SPF, DKIM ve DMARC nedir? E-posta kimlik doğrulaması rehberi

E-posta, tasarlandığı günden bu yana gönderen kimliğini kolayca doğrulayamayan bir sistemdi. Bu boşluk, dolandırıcıların bir markanın adına sahte e-posta göndermesine (spoofing) zemin hazırladı. SPF, DKIM ve DMARC; bu açığı kapatan, birlikte çalışan üç kimlik doğrulama standardıdır. Bu yazıda her birini sade bir dille açıklıyoruz.

SPF nedir?

SPF (Sender Policy Framework), alan adınız adına hangi posta sunucularının e-posta göndermeye yetkili olduğunu belirten bir DNS kaydıdır. Alıcı sunucu bir e-posta aldığında, gönderen sunucunun bu listede olup olmadığını kontrol eder. Sunucu listede yoksa e-posta şüpheli sayılır. Kısacası SPF, "bu alan adından yalnızca şu sunucular gönderebilir" demenin yoludur.

DKIM nedir?

DKIM (DomainKeys Identified Mail), giden her e-postaya alan adınıza ait özel bir anahtarla dijital imza ekler. Alıcı sunucu, DNS'te yayınladığınız açık anahtarla bu imzayı doğrular. İmza tutuyorsa iki şey kanıtlanmış olur: e-posta gerçekten sizin alan adınızdan gönderilmiştir ve yolda değiştirilmemiştir. DKIM, sahtesi kolayca fark edilebilen bir mühür gibi düşünülebilir.

DMARC nedir?

DMARC, SPF ve DKIM sonuçlarını bir politikayla birleştirir ve "kimlik doğrulama başarısız olursa ne yapılsın?" sorusunu yanıtlar: hiçbir şey yapma, karantinaya al (spam'e gönder) veya tamamen reddet. Ayrıca DMARC, alan adınız adına gönderilen e-postalar hakkında düzenli rapor almanızı sağlar; böylece olası kötüye kullanımı görebilirsiniz.

Üçü birlikte nasıl çalışır?

• SPF, gönderen sunucunun yetkili olup olmadığını kontrol eder.
• DKIM, içeriğin bütünlüğünü ve kaynağını imzayla doğrular.
• DMARC, bu iki kontrolün sonucuna göre bir karar uygular ve raporlar.

Üçü bir arada kullanıldığında hem markanız adına sahte e-posta gönderilmesi zorlaşır hem de meşru e-postalarınızın spam'e düşme olasılığı azalır.

Neden önemli?

Kimlik doğrulama kayıtları olmayan alan adları hem oltalama saldırılarında istismara açıktır hem de gönderdikleri e-postaların teslim edilebilirliği düşüktür. Büyük sağlayıcılar giderek daha katı davranıyor; SPF, DKIM ve DMARC olmadan e-postalarınız spam'e düşebilir ya da hiç ulaşmayabilir. Bu yüzden kendi alan adıyla e-posta kullanan her işletme için bu üç kayıt neredeyse zorunludur.

Sık sorulan sorular

Üç kaydı da eklemek zorunda mıyım? En sağlam koruma için evet. SPF ve DKIM temeldir; DMARC ise bunların üstüne politika ve raporlama ekleyerek kimlik doğrulamayı tamamlar.

DMARC'ı doğrudan "reddet" olarak mı ayarlamalıyım? Genellikle önce "none" (yalnızca izle) ile başlanır; raporlar incelenip tüm meşru gönderimlerin doğrulandığından emin olduktan sonra "quarantine" veya "reject" politikasına geçilir.

Bu kayıtları kendim mi oluşturmalıyım? Çoğu kurumsal e-posta sağlayıcısı DKIM anahtarını ve gerekli kayıt değerlerini hazır olarak verir; siz yalnızca DNS ayarlarınıza eklersiniz.

Kayıtlar spam sorunumu tamamen çözer mi? Teslim edilebilirliği belirgin biçimde artırır ve sahteciliği zorlaştırır; ancak içerik kalitesi ve gönderim itibarı da önemlidir.

imail ile hazır kimlik doğrulama

imail kurumsal paketlerinde kendi alan adınızı eklediğinizde DKIM anahtarı otomatik üretilir ve gerekli DNS kayıtları size adım adım sunulur. Ayrıntılar için kurumsal sayfasına, kendi alan adıyla kurulum için alan adı rehberimize göz atabilirsiniz.