SPF ve DMARC Kaydı Nasıl Oluşturulur? Adım Adım Rehber
E-postadaki "Kimden" satırı, zarfın üzerindeki gönderen adresi gibidir: herkes istediğini yazabilir. Bir dolandırıcı muhasebe@sirketiniz.com adresinden müşterilerinize "IBAN'ımız değişti" diye e-posta gönderebilir. Alıcının posta sunucusunun bunu sahte diye eleyebilmesi için iki DNS kaydına ihtiyaç vardır: SPF ve DMARC.
Gmail ve Yahoo, 2024'ten beri toplu gönderim yapan alan adlarından (Gmail için günde 5.000'den fazla ileti) SPF, DKIM ve DMARC istiyor; daha az gönderenlerden de en az SPF veya DKIM bekliyor. Kayıtlarınız eksikse kendi meşru e-postalarınız da spam klasörüne düşebilir.
1. Adım: SPF kaydı
SPF, alan adınız adına e-posta gönderebilecek sunucuları listeleyen bir TXT kaydıdır ve alan adının köküne (@) eklenir.
| Posta hizmeti | SPF kaydı |
|---|---|
| Google Workspace | v=spf1 include:_spf.google.com -all |
| Microsoft 365 | v=spf1 include:spf.protection.outlook.com -all |
| İkisi birden | v=spf1 include:_spf.google.com include:spf.protection.outlook.com -all |
Barındırma firmanızın e-posta hizmetini ya da bir bülten aracını kullanıyorsanız, onların verdiği include: ifadesini de aynı kayda ekleyin.
Sık yapılan SPF hataları
- İki ayrı SPF kaydı: alan adı başına yalnızca bir
v=spf1kaydı olabilir. İki kayıt varsa alıcı ikisini de geçersiz sayar. Yeni bir hizmet eklerken yeni kayıt açmayın, var olanainclude:ekleyin. +allveya?all:+allherkese izin verir; kaydın hiç olmamasından da kötüdür.?allalıcıya hiçbir şey söylemez.-all(reddet) ya da geçiş döneminde~all(şüpheli say) kullanın.- 10 DNS sorgusu sınırı: SPF değerlendirmesi en fazla 10 DNS sorgusuna izin verir (RFC 7208). Çok sayıda
include:bu sınırı aşabilir ve kayıt geçersiz olur.
2. Adım: DKIM
DKIM, giden e-postayı imzalar. Anahtarı posta sağlayıcınızın yönetim panelinden alır, verilen adla (seçici._domainkey) DNS'e TXT kaydı olarak eklersiniz. Google Workspace'te Yönetici Konsolu'ndaki Gmail ayarlarında (E-postanın kimliğini doğrulama), Microsoft 365'te Microsoft Defender portalındaki e-posta kimlik doğrulama ayarlarında (DKIM sekmesi) bulunur.
3. Adım: DMARC kaydı
DMARC, SPF veya DKIM doğrulamasından geçemeyen iletiye ne yapılacağını söyler. _dmarc adıyla bir TXT kaydı eklenir. Önerilen yol üç aşamalıdır:
- İzleme:
v=DMARC1; p=none; rua=mailto:dmarc@ornek.com
Hiçbir ileti engellenmez; size hangi sunucuların adınıza gönderdiğini gösteren raporlar gelir. Birkaç hafta bu raporları izleyin ve meşru göndericileri SPF/DKIM'e ekleyin. - Karantina:
v=DMARC1; p=quarantine; rua=mailto:dmarc@ornek.com
Doğrulanamayan iletiler spam klasörüne gider. - Ret:
v=DMARC1; p=reject; rua=mailto:dmarc@ornek.com
Sahte iletiler teslim edilmez. Hedef budur.
p=none'da kalmak yaygın bir hatadır: kayıt var görünür ama sahte e-posta yine teslim edilir. Aynı şekilde pct= değeri 100'ün altındaysa politika iletilerin yalnızca bir kısmına uygulanır.
Kontrol edin
Kayıtları ekledikten sonra DNS'in yayılması birkaç dakika ile birkaç saat sürebilir. SPF ve DMARC kontrol aracımız kayıtlarınızı yayındaki hâliyle gösterir ve sorun varsa hangi satırın nasıl düzeltileceğini yazar.