Kurumsal E-posta İçin SPF, DKIM ve DMARC Kurulumu

Kurumsal e-posta iletilerinin alıcıya ulaşmasını iyileştirmek için alan adınızda SPF, DKIM ve DMARC doğrulamasını birlikte yapılandırmanız gerekir. Önce hangi servislerin sizin adınıza gönderim yaptığını belirleyin; ardından sağlayıcının verdiği DNS değerlerini tek tek ekleyip yeni bir test iletilerinin sonuçlarını ve DMARC raporlarını kontrol edin. Bu kayıtlar teslimatı garanti etmez, ancak alan adının yetkili göndericilerini ve doğrulama politikasını daha açık hale getirir.

Kurumsal e-posta doğrulamasında üç kayıt ne yapar?

SPF, alan adınız adına e-posta göndermesine izin verilen sunucuları DNS üzerinden tanımlar. Alıcı sunucu, iletinin bağlandığı gönderim kaynağını bu listeyle karşılaştırır. DKIM ise gönderim sırasında iletiye kriptografik bir imza ekler; alıcı, açık anahtarı DNS’ten alarak imzanın geçerli olup olmadığını ve içeriğin aktarım sırasında değişip değişmediğini denetler.

DMARC, SPF veya DKIM sonucunun görünen gönderen alan adıyla uyumlu olup olmadığını değerlendirir. Ayrıca başarısız iletiler için rapor gönderilmesini ve politikanın nasıl uygulanacağını belirleyebilir. SPF ve DKIM tek başına geçerli görünse bile alan adı uyumu sağlanmıyorsa DMARC sonucu beklenenden farklı çıkabilir. Bu nedenle kayıtları ayrı ayrı değil, aynı gönderim akışının parçaları olarak ele alın.

Kuruluma başlamadan önce gönderim kaynaklarını çıkarın

DNS yönetim ekranına ve kurumsal e-posta sağlayıcınızın yönetici paneline erişiminiz olmalıdır. Ayrıca alan adınız adına gönderim yapan tüm kaynakları yazın: ana posta servisi, web sitesinin iletişim formları, fatura veya pazarlama uygulamaları ve varsa müşteri destek sistemi. Sağlayıcının SPF, DKIM ve DMARC için verdiği güncel değerler esas alınmalıdır; kayıt adları ve anahtar biçimi hizmete göre değişebilir.

Diyelim ki şirketiniz çalışan postaları için tek bir e-posta sağlayıcısı kullanıyor, ancak web sitesi de doğrudan sunucudan bildirim gönderiyor. SPF değeri yalnızca posta sağlayıcısını içeriyorsa site bildirimleri başarısız olabilir. Bu durumda ikinci bir SPF kaydı açmak yerine, her iki yetkili kaynağı tek bir SPF politikası içinde sağlayıcının önerdiği biçimde birleştirmek veya siteyi doğrulanmış bir gönderim rölesine yönlendirmek daha doğru seçenektir. Site gönderim yapmıyorsa gereksiz bir kaynağı yetkilendirmeyin.

SPF, DKIM ve DMARC kayıtlarını güvenli sırayla ekleyin

1. Mevcut DNS kayıtlarını inceleyin. Alan adı DNS ekranında TXT kayıtlarını ve e-posta sağlayıcısının alan adı doğrulama bölümünü karşılaştırın. Aynı alan adı için birden fazla SPF kaydı görürseniz yeni kayıt eklemeyin; sağlayıcının birleştirme yönergesini izleyin. Eski değeri bir yere kaydedin; değişiklik öncesi geri dönüş için bu bilgiye ihtiyacınız olabilir.
2. SPF kaydını sağlayıcının değeriyle güncelleyin. TXT kaydının doğru alan adına eklendiğini ve mevcut yetkili gönderim kaynaklarının kapsandığını kontrol edin. Test sonucunda SPF başarısızsa önce kayıtta eksik bir servis veya yazım hatası arayın; tüm kaynakları gelişigüzel eklemeyin. Birden fazla SPF kaydı varsa hedef, bunları rastgele çoğaltmak değil tek ve tutarlı bir politika oluşturmaktır.
3. DKIM imzasını etkinleştirin. E-posta yönetim panelinde alan adınız için DKIM anahtarını oluşturun veya sağlayıcının verdiği seçici adı ve TXT/CNAME değerini DNS’e ekleyin. Panelde durumun doğrulanmış görünmesini bekleyin. DKIM hâlâ başarısızsa anahtarın yanlış seçici altında yayınlanıp yayınlanmadığını ve DNS sağlayıcısının değeri değiştirmeden kaydettiğini inceleyin; yeni anahtar üretmeden önce mevcut değeri not edin.
4. DMARC’ı önce gözlemleme politikasıyla başlatın. DNS’te alan adının DMARC alt alanı için sağlayıcının önerdiği TXT kaydını oluşturun ve raporların ulaşacağı, kuruluşunuzun kontrol ettiği bir adres kullanın. İlk aşamada rapor toplamak, hangi kaynakların SPF veya DKIM doğrulamasını geçemediğini görmenizi sağlar. Rapor adresine erişiminiz yoksa rastgele bir kişisel adres kullanmak yerine kurumsal olarak yönetilen bir posta kutusu belirleyin.
5. Aynı gönderim akışını yeniden test edin. Değişiklikten sonra çalışan bir hesapla aynı türde test iletisi gönderin; alıcıdaki ileti ayrıntılarında SPF, DKIM ve DMARC sonuçlarını ve görünen gönderen alan adıyla uyumu inceleyin. DNS önbellekleri nedeniyle sonuç hemen değişmeyebilir. SPF ve DKIM başarılı, DMARC başarısızsa imza veya zarf gönderen alan adının görünen alan adıyla hizalanmasını sağlayıcının ilgili ayarlarında kontrol edin.

Sonuçlara göre politikayı nasıl sıkılaştırmalısınız?

DMARC raporlarında yalnızca beklediğiniz posta sağlayıcısı görünüyorsa ve iletiler uyumlu doğrulanıyorsa, sağlayıcınızın desteklediği daha sıkı bir politikaya kademeli geçişi değerlendirebilirsiniz. Buna karşılık web sitesi, CRM veya otomasyon aracı başarısız kaynak olarak görünüyorsa önce o serviste DKIM’i etkinleştirin ya da gönderimi doğrulanmış posta altyapısına taşıyın. Kaynak düzeltilmeden politikanın sertleştirilmesi, meşru bildirimlerin karantinaya alınmasına veya reddedilmesine yol açabilir.

Örneğin raporlar çalışan postalarının geçtiğini, fakat sipariş bildirimlerinin başka bir uygulamadan geldiğini gösterirse sorunu SPF’yi sınırsız biçimde genişleterek çözmeye çalışmayın. Uygulamanın DKIM desteğini ve görünen gönderen ayarını inceleyin; destek yoksa uygulamayı e-posta sağlayıcısının doğrulanmış SMTP veya API akışına yönlendirin. Sonra yeni bir sipariş bildirimi gönderip yalnız bu değişiklikten sonra oluşan raporu kontrol edin. Sorun sürerse önceki ayarı geri yükleyin ve bildirimleri geçici olarak ayrı, doğrulanmış bir alt alan adından göndermeyi değerlendirin.

Değişiklikleri doğrularken hangi kanıtları saklamalısınız?

Her değişiklikten önce DNS değerinin ve e-posta panelindeki özgün durumun kaydını tutun; aynı anda birden fazla ayarı değiştirmeyin. Test iletisinin gönderim saatini not edin ve alıcı sunucunun ileti başlıklarını, sağlayıcı doğrulama ekranını ve aynı saate ait DMARC raporlarını birlikte değerlendirin. Bir alıcıda başarılı görünen sonuç, tüm alıcıların aynı politikayı uyguladığı anlamına gelmez; sağlayıcı davranışı, önbellekleme ve rapor gecikmeleri farklı olabilir.

Alan adı DNS ayarlarını veya posta servislerini kendiniz yönetmiyorsanız, önce sağlayıcının doğrulama ekranındaki önerilen değerleri ve mevcut kayıtları hazırlayın. Teknik terimleri ve kayıtların anlamını İyibirNet üzerindeki ilgili hosting rehberleriyle karşılaştırabilirsiniz; ancak alan adınıza ait özgün değerleri yalnızca kendi sağlayıcınızın yönetim ekranından alın.

İlk güvenli sonraki adım, gönderim yapan tüm servisleri listeleyip mevcut SPF ve DKIM sonuçlarını tek bir test iletisinde kaydetmektir. Bu envanter tamamlanmadan DMARC politikasını sıkılaştırmayın; aksi halde hangi kaynağın başarısız olduğunu ayırt etmek zorlaşır.