E-postalarınız Spam Klasörüne Düşüyorsa: SPF, DKIM ve DMARC

Şirket içinde herkes birbirine e-posta gönderebiliyor. Ama dışarıya çıkan bazı mailler karşı tarafın spam klasöründe buluyor kendini. Teklif göndermişsiniz, müşteri "gelmedi" diyor. Fatura yollamışsınız, muhasebe göremiyor. Sunucuda bir arıza yok, kota dolu değil, adres doğru yazılmış.

Bu tabloyu sahada en çok üç kaydın eksik ya da yanlış olduğu şirketlerde görüyoruz: SPF, DKIM ve DMARC. Üçü de alan adınızın DNS kayıtlarında duran birer metin satırı. Kurulumları yarım saat sürer, eksiklikleri aylarca iş kaybettirir.

Karşı taraftaki sunucu aslında ne yapıyor?

Bir e-posta gönderdiğinizde alıcının sunucusu mesajı hemen kutuya koymuyor. Önce şunu soruyor: bu mesaj gerçekten bu alan adından mı çıktı, yoksa biri sizin adınıza mı yazıyor?

Cevabı üç yerden arıyor. SPF kaydına bakıp "bu alan adı adına posta göndermeye yetkili sunucular arasında bu IP var mı" diye kontrol ediyor. DKIM imzasına bakıp "mesaj yolda değiştirilmiş mi" diye doğruluyor. DMARC kaydına bakıp "ilk ikisi başarısız olursa ne yapmamı istiyorsun" diye soruyor.

Bu üç sorudan biri cevapsız kalırsa mesaj tamamen reddedilmez. Genellikle daha kötüsü olur: sessizce spam klasörüne düşer. Ne size bir hata döner, ne alıcı haberdar olur.

SPF: kimler sizin adınıza posta gönderebilir

SPF, alan adınız adına posta göndermeye yetkili sunucuların listesi. DNS'te tek bir TXT kaydı olarak durur ve şuna benzer:

v=spf1 include:_spf.saglayiciniz.com ~all

Basit görünüyor ama sahada dört hata tekrar tekrar karşımıza çıkıyor.

Birden fazla SPF kaydı. Standart, bir alan adı için tek SPF kaydına izin verir. Şirket yeni bir e-posta pazarlama aracı ya da fatura sistemi eklediğinde çoğu zaman ikinci bir kayıt açılıyor. Alıcı sunucu bu durumda kontrolü doğrudan geçersiz sayar, ikisi birden çöker. Doğrusu, tüm kaynakları tek kaydın içinde include: ifadeleriyle toplamak.

On DNS sorgusu sınırı. SPF doğrulaması sırasında yapılabilecek DNS sorgusu sayısı standartta on ile sınırlı. Her include: en az bir sorgu demek ve bazıları kendi içinde başka kayıtlar çağırıyor. Üç dört servis ekledikten sonra sınırı sessizce aşıyorsunuz. Kayıt görünürde doğru duruyor ama doğrulama başarısız dönüyor.

Yanlış bitiş. Kaydın sonundaki ~all "listede olmayanları şüpheli say" demek, -all ise "kesinlikle reddet". Doğrudan -all ile başlamak, unuttuğunuz bir sistemin postalarının tamamen kaybolmasına yol açar. Önce ~all ile başlayıp raporları izlemek, sonra sıkılaştırmak daha güvenli.

Unutulan gönderen sistemler. Muhasebe yazılımınızın fatura maili, web sitenizin iletişim formu, CRM'in bildirimleri. Bunların hepsi sizin alan adınızla çıkıyorsa SPF kaydında yer almaları gerekir. Şirketlerin çoğu yalnızca ana posta sunucusunu ekliyor.

DKIM: mesajın yolda değişmediğini kanıtlar

DKIM, giden her mesaja görünmez bir dijital imza ekler. İmzanın açılmasını sağlayan genel anahtar, alan adınızın DNS kayıtlarında durur. Alıcı sunucu imzayı bu anahtarla doğrular ve mesajın gönderildiği andan bu yana değişmediğini görür.

DKIM'in pratikteki değeri şu: SPF yalnızca gönderen sunucunun IP adresine bakar. Mesaj bir posta listesinden geçtiğinde ya da yönlendirildiğinde IP değişir, SPF kırılır. DKIM imzası ise mesajla birlikte seyahat eder, yönlendirmelerden sağ çıkar.

Burada da iki yaygın aksaklık var. Birincisi, sağlayıcı DKIM'i etkinleştirdiğini söylüyor ama DNS tarafına eklenmesi gereken kayıt hiç eklenmemiş oluyor. İkincisi, anahtar bir kere kurulup unutuluyor. Anahtarları belirli aralıklarla yenilemek iyi bir alışkanlık. Yenileme sırasında eski ve yeni kaydı bir süre birlikte yayında tutun, yoksa geçiş anında imzalar doğrulanmaz.

DMARC: kararı siz veriyorsunuz

SPF ve DKIM iki ayrı kontrol. DMARC bunları birbirine bağlar ve "başarısız olurlarsa ne yapılsın" sorusunu cevaplar. Üç politika seçeneği var:

p=none hiçbir şey yapma, sadece raporla. p=quarantine şüpheli olanı spam klasörüne koy. p=reject kabul etme.

Doğru sıra none ile başlamak. Bu aşamada alan adınız adına kimin posta gönderdiğini gösteren raporlar gelmeye başlar. Bu raporlar neredeyse her seferinde sürpriz çıkarır: kimsenin haberi olmayan bir eski pazarlama aracı, bir tedarikçinin sizin adınıza gönderdiği bildirimler, ya da gerçekten sahte gönderim denemeleri. Tabloyu gördükten sonra quarantine, ardından reject aşamasına geçin.

Doğrudan reject ile başlamak, henüz farkında olmadığınız meşru gönderim kaynaklarınızın postalarını bir gecede kesebilir.

Büyük sağlayıcılar artık bunu şart koşuyor

2024 başından itibaren Google ve Yahoo, belirli hacmin üzerinde toplu posta gönderen alan adlarından DMARC kaydı istemeye başladı. Kural yalnızca yüksek hacimli göndericileri kapsıyor ama yön belli: kimlik doğrulaması olmayan alan adları için kutuya ulaşmak her yıl biraz daha zorlaşıyor.

Bu, sadece pazarlama e-postası gönderen şirketleri ilgilendiren bir konu değil. Aynı altyapı sizin teklif, fatura ve sözleşme maillerinizi de taşıyor.

Kayıtlar doğru ama sorun sürüyorsa

Üç kaydı da düzelttiğiniz halde mailler hâlâ spam klasörüne düşüyorsa bakılacak birkaç yer daha var.

IP itibarı. Paylaşımlı bir sunucudaysanız aynı IP'yi kullanan başka bir şirketin toplu gönderimi sizin itibarınızı da düşürür. Kurumsal bir e-posta hizmetinde bu riski sağlayıcı yönetir.

İçerik ve biçim. Yalnızca bir görselden oluşan mailler, kısaltılmış bağlantılar ve büyük harflerle yazılmış konu satırları filtreleri tetikler.

Liste hijyeni. Geri dönen adreslere göndermeye devam etmek, gönderen itibarınızı hızla aşağı çeker. Sert dönüşleri listeden çıkarmak gerekir.

Geri bildirim döngüsü. Alıcılar mesajınızı "spam" olarak işaretliyorsa kayıtlar mükemmel olsa bile sonuç değişmez. Bu durumda mesele teknik değil, gönderim izni ve içerik.

Nereden başlamalı

Sıra şu: önce alan adınız adına posta gönderen tüm sistemlerin listesini çıkarın. Muhasebe, CRM, web formu, pazarlama aracı, hepsini yazın. Sonra tek bir SPF kaydında toplayın. Ardından sağlayıcınızda DKIM'i etkinleştirip verdiği kaydı DNS'e ekleyin. En son p=none ile bir DMARC kaydı açıp raporları birkaç hafta izleyin. Tablo netleştiğinde politikayı sıkılaştırın.

Bu işlemler alan adı yönetim paneline erişim ve biraz dikkat gerektiriyor. Kendi başınıza yapmak isterseniz yukarıdaki sıra yeterli. Bizim müşterilerimizde bu kayıtları Durkon ekibi kuruyor ve Durkon Posta hizmetinde SPF, DKIM ve DMARC yapılandırması kurulumun standart parçası. Başka bir sağlayıcıdan taşınıyorsanız bu kayıtlar geçişin zaten içinde yer alıyor.

Konunun oltalama tarafıyla ilgileniyorsanız, sahte gönderimin nasıl engellendiğini siber güvenlik tarafında daha ayrıntılı ele alıyoruz.