SPF, DKIM ve DMARC: kurumsal e-posta kimlik doğrulama rehberi

Bir e-postanın "kimden" satırında şirketinizin adının yazması, o e-postanın gerçekten sizden geldiği anlamına gelmez. E-posta protokolü tasarlandığında kimlik doğrulama düşünülmemişti; bu boşluğu bugün üç açık standart kapatır: SPF, DKIM ve DMARC. Bu rehberde her birinin ne yaptığını, nasıl birlikte çalıştıklarını ve kuruluşunuzda nasıl devreye alacağınızı anlatıyoruz.

SPF nedir ve nasıl çalışır?

SPF (Sender Policy Framework), alan adınız adına e-posta göndermeye yetkili sunucuları ilan ettiğiniz bir DNS TXT kaydıdır. Alıcı sunucu, e-postayı getiren sunucunun IP adresini bu listeyle karşılaştırır; listede yoksa doğrulama başarısız olur.

Önemli bir ayrıntı: SPF, alıcının ekranda gördüğü From başlığını değil, zarf göndericisini (Return-Path / MAIL FROM) kontrol eder. Ayrıca bir SPF kaydının çözümlenmesi en fazla 10 DNS sorgusu ile sınırlıdır; çok sayıda üçüncü taraf servis kullanan kuruluşlar bu limite dikkat etmelidir. SPF'in bilinen zayıflığı ise e-posta yönlendirmeleridir: mesaj başka bir sunucu üzerinden iletildiğinde IP değişir ve kontrol bozulabilir.

DKIM nedir ve neyi garanti eder?

DKIM (DomainKeys Identified Mail), gönderen sunucunun her e-postaya özel anahtarıyla ürettiği kriptografik bir imza eklemesidir. İmza; seçilen başlıkların ve gövdenin özetini kapsar. Alıcı sunucu, alan adınızın DNS'inde yayımlanan genel anahtarla (selector._domainkey.alanadi.com adresindeki kayıt) bu imzayı doğrular.

DKIM iki şeyi kanıtlar: e-postanın imzayı atan alan adı tarafından gönderildiğini ve imzalanan içeriğin yolda değiştirilmediğini. SPF'ten farklı olarak DKIM, içerik bozulmadığı sürece yönlendirmelerde de geçerliliğini korur. Bu yüzden ikisi rakip değil, birbirini tamamlayan kontrollerdir.

DMARC nedir ve neden gereklidir?

DMARC (Domain-based Message Authentication, Reporting and Conformance), SPF ve DKIM'in üzerine oturan politika katmanıdır. İki kritik iş yapar: doğrulanan alan adının, alıcının gördüğü From başlığındaki alan adıyla hizalanmasını (alignment) şart koşar ve doğrulamayı geçemeyen e-postalara ne yapılacağını belirler.

DMARC kaydındaki p etiketi üç politika seviyesi tanımlar:

• p=none — İzleme modu: hiçbir e-posta engellenmez, yalnızca rapor toplanır. Geçişin ilk adımıdır.
• p=quarantine — Doğrulamayı geçemeyen e-postalar şüpheli işaretlenir ve genellikle spam klasörüne düşer.
• p=reject — Doğrulamayı geçemeyen e-postalar tamamen reddedilir. Alan adı taklidini fiilen kapatan hedef seviyedir.

Üç standart birlikte nasıl çalışır?

Alıcı sunucu bir e-postayı aldığında önce SPF ve DKIM kontrollerini çalıştırır. DMARC'ın "geçti" demesi için bu ikisinden en az birinin hem doğrulamayı geçmesi hem de From başlığındaki alan adıyla hizalı olması gerekir. Yani saldırgan, kendi alan adıyla geçerli bir SPF kaydına sahip olsa bile, sizin alan adınızı From satırına yazdığında DMARC hizalaması başarısız olur ve politika devreye girer.

Bu mimari sayesinde koruma, tek tek e-postalara değil alan adının kendisine bağlanır. DMARC'ın rapor mekanizması (rua etiketi) ise alan adınızı kimlerin, hangi sunuculardan kullandığını size düzenli olarak bildirir — çoğu kuruluş bu raporlarda unuttuğu meşru gönderim kaynaklarını keşfeder.

Kuruluşunuzda uygulama adımları

Kimlik doğrulamayı güvenle devreye almak için sıralı ve sabırlı bir yol izleyin:

• Envanter çıkarın: Alan adınızdan e-posta gönderen tüm sistemleri listeleyin — posta sunucusu, CRM, pazarlama aracı, faturalama, yardım masası.
• SPF kaydını yayımlayın: Tüm meşru kaynakları kapsayın, 10 DNS sorgusu limitini aşmayın.
• DKIM imzalamayı açın: Her gönderim kaynağı için ayrı selector kullanın; Microsoft 365 gibi platformlarda DKIM'i alan adınız için etkinleştirin.
• DMARC'ı p=none ile başlatın: rua adresine raporları toplayın ve birkaç hafta izleyin.
• Kademeli sıkılaştırın: Raporlar temizlendikçe quarantine, ardından reject seviyesine geçin.

Sonuç: kimlik doğrulama bir kez kurulup unutulmaz

SPF, DKIM ve DMARC bugün büyük e-posta sağlayıcılarının toplu gönderim için fiilen zorunlu tuttuğu temel hijyen katmanıdır. Doğru kurulduğunda alan adınızın taklit edilmesini büyük ölçüde engeller, teslim edilebilirliğinizi güçlendirir ve markanıza duyulan güveni korur. Yeni bir servis eklendiğinde kayıtların güncellenmesi gerektiğini unutmayın; kimlik doğrulama kurulan değil, yaşatılan bir süreçtir.

Alan adınızın teknik kimliğini bu standartlar korur; alıcının gözündeki görsel kimliği ise tutarlı bir kurumsal imza tamamlar. SignyFix, Microsoft 365 ortamında imzaları merkezi ve sunucu-taraflı dağıtarak bu bütünlüğün görünen yüzünü güvence altına alır.

Sık sorulan sorular