SPF, DKIM ve DMARC Nedir? E-postalarınızın Spama Düşmesini Önleyin

Kâğıt bir mektubun zarfına istediğiniz gönderen adını yazabilirsiniz; postacı bunu kontrol etmez. E-posta da aslında böyle tasarlandı: "Kimden" satırına herhangi bir adres yazılabilir. Dolandırıcıların bankalar ve şirketler adına sahte e-posta gönderebilmesinin sebebi budur. SPF, DKIM ve DMARC, alıcı tarafın "bu e-posta gerçekten o alan adından mı geliyor?" sorusunu cevaplayabilmesi için sonradan eklenen üç katmandır.

Bu yazı, kendi alan adıyla (domain) e-posta kullanan küçük işletmeler ve site sahipleri için. Burada geçen DNS, TXT kaydı gibi terimlerin kısa açıklamalarını internet terimleri sözlüğümüzde bulabilirsiniz.

Üç kaydın görevi bir bakışta

TXT kaydı, DNS'te düz metin bilgi tutan kayıt türüdür. Diğer kayıt türlerinin ne işe yaradığını DNS sorgulama sayfamızda tablo halinde anlattık.

SPF: Yetkili gönderenlerin listesi

SPF (Sender Policy Framework), alan adınızın DNS'ine "benim adıma yalnızca şu sunucular e-posta gönderebilir" diye yazdığınız bir listedir. Alıcı sunucu, e-postayı getiren sunucunun IP adresini bu listeyle karşılaştırır.

Örnek bir SPF kaydı:

v=spf1 include:_spf.eposta-saglayiciniz.com ip4:203.0.113.25 ~all

• include: Bir e-posta hizmetinin kendi listesini sizin listenize ekler. Hangi değeri yazacağınızı e-posta hizmet sağlayıcınız söyler.
• ip4: Belirli bir IP adresine (ör. kendi sunucunuza veya web sitenizin iletişim formunun gönderdiği sunucuya) izin verir.
• ~all Listede olmayan sunuculardan gelen e-postaların şüpheli sayılmasını ister. -all ise bunların reddedilebileceğini söyler.

Dikkat edilecek iki kural var. Birincisi, bir alan adında yalnızca bir SPF kaydı olmalıdır; yeni bir hizmet eklediğinizde ikinci kayıt açmak yerine mevcut satıra ekleme yaparsınız. İkincisi, SPF en fazla 10 DNS sorgusu gerektiren kurala izin verir; çok sayıda include: eklemek bu sınırı aşabilir.

SPF'in zayıf noktası iletmedir (forward). Bir alıcı e-postanızı başka bir adrese otomatik ilettiğinde e-posta artık sizin listenizde olmayan bir sunucudan gelir ve SPF başarısız olur. DKIM imzası ise iletmede genellikle bozulmaz. İki yöntemin birlikte kullanılmasının bir sebebi budur.

DKIM: E-postaya atılan dijital imza

DKIM (DomainKeys Identified Mail), giden her e-postaya gizli bir anahtarla oluşturulmuş bir imza ekler. Bu imzayı doğrulayacak açık anahtar (herkesin görebildiği eş anahtar) alan adınızın DNS'inde yayımlanır. Alıcı sunucu imzayı bu anahtarla kontrol eder. İmza tutuyorsa e-postanın sizin sistemlerinizden çıktığı ve yolda değiştirilmediği anlaşılır.

DKIM kaydının adı, sağlayıcınızın belirlediği bir seçici (selector) içerir. Örnek:

secici1._domainkey.ornek.com adında bir TXT kaydı, değeri v=DKIM1; k=rsa; p=MIIBIjANBgkqh... (uzun bir anahtar)

Bu değeri siz üretmezsiniz; e-posta hizmet sağlayıcınızın yönetim panelinde DKIM'i etkinleştirdiğinizde size verilir. Bazı sağlayıcılar TXT yerine CNAME kaydı eklemenizi ister. Kaydı ekledikten sonra sağlayıcının panelinde imzalamayı ayrıca açmanız gerekebilir.

DMARC: Karar veren ve rapor isteyen kayıt

SPF ve DKIM tek başına bir açık bırakır: ikisi de "Kimden" satırında görünen adresi doğrudan kontrol etmez. Bir dolandırıcı kendi alan adında geçerli bir SPF kurup "Kimden" satırına sizin adresinizi yazabilir. DMARC (Domain-based Message Authentication, Reporting and Conformance) bu açığı kapatır.

DMARC'ın geçmesi için SPF veya DKIM'den en az birinin başarılı olması ve başarılı olan kontroldeki alan adının "Kimden" satırındaki alan adıyla uyuşması gerekir. Bu uyuşmaya hizalama (alignment) denir.

Örnek bir başlangıç kaydı (_dmarc.ornek.com adında TXT):

v=DMARC1; p=none; rua=mailto:[email protected]

• p= Politika. none yalnızca izler, quarantine doğrulamayı geçemeyen e-postanın spam klasörüne gitmesini, reject reddedilmesini ister.
• rua= Alıcı sunucuların size göndereceği toplu raporların adresi. Bu raporlar, alan adınız adına hangi sunuculardan e-posta gönderildiğini ve bunların doğrulamayı geçip geçmediğini gösterir.
• pct= (isteğe bağlı) Politikanın e-postaların yüzde kaçına uygulanacağı. Geçiş döneminde kademeli sıkılaştırma için kullanılır.

Üçü birlikte nasıl çalışır?

Alan adınızdan müşterinize bir e-posta gittiğinde alıcı sunucu kabaca şunları yapar:

1. E-postayı getiren sunucunun IP adresine bakar ve SPF kaydınızla karşılaştırır.
2. E-postadaki DKIM imzasını, DNS'inizdeki açık anahtarla doğrular.
3. DMARC kaydınızı okur. SPF veya DKIM'den biri geçmiş ve alan adı "Kimden" ile uyuşuyorsa e-posta DMARC'ı geçer.
4. Geçemezse DMARC politikanıza (none, quarantine, reject) göre davranır ve sonucu raporuna ekler.

Sonuç olarak sahte e-postalar ya spam klasörüne gider ya da hiç teslim edilmez; sizin gerçek e-postalarınız ise güvenilir görünür. Gmail ve Yahoo gibi büyük sağlayıcılar, özellikle çok sayıda e-posta gönderen alan adlarından bu kayıtların üçünü birden istemektedir.

Güvenli kurulum sırası

En sık yapılan hata, DMARC'ı ilk günden en sıkı ayarla açıp kendi e-postalarını da engellemektir. Şu sıra daha güvenlidir:

1. Gönderenlerin listesini çıkarın. Kurumsal e-posta hizmetiniz, web sitenizin iletişim formu, bülten aracınız, fatura veya muhasebe yazılımınız, CRM gibi sizin adınıza e-posta gönderen her hizmeti yazın.
2. Tek bir SPF kaydı oluşturun. Bu hizmetlerin her birinin istediği include: veya ip4: değerini aynı satıra ekleyin; sonuna ~all yazın.
3. Her hizmette DKIM'i açın. Her gönderen hizmetin verdiği DKIM kaydını ayrı seçici adıyla ekleyin. Mümkünse imzanın sizin alan adınızla atılmasını seçin; bu, DMARC hizalaması için önemlidir.
4. DMARC'ı p=none ile açın. Rapor adresini (rua) mutlaka yazın. Raporlar XML dosyası olarak gelir; okunabilir hale getirmek için DMARC rapor analiz hizmetlerinden yararlanabilirsiniz.
5. Birkaç hafta raporları izleyin. Doğrulamayı geçemeyen ama sizin olan bir kaynak görürseniz SPF veya DKIM'e ekleyin.
6. p=quarantine'e geçin, bir süre daha izleyin, sorun yoksa p=reject yapın.

Kayıtları değiştirdikten sonra değişikliğin yayılması biraz zaman alabilir. Kaydın herkese açık DNS sunucularına ulaşıp ulaşmadığını DNS yayılım kontrolü aracında TXT türünü seçerek izleyebilirsiniz.

Kayıtlarınızı kontrol edin

E-posta DNS kontrolü aracımız, alan adınızın MX, SPF ve DMARC kayıtlarını okuyup çift SPF, +all, eksik DMARC gibi yaygın hataları işaretler. DKIM kaydının adı seçiciye bağlı olduğu için araç onu otomatik bulamaz; secici._domainkey.ornek.com adını DNS sorgulama aracına tam olarak yazarak kontrol edebilirsiniz.

Uygulamada en güvenilir test, kendi alan adınızdan Gmail gibi büyük bir hizmetteki bir adrese e-posta göndermektir. Alıcı tarafta e-postanın özgün kaynağını açtığınızda SPF, DKIM ve DMARC için "PASS" (geçti) veya "FAIL" (başarısız) sonuçlarını görürsünüz.

Kayıtlar doğru olduğu halde e-postalarınız hâlâ istenmeyen klasörüne düşüyorsa sebep başka bir yerde olabilir: gönderen IP adresinin kara listede olması, ters DNS kaydının eksikliği veya e-postanın içeriği. Bunları e-postalar neden spama düşüyor yazımızda sırayla ele aldık.