Rehber SPF, DKIM ve DMARC Kurulumu: E-postalarınızın Spam Klasörüne Düşmesini Önleyin

Sipariş onayları, fatura bildirimleri ya da basit bir iletişim formu yanıtı... Gönderdiğiniz e-postalar spam klasörüne düşüyorsa sorun çoğu zaman içerikte değil, alan adınızın kimlik doğrulama kayıtlarındadır. Gmail ve Yahoo, Şubat 2024'ten itibaren göndericilerden kimlik doğrulama şartlarını sıkılaştırdı. Bu rehberde üç temel kaydı, yani SPF, DKIM ve DMARC'ı sade bir dille ve örneklerle kuruyoruz.

Üç kayıt, üç görev​

• SPF: "Alan adım adına hangi sunucular e-posta gönderebilir?" sorusunun cevabı.
• DKIM: Giden e-postalara eklenen dijital imza; iletinin yolda değiştirilmediğini ve gerçekten sizin alan adınızdan geldiğini kanıtlar.
• DMARC: SPF ve DKIM kontrolü başarısız olursa alıcı sunucunun ne yapacağını söyleyen ve size rapor gönderilmesini sağlayan politika.

1. SPF kaydı​

SPF, alan adınızın kök kaydına eklenen bir TXT kaydıdır. Örnek:

alanadiniz.com.  TXT  "v=spf1 a mx include:_spf.google.com ~all"

Buradaki include kısmı e-posta hizmetinize göre değişir. Sık kullanılan örnekler: Google Workspace için include:_spf.google.com, Microsoft 365 için include:spf.protection.outlook.com, Yandex için include:_spf.yandex.net. Hosting sunucunuz da e-posta gönderiyorsa a ve mx mekanizmaları ya da sunucunun IP'si (ip4:...) eklenmelidir.

Dikkat edilecekler:

• Bir alan adında yalnızca bir SPF kaydı olmalı. İki ayrı "v=spf1" kaydı SPF'i geçersiz kılar; gerekirse tek kayıtta birleştirin.
• SPF değerlendirmesinde en fazla 10 DNS sorgusu yapılabilir; çok sayıda include eklemek bu sınırı aşabilir.
• ~all (softfail) geçiş dönemi için uygundur; her şeyin doğru çalıştığından emin olduğunuzda -all kullanılabilir.

2. DKIM kaydı​

DKIM anahtarı genellikle e-posta sağlayıcınızın ya da hosting panelinizin (cPanel'de "E-posta Teslim Edilebilirliği", Plesk'te alan adının e-posta ayarları) ürettiği bir değerdir. DNS'e şu biçimde eklenir:

secici._domainkey.alanadiniz.com.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."

"secici" (selector) kısmı sağlayıcınızın belirlediği addır (ör. google, default, s1). Mümkünse 2048 bit anahtar kullanın.

3. DMARC kaydı​

DMARC'a gözlem moduyla başlamak en güvenli yoldur:

_dmarc.alanadiniz.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@alanadiniz.com; fo=1"

• p=none: Hiçbir iletiyi engelleme, sadece raporla.
• rua: Toplu raporların gönderileceği adres. Bu raporlar, alan adınız adına kimlerin e-posta gönderdiğini gösterir.

Birkaç hafta raporları inceleyip tüm meşru gönderim kaynaklarınızın SPF/DKIM'den geçtiğini gördüğünüzde politikayı p=quarantine (spam klasörü) ve son olarak p=reject (reddet) seviyesine yükseltebilirsiniz.

Gmail ve Yahoo şartları kısaca​

2024'ten beri tüm göndericilerden en azından SPF veya DKIM, geçerli bir ters DNS (PTR) kaydı ve TLS bağlantısı bekleniyor. Gmail'e günde 5.000'den fazla ileti gönderen toplu göndericiler için SPF ve DKIM, en az p=none seviyesinde bir DMARC kaydı ve pazarlama e-postalarında tek tıkla abonelikten çıkma zorunlu. Spam şikâyet oranının da düşük tutulması gerekiyor.

Kontrol etme​

dig +short TXT alanadiniz.com
dig +short TXT secici._domainkey.alanadiniz.com
dig +short TXT _dmarc.alanadiniz.com

Pratik bir test için kendi Gmail adresinize bir e-posta gönderin, iletiyi açıp "Orijinali göster" seçeneğine tıklayın. SPF, DKIM ve DMARC satırlarında PASS görmelisiniz.

Sık yapılan hatalar​

• SPF'de +all kullanmak: Herkesin sizin adınıza e-posta göndermesine izin vermek anlamına gelir; asla kullanmayın.
• DKIM değerinin bozulması: Uzun DKIM anahtarları bazı DNS panellerinde yanlış bölünebilir ya da fazladan tırnak ve boşluk eklenebilir. Kaydı ekledikten sonra dig ile tam olarak doğru okunduğunu kontrol edin.
• Alt alan adlarını unutmak: Bülten gibi gönderimleri bir alt alan adından yapıyorsanız o alt alan adı için de SPF ve DKIM gerekir. DMARC'ta sp etiketiyle alt alan adları için ayrı politika tanımlanabilir.
• Yönlendirilen e-postalar: Bir ileti başka bir adrese yönlendirildiğinde SPF kontrolü çoğu zaman bozulur. Bu yüzden DMARC'ın geçmesinde DKIM imzası çok önemlidir; yalnızca SPF'e güvenmeyin.

VDS'ten e-posta gönderenler için ek not​

Kendi mail sunucunuzu çalıştırıyorsanız sunucu IP'sinin ters DNS (PTR) kaydının, sunucunun kendini tanıttığı ana makine adıyla eşleşmesi gerekir. PTR kaydını genellikle IP'nin sahibi olan sağlayıcı tanımlar; destek ekibinden isteyebilirsiniz.

Bu üç kaydı kurduktan sonra teslim edilebilirlikte fark gördünüz mü? DMARC raporlarını okumakta zorlanıyorsanız E-posta Hosting bölümünde sorabilirsiniz; birlikte bakalım.