Şirketiniz adına sahte e-posta gönderiliyor mu? SPF, DKIM ve DMARC ile alan adınızı koruyun

Bugün herhangi biri, hiçbir izne ihtiyaç duymadan, "kimden" satırında sizin alan adınızı gösteren bir e-posta gönderebilir. E-postanın temel protokolü (SMTP) gönderenin kim olduğunu doğrulamaz, bu yüzden bir dolandırıcı muhasebe@sirketiniz.com adresini taklit edip müşterinize sahte fatura yollayabilir. SPF, DKIM ve DMARC tam bu boşluğu kapatan üç DNS kaydıdır. SPF alan adınız adına e-posta göndermeye yetkili sunucuları listeler, DKIM her mesajı kriptografik bir imzayla mühürler, DMARC ise bu iki kontrolü geçemeyen mesajlara ne yapılacağını (izle, karantinaya al ya da reddet) söyler. Üçü doğru kurulduğunda, sizin adınıza atılan sahte e-postalar alıcının gelen kutusuna hiç ulaşmaz.

Bu kayıtlar bir süredir "iyi olur" listesinden çıkıp zorunlu hale geldi. 1 Şubat 2024'te Google ve Yahoo, kişisel hesaplara günde yaklaşık 5.000 ve üzeri e-posta gönderen toplu gönderenler için SPF, DKIM ve en az p=none seviyesinde bir DMARC kaydını şart koştu. Microsoft aynı eşiği (günde 5.000 e-posta) benimseyerek Outlook.com ve Hotmail için kurallarını 5 Mayıs 2025'te devreye aldı; uyumsuz gönderenlerin mesajları önce önemsiz klasörüne, ardından doğrudan reddedilmeye başlandı. Yani alan adınızdan pazarlama ya da toplu bilgilendirme e-postası gönderiyorsanız, bu üç kayıt olmadan mesajlarınız muhatabına hiç ulaşmayabilir.

SPF: kim göndermeye yetkili?

SPF (Sender Policy Framework), alan adınız adına hangi sunucuların e-posta göndermeye yetkili olduğunu bir DNS TXT kaydında listeler. Alıcı sunucu, gelen mesajın çıktığı IP adresini bu listeyle karşılaştırır. Diyelim ki e-postalarınızı hem Google Workspace hem de fatura yazılımınız üzerinden gönderiyorsunuz; SPF kaydınız yalnızca bu ikisini yetkilendirmeli. Dikkat edilmesi gereken teknik bir sınır var: SPF değerlendirmesi 10 DNS sorgusunu aşamaz. Her yeni servis için kayda bir include eklemek bu bütçeyi kolayca doldurur ve kaydınızı tümden geçersiz kılabilir. Bu yüzden artık kullanmadığınız servisleri listeden çıkarmak, yenisini eklemek kadar önemlidir.

DKIM: mesaj yolda değişti mi?

DKIM (DomainKeys Identified Mail), gönderdiğiniz her mesaja gizli bir anahtarla oluşturulmuş kriptografik bir imza ekler. İmzayı doğrulamak için gereken açık anahtar ise DNS'te yayınlanır. Alıcı sunucu imzayı kontrol ederek iki şeyden emin olur: mesaj gerçekten sizin yetkilendirdiğiniz sistemden çıkmıştır ve yolda içeriği değiştirilmemiştir. Anahtar uzunluğunda 2048 bit bugünün standardıdır; 1024 bit hâlâ kabul görse de artık zayıf sayılır. İmzalama anahtarlarını yılda bir döndürmek iyi bir alışkanlıktır.

DMARC: kural ihlal edilirse ne olsun?

DMARC (Domain-based Message Authentication, Reporting and Conformance) iki işi birden yapar. Birincisi hizalama (alignment) denetimidir: SPF ya da DKIM kontrolünü geçen alan adının, alıcının gerçekten gördüğü "kimden" alanındaki alan adıyla eşleşmesini şart koşar. Böylece bir saldırganın kendi alan adında geçerli bir SPF kaydına sığınıp sizin adınızı taklit etmesi engellenir. İkincisi politikadır: kontrolü geçemeyen mesajlara ne yapılacağını siz belirlersiniz. Üç seçenek vardır: p=none (hiçbir şey yapma, sadece raporla), p=quarantine (önemsiz klasörüne at) ve p=reject (tümden reddet). DMARC ayrıca size rapor da gönderir; rua etiketiyle belirttiğiniz adrese, alan adınız adına kimin nereden e-posta göndermeye çalıştığını gösteren günlük özetler düşer.

Doğru kurulum sırası

En sık yapılan hata doğrudan p=reject ile başlamaktır. Bu, SPF ve DKIM'i henüz düzgün ayarlamadığınız meşru servislerin (fatura sistemi, İK yazılımı, pazarlama aracı) e-postalarının da reddedilmesine yol açar. Güvenli yol kademelidir:

• p=none ile başlayın. Hiçbir mesajı engellemez, sadece rapor toplar. Amaç, alan adınızdan gerçekte hangi sistemlerin gönderdiğini görmektir.
• Raporları birkaç hafta okuyun. rua raporları unuttuğunuz ya da hiç haberiniz olmayan gönderen servisleri ortaya çıkarır.
• Meşru kaynakları düzeltin. Her geçerli servis için SPF ve DKIM'i doğru kurun ve hizalamayı sağlayın.
• p=quarantine'e geçin. Şüpheli mesajlar önemsize düşer; hâlâ yanlış engellenen meşru bir e-posta var mı, izleyin.
• p=reject ile bitirin. Ancak tüm meşru trafiğiniz temiz geçtiğinde tam korumaya alın.

DMARC neyi korumaz?

Burada dürüst olmak gerek: DMARC yalnızca sizin tam alan adınızın taklit edilmesini engeller. sirketiniz.com adresini korur, ama sirketiniz-destek.com gibi ya da bir harfi göz kaçırınca fark edilmeyecek şekilde değiştirilmiş, size benzeyen alan adlarına karşı hiçbir şey yapmaz. Aynı şekilde bir saldırgan kendi adresinden gönderip görünen adı (display name) "Şirketiniz Muhasebe" yaparsa, DMARC bunu da durdurmaz, çünkü teknik olarak bir sahtecilik yoktur. Bu yüzden e-posta kimlik doğrulaması tek başına düşünülmemeli; çalışan farkındalığı ve size benzeyen alan adlarını başkası kaydetmeden önce kendinizin kaydetmesi gibi önlemlerle birlikte ele alınmalıdır.

DMARC'ı quarantine ya da reject seviyesine çıkardığınızda bir kapı daha açılır: BIMI. Bu standart, markanızın logosunu destekleyen e-posta istemcilerinde gönderen adının yanında göstermenizi sağlar. Küçük bir görsel ayrıntı gibi dursa da, alıcıya mesajın gerçekten sizden geldiğine dair görünür bir işaret verir ve zaten yaptığınız kimlik doğrulaması yatırımının üstüne oturur.

Kendi alan adınızın bu üç kayda sahip olup olmadığını hızlıca kontrol edebilirsiniz: DNS'inizde bir SPF ve bir DMARC TXT kaydı var mı, DMARC politikanız hangi seviyede? Eğer p=none'da takılı kaldıysanız ya da hiç kaydınız yoksa, Wedevit olarak mevcut e-posta trafiğinizi çıkarıp SPF, DKIM ve DMARC'ı meşru gönderenlerinizi kırmadan reject seviyesine kadar güvenle taşıyabilir, gelen raporları düzenli yorumlayacak bir yapıyı birlikte kurabiliriz.