Müşterinize gönderdiğiniz teklif spam klasörüne düşüyor mu? Ya da birisi sizin alan adınızla, sizin adınıza sahte ödeme talimatı içeren e-postalar gönderiyor mu? Her iki sorunun da ortak çözümü, alan adınız için doğru yapılandırılmış SPF, DKIM ve DMARC kayıtlarıdır. Bu üç mekanizma, alıcı sunucuların "bu e-posta gerçekten bu alan adından mı geliyor?" sorusuna cevap vermesini sağlar.
E-posta neden bu kadar kolay taklit ediliyor?
E-postanın temel protokolü, gönderenin kim olduğunu kendiliğinden doğrulamaz. "Kimden" alanına herhangi bir adres yazılabilir. Bu açık, özellikle finans ekiplerini hedef alan sahte fatura ve "IBAN değişti" dolandırıcılıklarında sıkça kullanılır. SPF, DKIM ve DMARC bu boşluğu kapatmak için geliştirilmiş, DNS üzerinde yayınlanan kayıtlardır.
SPF: Kimler benim adıma e-posta gönderebilir?
SPF (Sender Policy Framework), alan adınız adına e-posta göndermeye yetkili sunucuların listesini DNS'te bir TXT kaydı olarak yayınlar. Alıcı sunucu, gelen e-postanın bu listedeki bir sunucudan gelip gelmediğini kontrol eder.
Dikkat edilmesi gerekenler:
- Bir alan adı için yalnızca bir SPF kaydı olmalıdır. İki ayrı kayıt, SPF'nin tamamen başarısız olmasına yol açar.
- E-posta gönderen tüm servisler listeye eklenmelidir: Microsoft 365 veya Google Workspace, web sitesi formları, ERP'den giden e-faturalar, toplu e-posta servisleri.
- SPF kaydındaki DNS sorgusu sayısı sınırlıdır; çok fazla "include" eklemek kaydı geçersiz kılabilir.
- Kaydın sonunda "~all" veya "-all" ile yetkisiz sunucuların nasıl değerlendirileceği belirtilir.
DKIM: Bu e-posta yolda değiştirildi mi?
DKIM (DomainKeys Identified Mail), gönderen sunucunun her e-postaya dijital bir imza eklemesini sağlar. Bu imzanın doğrulanması için gereken açık anahtar DNS'te yayınlanır. Alıcı sunucu imzayı doğrulayarak e-postanın gerçekten alan adınızın yetkili sistemlerinden geldiğini ve içeriğin yolda değiştirilmediğini anlar.
Microsoft 365 ve Google Workspace gibi servislerde DKIM genellikle yönetim panelinden etkinleştirilir; ardından servisin verdiği kayıtlar DNS'e eklenir. E-posta gönderen her üçüncü taraf servis için ayrı DKIM yapılandırması gerekebilir.
DMARC: Doğrulama başarısız olursa ne yapılsın?
DMARC (Domain-based Message Authentication, Reporting and Conformance), SPF ve DKIM'i bir araya getirir ve iki şey yapar:
- Alıcı sunuculara, doğrulamadan geçemeyen e-postalarla ne yapacaklarını söyler: none (sadece izle), quarantine (spam klasörüne at) veya reject (reddet).
- Alan adınız adına gönderilen e-postalarla ilgili raporların size iletilmesini sağlar. Bu raporlar, hangi sunucuların sizin adınıza e-posta gönderdiğini görmenin en iyi yoludur.
DMARC'ın önemli bir kavramı hizalamadır: E-postanın "Kimden" alanındaki alan adı, SPF veya DKIM ile doğrulanan alan adıyla uyumlu olmalıdır. Yalnızca SPF'nin geçmesi yeterli değildir; doğru alan adı için geçmesi gerekir.
Büyük e-posta sağlayıcıları ne istiyor?
Google, 1 Şubat 2024'ten itibaren Gmail adreslerine e-posta gönderen herkesten en azından SPF veya DKIM yapılandırması istiyor. Gmail hesaplarına günde 5.000'den fazla ileti gönderen toplu göndericiler için ise SPF, DKIM ve DMARC'ın üçü de zorunlu. Ayrıntılar Google'ın gönderici yönergelerinde yer alıyor. Microsoft da tüketici Outlook.com adresleri için yüksek hacimli göndericilere benzer şartlar getirdi.
Günde birkaç yüz e-posta gönderen bir KOBİ toplu gönderici sayılmayabilir. Ancak bu kuralları karşılamayan alan adlarının e-postalarının spama düşme ihtimali artıyor ve büyük sağlayıcılar kimlik doğrulamasını giderek daha fazla önemsiyor.
Adım adım uygulama planı
- Envanter çıkarın: Alan adınız adına e-posta gönderen tüm sistemleri listeleyin. ERP, web sitesi, CRM, fatura entegratörü ve bülten servisi sıkça unutulur.
- SPF'yi düzeltin: Tek bir kayıtta tüm yetkili servisleri toplayın.
- DKIM'i etkinleştirin: Ana e-posta servisinizde ve mümkün olan tüm gönderici servislerde.
- DMARC'ı "none" ile başlatın: Rapor adresi tanımlayın ve birkaç hafta boyunca raporları inceleyin.
- Eksikleri giderin: Raporlarda doğrulamadan geçemeyen meşru servisleri yapılandırın.
- Politikayı sıkılaştırın: Önce "quarantine", ardından mümkünse "reject" politikasına geçin.
Doğrudan "reject" ile başlamak, unutulmuş bir sistemin (örneğin ERP'den giden faturaların) e-postalarının alıcıya hiç ulaşmamasına yol açabilir. Bu yüzden kademeli ilerlemek önemlidir.
Sık yapılan hatalar
- Birden fazla SPF kaydı yayınlamak.
- E-posta servisini değiştirdikten sonra eski servisi SPF'den çıkarmamak ya da yenisini eklememek.
- DMARC'ı "none" politikasında yıllarca bırakmak ve raporlara hiç bakmamak.
- Hiç e-posta göndermeyen alan adlarını korumasız bırakmak. Bu alan adları için de e-posta gönderilmediğini belirten SPF ve DMARC kayıtları yayınlanabilir.
Teknik önlemler yeterli mi?
SPF, DKIM ve DMARC, sizin alan adınızın taklit edilmesini zorlaştırır. Ancak saldırgan, sizinkine çok benzeyen başka bir alan adı kullanabilir. Bu nedenle finans ekiplerinin IBAN değişikliği veya acil ödeme talepleri gibi durumlarda e-posta dışında bir kanalla, örneğin telefonla teyit alması önemini koruyor.
Kayıtlarınızı nasıl kontrol edebilirsiniz?
Alan adınızın SPF, DKIM ve DMARC durumunu görmek için DNS kayıtlarını sorgulayan çevrim içi araçlar kullanılabilir. Daha pratik bir yöntem ise kendi hesabınızdan bir Gmail veya Outlook adresine e-posta gönderip iletinin kaynağını ("orijinali göster" gibi seçeneklerle) incelemektir. Başlık bilgilerinde SPF, DKIM ve DMARC sonuçlarının "pass" olarak görünmesi gerekir.
Sonuç
SPF, DKIM ve DMARC artık "olsa iyi olur" değil, kurumsal e-postanın temel gereksinimleri. Doğru yapılandırıldığında hem e-postalarınızın teslim edilebilirliği artar hem de alan adınızın dolandırıcılıkta kullanılması zorlaşır.
Ankara'da alan adınızın e-posta kimlik doğrulama kayıtlarını kontrol ettirmek, Microsoft 365 veya diğer servisler için SPF, DKIM ve DMARC yapılandırması yaptırmak için bize ulaşabilirsiniz.