SPF, DKIM ve DMARC nedir? Teknik olmayanlar için sade anlatım

E-posta pazarlamasıyla uğraşan herkes bir noktada bu üç kısaltmayla karşılaşır: SPF, DKIM ve DMARC. Genellikle "bunları IT halletsin" diye geçiştirilir. Oysa bu üç kayıt, e-postalarınızın gelen kutusuna mı yoksa spam klasörüne mi gideceğini belirleyen en önemli etkenlerden biridir.

Bu yazıda konuyu teknik detaylara boğmadan, bir mektup benzetmesiyle anlatacağız. Amacımız, en azından ne sorulacağını ve neyin kontrol edileceğini bilmeniz.

Önce sorun: e-postada sahtecilik çok kolay

E-posta, ilk tasarlandığında güvenlik düşünülerek yapılmamıştı. Teknik olarak herkes, "Kimden" alanına istediği adresi yazarak e-posta gönderebilir. Dolandırıcıların bankalar ya da tanınmış markalar adına sahte e-posta göndermesinin temelinde bu açık yatar.

SPF, DKIM ve DMARC bu açığı kapatmak için geliştirilmiş üç tamamlayıcı yöntemdir. Hepsi alan adınızın DNS ayarlarına eklenen kısa metin kayıtlarıdır.

SPF: "Benim adıma kimler mektup gönderebilir?"

Bir şirketin adına mektup gönderebilecek kişilerin listesini postaneye bıraktığını düşünün. Postane, gelen her mektubu bu listeyle karşılaştırır.

SPF (Sender Policy Framework) tam olarak budur: alan adınız adına e-posta göndermeye yetkili sunucuların listesi. Örneğin hem kendi e-posta sunucunuzdan hem de bir e-posta gönderim servisinden gönderim yapıyorsanız, ikisinin de SPF kaydınızda yer alması gerekir.

Dikkat edilecek noktalar:

• Bir alan adında yalnızca tek SPF kaydı olmalıdır. İki ayrı SPF kaydı eklemek, kaydı geçersiz hâle getirir. Yeni bir servis eklerken mevcut kaydı güncelleyin.
• Kullanmayı bıraktığınız servisleri kayıttan çıkarın.
• SPF kaydının içinde başka kayıtlara yapılan atıfların sayısı sınırlıdır; çok fazla servis eklemek kaydı bozabilir.

DKIM: "Bu mektup yolda açılmadı"

Eski zamanlarda önemli mektuplar mühürlenirdi. Alıcı mühür sağlamsa mektubun gerçekten o kişiden geldiğini ve yolda değiştirilmediğini anlardı.

DKIM (DomainKeys Identified Mail) e-postanın dijital mührüdür. Gönderim sırasında e-postaya bir imza eklenir; alıcı sunucu, alan adınızın DNS'inde yayımlanan anahtarla bu imzayı doğrular. İmza tutuyorsa e-posta gerçekten sizin yetkilendirdiğiniz bir yerden gelmiştir ve içeriği değiştirilmemiştir.

E-posta gönderim servislerinin çoğu size eklemeniz gereken DKIM kayıtlarını verir. Bu kayıtları DNS'e ekleyip servis panelinde doğrulamayı tamamlamadan gönderime başlamamak iyi bir alışkanlıktır.

DMARC: "Sahte mektup gelirse ne yapayım?"

SPF ve DKIM kontrol yapar ama kontrol başarısız olursa ne olacağını söylemez. İşte DMARC (Domain-based Message Authentication, Reporting and Conformance) bu boşluğu doldurur. Alan adı sahibinin postaneye bıraktığı talimattır: "Benim adıma gelen ama doğrulanamayan mektupları şöyle işle."

DMARC politikasının üç düzeyi vardır:

• p=none: Hiçbir şey yapma, yalnızca bana rapor gönder. Başlangıç için idealdir.
• p=quarantine: Doğrulanamayan e-postaları spam klasörüne koy.
• p=reject: Doğrulanamayan e-postaları tamamen reddet.

DMARC'ın önemli bir kavramı da hizalamadır: SPF ya da DKIM'in doğruladığı alan adının, alıcının gördüğü "Kimden" adresindeki alan adıyla uyuşması gerekir. Gönderim servisinin kendi alan adıyla imzalanan bir e-posta DKIM'den geçse bile DMARC açısından hizalı sayılmayabilir. Bu yüzden servisinizde "kendi alan adınızla imzalama" seçeneğini kurmanız önemlidir.

Üçü birlikte nasıl çalışır?

Bir e-posta alıcı sunucuya ulaştığında kabaca şu sırayla kontrol edilir:

1. Gönderen sunucu bu alan adı adına gönderim yapmaya yetkili mi? (SPF)
2. E-postadaki imza geçerli mi, içerik değişmemiş mi? (DKIM)
3. Bu kontrollerden en az biri "Kimden" alan adıyla hizalı biçimde geçti mi? Geçmediyse alan adı sahibi ne yapılmasını istiyor? (DMARC)

Üçü de düzgün kurulduğunda sağlayıcılar sizi güvenilir bir gönderici olarak tanır, sahte e-postalar da markanızın adını kullanamaz.

Adım adım güvenli kurulum yolu

1. Alan adınız adına e-posta gönderen tüm servisleri listeleyin: kurumsal e-postanız, pazarlama e-posta servisi, e-ticaret sitenizin sipariş e-postaları, fatura sistemi vb.
2. Bu servislerin hepsini kapsayan tek bir SPF kaydı oluşturun.
3. Her servis için DKIM'i açın ve verilen kayıtları DNS'e ekleyin.
4. p=none politikasıyla bir DMARC kaydı ekleyin ve rapor adresi tanımlayın.
5. Bir süre gelen raporları izleyin; unuttuğunuz bir gönderim kaynağı var mı görün.
6. Her şey düzgünse politikayı kademeli olarak quarantine, sonra isterseniz reject düzeyine çıkarın.

İpucu: DMARC'ı doğrudan reject ile başlatmak, unuttuğunuz bir servisin (örneğin fatura e-postalarının) bir anda hiç ulaşmamasına yol açabilir. Acele etmeyin.

Sık karşılaşılan sorunlar

• "SPF'im var ama e-postalar yine FAIL veriyor": Büyük ihtimalle kullandığınız gönderim servislerinden biri kayıtta yok ya da alan adında birden fazla SPF kaydı bulunuyor.
• "DKIM kaydını ekledim ama doğrulanmıyor": DNS değişikliklerinin yayılması zaman alabilir. Ayrıca bazı DNS panelleri kayıt adının sonuna alan adını kendiliğinden ekler; kayıt adını iki kez yazmış olabilirsiniz.
• "DMARC raporları anlaşılmıyor": Raporlar makinelerin okuması için hazırlanmış dosyalardır. Bunları özetleyen araçlardan yararlanabilir ya da en azından hangi kaynakların doğrulamadan geçemediğine bakarak başlayabilirsiniz.
• "Alan adımı başka bir firma yönetiyor": Web ajansınız ya da hosting firmanız DNS'i yönetiyorsa, bu yazıdaki adımları onlarla paylaşın ve her kaydın neden eklendiğini not alın. İleride servis değiştirdiğinizde bu notlar çok işinize yarar.

Kayıtlarınızı nasıl kontrol edersiniz?

En basit yol, kendi Gmail adresinize bir e-posta gönderip "Orijinali göster" seçeneğine bakmaktır. Orada SPF, DKIM ve DMARC sonuçlarını "PASS" ya da "FAIL" olarak görürsünüz. Ayrıca DNS kayıtlarını sorgulayan çevrim içi araçlarla da kayıtlarınızın sözdizimini kontrol edebilirsiniz.

KuleConnect'te e-posta gönderim ayarlarınızı yaparken alan adınızın SPF, DKIM ve DMARC durumu denetlenir; eksik ya da hatalı bir kayıt varsa gönderime başlamadan görürsünüz. Kurulumda takıldığınız bir nokta olursa yardım merkezimize göz atabilirsiniz.