SPF, DKIM ve DMARC Kaydı Nasıl Yapılır?
E-postalarınızın spama düşmemesi ve alan adınızın taklit edilmemesi için SPF, DKIM ve DMARC kayıtlarını oluşturmayı ve doğru çalıştıklarını test etmeyi anlatıyoruz.
Aurora YazılımEditör ekibi
6 dk okuma
SPF DKIM DMARC kayıtları alan adınızın DNS paneline TXT (bazı sağlayıcılarda CNAME) kaydı olarak eklenir. SPF hangi sunucuların sizin adınıza e-posta gönderebileceğini, DKIM iletinin değiştirilmediğini gösteren dijital imzayı, DMARC ise bu kontrollerden geçemeyen iletilere ne yapılacağını belirler. Önce SPF ve DKIM, ardından p=none ile DMARC kurulur.
Mailler Neden Spama Düşer?
Gmail, Outlook ve Yahoo gibi alıcı sunucular, gelen her iletinin gerçekten gönderen alan adından gelip gelmediğini kontrol eder. Kimlik doğrulaması olmayan iletiler ya spam klasörüne gider ya da hiç teslim edilmez. Mailler spama düşüyor şikâyetinin en yaygın nedeni, bu üç kaydın eksik ya da hatalı olmasıdır.
Bu kayıtlar aynı zamanda bir güvenlik önlemidir. Doğru kurulmadığında dolandırıcılar sizin alan adınızı kullanarak müşterilerinize sahte fatura ya da ödeme talebi gönderebilir. Kimlik avına karşı hesap güvenliği tarafını güçlü şifre oluşturma ve passkey nedir yazılarımızda ele aldık.
Google ve Yahoo, günde 5.000'den fazla ileti gönderen toplu göndericilerden SPF, DKIM ve DMARC'ın üçünü birden, tüm göndericilerden ise en azından SPF ya da DKIM'i bekler. Daha az e-posta gönderseniz bile üçünü kurmak teslim oranını belirgin biçimde iyileştirir.
Kurulumdan Önce Hazırlık
Kayıtları yazmadan önce alan adınız adına e-posta gönderen tüm hizmetlerin listesini çıkarın. Bu listede yalnızca kurumsal e-posta sağlayıcınız değil, web sitenizin form bildirimleri, e-bülten aracınız, fatura ve sipariş bildirimi gönderen yazılımlar da yer almalıdır.
- Alan adının DNS paneline erişim (alan adı firması ya da Cloudflare gibi bir DNS hizmeti)
- Kurumsal e-posta sağlayıcınız: Google Workspace, Microsoft 365 ya da barındırma firmanızın e-postası
- Sitenizin, e-bülten ve bildirim araçlarının gönderim yaptığı sunucular
- DMARC raporlarını almak için bir e-posta adresi (ör. dmarc@ornek.com)
SPF Kaydı Nasıl Yazılır?
SPF kaydı, alan adınızın kök (@) adresine eklenen ve v=spf1 ile başlayan bir TXT kaydıdır. İçinde sizin adınıza gönderim yapmasına izin verdiğiniz sunucuların adresleri ve kaydın sonunda geri kalanlara ne yapılacağını belirten bir ifade bulunur.
Bir alan adında yalnızca bir SPF kaydı olabilir. Yeni bir hizmet eklediğinizde ikinci bir kayıt açmak yerine mevcut kayda include ifadesi ekleyin; iki ayrı SPF kaydı, kontrolün tamamen başarısız olmasına yol açar.
- ~all (softfail): listede olmayan sunucular şüpheli sayılır; geçiş döneminde güvenli seçimdir.
- -all (fail): listede olmayan sunucular reddedilir; tüm gönderim kaynaklarından emin olduğunuzda kullanın.
- SPF kontrolü en fazla 10 DNS sorgusuna izin verir; her include bu sınırdan pay alır. Sınır aşılırsa kayıt geçersiz olur.
Tür: TXT Ad: @
v=spf1 include:_spf.google.com ~allTür: TXT Ad: @
v=spf1 include:spf.protection.outlook.com -allv=spf1 ip4:203.0.113.10 include:_spf.google.com include:<bulten-araci-spf-adresi> ~allDKIM Nedir, Nasıl Kurulur?
DKIM, gönderilen her iletiye eklenen dijital bir imzadır. Gönderen sunucu iletiyi gizli anahtarla imzalar, alıcı sunucu ise DNS'te yayınladığınız açık anahtarla imzayı doğrular. Böylece iletinin yolda değiştirilmediği ve gerçekten sizin alan adınızdan geldiği kanıtlanır.
DKIM anahtarını siz üretmezsiniz; e-posta sağlayıcınızın panelinde oluşturulur. Panel size bir seçici (selector) adı ve DNS'e eklemeniz gereken değeri verir. Mümkünse 2048 bit anahtar seçin. Kaydı ekledikten sonra sağlayıcının panelinde imzalamayı başlat ya da etkinleştir adımını yapmayı unutmayın; aksi hâlde kayıt yayında olsa bile iletiler imzalanmaz.
| Sağlayıcı | Kayıt türü ve adı |
|---|---|
| Google Workspace | TXT, google._domainkey (varsayılan seçici Google) |
| Microsoft 365 | Panelde gösterilen iki CNAME: selector1._domainkey ve selector2._domainkey |
| Barındırma e-postası | Panelde gösterilen seçiciyle TXT kaydı |
| E-bülten araçları | Aracın verdiği CNAME ya da TXT kayıtları |
Tür: TXT Ad: google._domainkey
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...DMARC Kaydı ve Politika Seçimi
DMARC kaydı, _dmarc alt adına eklenen bir TXT kaydıdır. SPF ve DKIM kontrollerinden en az birinin geçmesini ve geçen kontrolün From satırındaki alan adıyla uyumlu (hizalı) olmasını şart koşar. Bu şart sağlanmazsa alıcı sunucunun ne yapacağını politika belirler.
DMARC'ı doğrudan en sert politikayla açmak, unuttuğunuz bir gönderim kaynağının (ör. site formu) e-postalarının kaybolmasına yol açabilir. Bu yüzden kademeli geçiş önerilir: önce yalnızca izleyin, raporlarda tüm meşru kaynakların geçtiğini görünce politikayı sıkılaştırın.
Ana alan adındaki DMARC politikası, ayrı bir kaydı olmayan alt alan adlarına da uygulanır. Alt alan adları için farklı bir politika istiyorsanız sp etiketini kullanabilir ya da ilgili alt alan adına kendi _dmarc kaydını ekleyebilirsiniz. Geçiş sürecinde her aşamada en az birkaç hafta raporları izlemek, hiçbir meşru gönderim kaynağını gözden kaçırmamanızı sağlar. DNS kayıtlarıyla ilgili diğer rehberler için DNS etiketine göz atabilirsiniz.
- p=none: iletiler etkilenmez, yalnızca rapor toplanır.
- p=quarantine: kontrolden geçemeyen iletiler spam klasörüne gönderilir.
- p=reject: kontrolden geçemeyen iletiler reddedilir; alan adı taklidine karşı en güçlü korumadır.
- rua adresine gelen toplu raporlar XML biçimindedir; okumak için bir DMARC rapor aracı kullanmak işi kolaylaştırır.
Tür: TXT Ad: _dmarc
v=DMARC1; p=none; rua=mailto:dmarc@ornek.comv=DMARC1; p=quarantine; pct=100; rua=mailto:dmarc@ornek.comv=DMARC1; p=reject; rua=mailto:dmarc@ornek.comKayıtları Nasıl Test Ederim?
DNS değişikliklerinin yayılması birkaç dakikadan birkaç saate kadar sürebilir. Kayıtların yayında olduğunu komut satırından kontrol edin; çıktıda yazdığınız değeri birebir görmelisiniz.
dig TXT ornek.com +short
dig TXT google._domainkey.ornek.com +short
dig TXT _dmarc.ornek.com +shortnslookup -type=TXT ornek.com
nslookup -type=TXT _dmarc.ornek.com
Resolve-DnsName google._domainkey.ornek.com -Type TXTGerçek bir iletiyle test
Kurumsal adresinizden kişisel bir Gmail hesabına e-posta gönderin. İletiyi açıp sağ üstteki menüden Orijinali göster seçeneğine tıklayın. Açılan sayfada SPF, DKIM ve DMARC satırlarının üçünde de PASS yazmalıdır; FAIL ya da NEUTRAL görüyorsanız ilgili kaydı yeniden kontrol edin.
Sık Hatalar ve Çözümleri
Web sitenizden giden iletiler bu sorunların en sık atlanan kaynağıdır. Sitenin iletişim formu ya da sipariş bildirimi doğrudan sunucudan, kimlik doğrulaması olmadan gönderiliyorsa SPF ve DKIM kontrolünden geçemez. Formların kurumsal e-posta hesabınız üzerinden kimlik doğrulamalı SMTP ile gönderilmesi bu sorunu kökten çözer. Bir kurumsal web sitesi ya da e-ticaret altyapısı kurarken bildirim e-postalarının bu şekilde yapılandırıldığından emin olun.
| Belirti | Olası neden ve çözüm |
|---|---|
| SPF PermError | İki SPF kaydı var ya da 10 sorgu sınırı aşıldı; kayıtları birleştirin, gereksiz include'ları çıkarın. |
| DKIM FAIL | Kayıt eksik kopyalandı ya da imzalama panelde başlatılmadı. |
| DMARC FAIL, SPF PASS | SPF başka bir alan adı için geçiyor; From alan adıyla hizalı DKIM imzası ekleyin. |
| Site formundan gelen mailler spamda | Form, kimliği doğrulanmamış mail() fonksiyonuyla gönderiyor; kimlik doğrulamalı SMTP kullanın. |
| Kayıt panelde var ama sorguda yok | Ad alanına alan adı iki kez yazıldı (ör. _dmarc.ornek.com.ornek.com). |
Sık Sorulan Sorular
01E-posta göndermeyen bir alan adı için de kayıt gerekir mi?
Evet, özellikle taklide karşı. Hiç e-posta göndermeyen alan adına v=spf1 -all biçiminde bir SPF kaydı ve p=reject politikalı bir DMARC kaydı eklemek, dolandırıcıların bu alan adını kullanmasını zorlaştırır.
02Kayıtları ekledim, mailler hâlâ spama düşüyor. Neden?
Kimlik doğrulama teslimatın yalnızca bir parçasıdır. Gönderim yaptığınız IP'nin itibarı, içeriğin niteliği, alıcıların iletileri spam olarak işaretleme oranı ve abonelikten çıkma bağlantısı gibi etkenler de rol oynar. Toplu gönderimlerde izinli liste kullanmak ve listeyi düzenli temizlemek gerekir.
03DMARC raporlarında tanımadığım IP'ler görüyorum. Ne yapmalıyım?
Önce bu IP'lerin unuttuğunuz meşru bir hizmete ait olup olmadığını kontrol edin. Meşruysa SPF ve DKIM ayarlarına ekleyin; değilse büyük olasılıkla alan adınızı taklit eden gönderimlerdir ve politikayı quarantine ya da reject seviyesine taşımak için iyi bir gerekçedir.
SPF, DKIM ve DMARC birlikte kurulduğunda e-postalarınız alıcıya ulaşır, alan adınız da taklit edilmeye karşı korunur. Alan adı, e-posta ve sunucu yapılandırmasını iş yazılımlarınızla birlikte ele alan Aurora çözümlerine göz atabilir, kayıtlarınızın kontrolü için iletişim sayfasından bize ulaşabilirsiniz. Toplu e-posta kampanyalarında teslim oranını artırmak için dijital pazarlama ekibimizle de çalışabilirsiniz.
