Herkes bir e-postanın "From" (Kimden) satırına istediği adresi yazabilir (e-posta sahteciliği). DNS tabanlı üç standart, alıcı sunucuların bir iletinin gerçekten iddia ettiği alan adından gelip gelmediğini kontrol etmesini sağlar: SPF, DKIM ve DMARC. Gmail ve Yahoo 2024'ten bu yana toplu gönderim yapanlardan bunları zorunlu olarak istiyor ve eksik kayıtlar, e-postaların spam klasörüne düşmesinin yaygın nedenlerinden biri.
SPF: hangi sunucular gönderim yapabilir?
Sender Policy Framework, alan adınız adına posta göndermesine izin verilen sunucuları listeleyen bir TXT kaydıdır.
example.com. TXT "v=spf1 include:_spf.google.com include:sendgrid.net -all"
include:başka bir sağlayıcının sunucularını ekler.ip4:/ip6:belirli adresleri ekler.- Sondaki ifade politikayı belirler:
-all(geri kalan her şey başarısız),~all(softfail: kabul et ama işaretle),?all(nötr).
Alıcı sunucu, bağlanan sunucunun IP adresini Return-Path alan adının kaydıyla karşılaştırır.
Sınırlar: alan adı başına yalnızca bir SPF kaydı, en fazla 10 DNS sorgusu; ayrıca posta iletildiğinde (forwarding) SPF bozulur.
DKIM: her iletide bir imza
DomainKeys Identified Mail, her iletiyi gönderen sunucudaki özel bir anahtarla imzalar. Ortak anahtar DNS'te yayımlanır:
selector1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."
Alıcı, anahtarı almak için DKIM-Signature başlığındaki seçiciyi ve alan adını kullanır ve imzalanan başlıkların ve gövdenin değiştirilmediğini doğrular. DKIM, iletmeden etkilenmez. Yayımlanacak kaydı e-posta sağlayıcınız size verir.
DMARC: hepsini birbirine bağlayan politika
Domain-based Message Authentication, Reporting and Conformance, bir ileti başarısız olduğunda alıcılara ne yapacaklarını söyler ve SPF ya da DKIM'in From adresiyle aynı alan adı için başarılı olmasını şart koşar (hizalama).
_dmarc.example.com. TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@example.com"
| Politika | Etkisi |
|---|---|
p=none |
Yalnızca izle, rapor gönder |
p=quarantine |
Başarısız postaları spam klasörüne koy |
p=reject |
Başarısız postaları reddet |
p=none ile başlayın, tüm meşru gönderenleri bulmak için raporları birkaç hafta boyunca okuyun, ardından quarantine ve reject politikalarına geçin.
Göreceğiniz sonuçlar
| Sonuç | Anlamı |
|---|---|
| pass | Kontrol başarılı |
| fail | Kontrol başarısız; DMARC reject politikasıyla ileti reddedilir |
| softfail | SPF ~all: yetkili değil, ancak doğrudan reddedilmez |
| neutral / none | Politika ya da kayıt yok |
| temperror / permerror | Bir DNS sorunu ya da bozuk bir kayıt |
Bir iletinin sonuçlarını E-posta Başlığı Analizi aracımızla kontrol edin; alan adınızın kayıtlarını, 10 sorgu sınırı dahil, SPF, DKIM ve DMARC Kontrolü aracıyla test edin. Bu araç sizin için doğru kayıtları da oluşturur.
Alan adınız için kurulum kontrol listesi
- Sizin adınıza gönderim yapan her hizmeti listeleyen tek bir SPF kaydı yayımlayın.
- Gönderim yapan her hizmette DKIM imzalamayı açın ve anahtarlarını yayımlayın.
p=noneve bir raporlama adresi içeren bir DMARC kaydı yayımlayın.- Kendi posta sunucunuzu çalıştırıyorsanız eşleşen bir ters DNS kaydı ayarlayın.
- Birkaç hafta sonra DMARC'ı önce
quarantine, ardındanrejectolarak sıkılaştırın.
Sıkça sorulan sorular
Üçüne de ihtiyacım var mı?
Evet. SPF ve DKIM kontrolleri sağlar; DMARC ise alıcıların bu kontrollere göre hareket etmesini sağlar ve alan adınızı sahteciliğe karşı korur.
İletilen postalarda SPF neden başarısız olur?
İleten sunucu SPF kaydınızda yer almaz. DKIM genellikle yine başarılı olur, dolayısıyla DMARC da başarılı olur.
SPF, DKIM ve DMARC tüm oltalama saldırılarını durdurabilir mi?
Başkalarının tam olarak sizin alan adınızı kullanmasını engellerler. Benzer görünümlü alan adlarını engellemezler; bu yüzden gönderen adresini dikkatle okuyun.