasını sağlar.
SPF kaydı nedir ve nasıl yazılır?
SPF (Sender Policy Framework), alan adınızın DNS'ine eklenen bir TXT kaydıdır ve alan adınız adına e-posta göndermeye yetkili sunucuları listeler. Alıcı sunucu, iletiyi gönderen IP adresinin bu listede olup olmadığını kontrol eder. SPF'in denetlediği adres, kullanıcının gördüğü "Kimden" adresi değil, zarf göndericisidir (Return-Path); bu ayrım DMARC'ın neden gerekli olduğunu da açıklar.
Yalnızca Microsoft 365 kullanan bir şirket için örnek kayıt: v=spf1 include:spf.protection.outlook.com -all. Web sitenizin form bildirimleri, CRM veya bülten servisi gibi başka gönderim kaynakları varsa, bunların include: ya da ip4: ifadeleri aynı kayda eklenmelidir.
- Alan adı başına yalnızca bir SPF kaydı olabilir.
- Kayıttaki include, a, mx gibi ifadeler toplamda en fazla 10 DNS sorgusu üretebilir; aşılırsa SPF hata verir.
+allherkese izin verir ve asla kullanılmamalıdır.
DKIM nasıl çalışır?
DKIM (DomainKeys Identified Mail), gönderen sunucunun iletinin başlıklarını ve gövdesini gizli bir anahtarla imzalamasıdır. İmzayı doğrulayacak açık anahtar, DNS'te seçici._domainkey.alanadiniz biçimindeki bir kayıtta yayınlanır. Alıcı sunucu imzayı doğruladığında iletinin gerçekten o alan adının yetkili sisteminden çıktığını ve yolda değiştirilmediğini anlar.
Microsoft 365 ortamında DKIM, Defender portalında alan adı bazında etkinleştirilir ve portalın verdiği iki CNAME kaydı (selector1 ve selector2) DNS'e eklenir. Güncel önerilen anahtar uzunluğu 2048 bittir; anahtarların belirli aralıklarla döndürülmesi (rotation) iyi bir uygulamadır. DKIM, iletiler başka sunucular üzerinden yönlendirildiğinde (forwarding) SPF'e göre daha dayanıklıdır; bu yüzden DMARC için kritik bir destektir.
DMARC nedir ve hizalama neden önemlidir?
DMARC (Domain-based Message Authentication, Reporting and Conformance), SPF ve DKIM'in üzerine kurulan politika katmanıdır ve _dmarc.alanadiniz adresinde bir TXT kaydı olarak yayınlanır. Bir iletinin DMARC'tan geçmesi için SPF veya DKIM'den en az birinin başarılı olması ve doğrulanan alan adının, kullanıcının gördüğü "Kimden" alan adıyla hizalı olması gerekir. Saldırganın kendi alan adıyla SPF'ten geçip sizin adınızı "Kimden" alanına yazması bu kuralla engellenir.
Örnek başlangıç kaydı: v=DMARC1; p=none; rua=mailto:dmarc@ornek.com.tr. Politika seçenekleri şunlardır: none (yalnızca izle ve raporla), quarantine (spam/karantinaya gönder) ve reject (tamamen reddet). pct etiketiyle politika iletilerin bir yüzdesine uygulanarak kademeli geçiş yapılabilir; sp etiketi alt alan adları için ayrı politika tanımlar.
| Özellik | SPF | DKIM | DMARC |
|---|---|---|---|
| DNS kaydı | Alan adında TXT | seçici._domainkey altında TXT veya CNAME | _dmarc altında TXT |
| Ne doğrular? | Gönderen sunucu IP'sinin yetkisini | İletinin imzasını ve bütünlüğünü | SPF/DKIM sonucunun "Kimden" ile hizasını |
| Yönlendirmede (forwarding) | Genellikle bozulur | Çoğunlukla korunur | DKIM hizalıysa geçer |
| Raporlama | Yok | Yok | Toplu (rua) XML raporları |
| Tek başına spoofing'i engeller mi? | Hayır | Hayır | SPF/DKIM ile birlikte evet |
DMARC'ı p=none'dan p=reject'e nasıl geçirirsiniz?
- Gönderim kaynaklarını envanterleyin: Microsoft 365, web sitesi formları, CRM, bülten aracı, e-fatura/ERP bildirimleri, tarayıcı ve yazıcılar.
- SPF'i tamamlayın: Tüm meşru kaynakları tek bir SPF kaydında, 10 sorgu sınırını aşmadan toplayın.
- DKIM'i etkinleştirin: Her servisin kendi alan adınızla imza atmasını sağlayın.
- p=none ile izleyin: rua raporlarını birkaç hafta toplayıp analiz edin; tanımadığınız kaynakları araştırın.
- Kademeli sıkılaştırın: Önce düşük bir pct değeriyle p=quarantine, sorun görülmezse %100 ve ardından p=reject uygulayın.
- İzlemeye devam edin: Yeni bir servis eklendiğinde SPF ve DKIM'i önceden güncelleyin.
En sık yapılan SPF, DKIM ve DMARC hataları nelerdir?
- Farklı ekiplerin eklediği birden fazla SPF kaydı.
- Çok sayıda include nedeniyle 10 DNS sorgusu sınırının aşılması.
- Microsoft 365'te DKIM'in etkinleştirilmeden bırakılması.
- Bülten veya CRM servisinin kendi alan adıyla imza atması, bu yüzden DMARC hizalamasının tutmaması.
- Yıllarca p=none'da kalınması ve raporların hiç okunmaması.
- E-posta göndermeyen alan adlarının korumasız bırakılması.
MTA-STS ve BIMI gibi ek standartlar gerekli mi?
Temel üçlü tamamlandıktan sonra ek standartlar değerlendirilebilir. MTA-STS ve TLS-RPT, sunucular arası e-posta aktarımında şifrelemenin zorunlu tutulmasını ve sorunların raporlanmasını sağlar. BIMI ise desteklenen posta kutularında logonuzun gönderen adının yanında görünmesini sağlar; ancak DMARC'ın quarantine veya reject seviyesinde olmasını ve çoğu sağlayıcıda ek sertifika şartlarını gerektirir.
E-posta güvenliği kontrol listesi
- Alan adında tek ve güncel bir SPF kaydı var.
- SPF 10 DNS sorgusu sınırının altında.
- Tüm gönderim servisleri kendi alan adınızla DKIM imzası atıyor.
- DMARC kaydı rua raporlama adresiyle yayında.
- DMARC politikası quarantine veya reject seviyesinde.
- E-posta göndermeyen alan adları v=spf1 -all ve p=reject ile korunuyor.
- Gelen e-postalar için oltalama ve zararlı ek koruması etkin.
Sık Sorulan Sorular
Evet, üçü birbirini tamamlar. SPF hangi sunucuların alan adınız adına gönderim yapabileceğini, DKIM iletinin değiştirilmeden sizin sisteminizden çıktığını doğrular. DMARC ise bu iki kontrolün sonucunu kullanıcının gördüğü gönderen adresiyle eşleştirir ve başarısız iletilere ne yapılacağını belirler. Tek başına SPF veya DKIM, sahte gönderen adresli e-postaları engellemekte yetersiz kalır; koruma DMARC ile tamamlanır.
Hayır. Bir alan adında yalnızca bir SPF kaydı (v=spf1 ile başlayan tek bir TXT kaydı) bulunmalıdır. Birden fazla SPF kaydı olduğunda alıcı sunucular sonucu hata olarak değerlendirir ve doğrulama başarısız olur. Farklı gönderim servislerini eklemek için tüm include ve ip4 ifadeleri tek bir kayıtta birleştirilmelidir. Ayrıca kaydın toplamda on DNS sorgusu sınırını aşmamasına dikkat edilmelidir.
-all (hard fail), listede olmayan sunuculardan gelen iletilerin reddedilmesi gerektiğini; ~all (soft fail) ise şüpheli sayılması gerektiğini belirtir. DMARC kullanılan ortamlarda nihai kararı çoğunlukla DMARC politikası verdiği için ~all yaygın ve güvenli bir tercihtir. Tüm gönderim kaynaklarınızın kayıtta olduğundan eminseniz -all kullanılabilir. +all ise herkese izin verdiği için asla kullanılmamalıdır.
p=none yalnızca izleme modudur; sahte iletiler teslim edilmeye devam eder ama raporlarla görünür hâle gelir. Başlangıç için doğru adımdır, çünkü meşru gönderim kaynaklarınızı keşfetmenizi sağlar. Ancak gerçek koruma için raporlar incelenip tüm meşru kaynaklar SPF ve DKIM ile doğrulandıktan sonra politika kademeli olarak p=quarantine ve ardından p=reject seviyesine yükseltilmelidir. Uzun süre p=none'da kalmak koruma sağlamaz.
rua etiketiyle belirtilen adrese alıcı sunucular genellikle günlük olarak XML formatında toplu raporlar gönderir. Bu raporlarda hangi IP adreslerinin alan adınız adına ne kadar e-posta gönderdiği ve SPF, DKIM, DMARC sonuçları yer alır. XML dosyalarını elle okumak zordur; bu nedenle raporları grafiklere dönüştüren bir DMARC analiz aracı kullanmak, meşru ve sahte kaynakları ayırt etmeyi büyük ölçüde kolaylaştırır.
Microsoft 365 için SPF kaydına include:spf.protection.outlook.com eklenir. DKIM, Microsoft Defender portalında alan adı için etkinleştirilir ve portalın verdiği iki CNAME kaydı (selector1 ve selector2) DNS'e eklenir. Son olarak _dmarc alt alanına bir DMARC TXT kaydı oluşturulur. Varsayılan onmicrosoft.com imzası yerine kendi alan adınızla DKIM imzası kullanmak, DMARC hizalaması için önemlidir.
Doğru yapılandırılmış SPF, DKIM ve DMARC, alıcı sunucuların iletilerinize güvenmesini sağlayan temel şartlardır ve teslim edilebilirliği belirgin biçimde iyileştirir. Büyük e-posta sağlayıcıları, özellikle yüksek hacimli göndericilerden bu kayıtları artık açıkça bekliyor. Ancak içerik kalitesi, gönderim IP itibarı, şikâyet oranları ve abonelikten çıkma seçenekleri de spam kararını etkiler; kimlik doğrulama gerekli ama tek başına yeterli değildir.
Kullanılmayan veya yalnızca web sitesi için tutulan alan adları da saldırganlarca sahte gönderen olarak kullanılabilir. Bu alan adlarına v=spf1 -all şeklinde hiçbir sunucuya izin vermeyen bir SPF kaydı ve p=reject politikalı bir DMARC kaydı eklemek, sahte iletilerin reddedilmesini sağlar. Bu basit önlem, marka adınızın dolandırıcılık amacıyla kötüye kullanılmasını önemli ölçüde zorlaştırır.
E-posta kimlik doğrulamanızı birlikte yapılandıralım mı?
Oner Business Teknolojileri, İzmir Alsancak'taki ekibiyle şirketinizin DNS kayıtlarının SPF, DKIM ve DMARC standartlarına uygun olup olmadığını ücretsiz olarak analiz ediyor, gönderim kaynaklarınızı envanterleyip p=reject hedefine güvenli bir geçiş planı uyguluyor. Microsoft'un yetkili iş ortağı olarak Microsoft 365 çözümlerimiz kapsamında Microsoft 365 e-posta güvenliği yapılandırmasını üstleniyor, DKIM/DMARC yapılandırmasını ücretsiz yapıyor, siber güvenlik hizmetlerimizle oltalama ve fidye yazılımına karşı katmanlı koruma sağlıyoruz. Oltalama e-postalarının fidye yazılımına nasıl kapı açtığını ransomware rehberimizde okuyabilir, ücretsiz SPF, DKIM ve DMARC analizi için bize ulaşabilirsiniz.