SPF, DKIM ve DMARC nedir? E-posta alan adınızı adım adım koruyun

SPF, DKIM ve DMARC ne işe yarar? Kısa cevap

SPF, DKIM ve DMARC, alan adınızın DNS'inde bulunan ve bir e-postanın gerçekten sizden gelip gelmediğini birlikte gösteren üç kayıttır. SPF, alan adınız adına hangi sunucuların e-posta gönderebileceğini belirler. DKIM her mesaja dijital bir imza ekler. DMARC ise ikisini görünen gönderici adresiyle ilişkilendirir, sahte e-postalara ne olacağını belirler ve size raporlar gönderir.

Bu kayıtlar olmadan neredeyse herkes, alan adınızdan geliyormuş gibi görünen e-postalar gönderebilir; örneğin müşterilerinize sahte faturalar. Ayrıca büyük e-posta sağlayıcıları, e-postaları teslim etmek için giderek daha sık düzgün bir kimlik doğrulama şartı arıyor. İyi haber şu: Düzenli bir geçişle, meşru e-postaları kaybetmeden her iki sorunu da çözebilirsiniz.

SPF: Alan adınız adına kim e-posta gönderebilir?

SPF (Sender Policy Framework) ile alan adınız adına e-posta göndermesine izin verilen sunucuların ve hizmetlerin listesini DNS'te yayımlarsınız. Alıcı sunucu, mesajı teslim eden IP adresinin bu listede olup olmadığını kontrol eder. Dikkat: SPF, alıcının e-posta programında gördüğü adresi değil, teknik gönderici adresini (envelope sender veya Return-Path) kontrol eder.

Her alan adının yalnızca bir SPF kaydı olabilir. Hizmetler bu kayda genellikle bir include ile eklenir; örneğin Microsoft 365 için include:spf.protection.outlook.com. Burada on DNS sorgusu sınırı vardır: Çok sayıda hizmet eklerseniz bu sınır hızla aşılır ve SPF kontrolü, DMARC'ın başarısız saydığı bir hatayla sonuçlanır. Ayrıca SPF, mesajlar yönlendirildiğinde çoğu zaman bozulur, çünkü e-postayı artık başka bir sunucu teslim eder.

DKIM: Her mesaj için dijital imza

DKIM (DomainKeys Identified Mail) ile gönderen sunucu her mesajı özel bir anahtarla imzalar. Buna karşılık gelen açık anahtarı, seçici (selector) adı verilen bir ad altında DNS'te yayımlarsınız. Alıcı bu anahtarla e-postanın gerçekten yetkili bir sistemden gelip gelmediğini ve yolda değiştirilip değiştirilmediğini kontrol eder.

SPF'nin aksine DKIM, içerik veya imzalanmış başlıklar değiştirilmediği sürece basit bir yönlendirmeden genellikle etkilenmez. Her hizmetin yalnızca sağlayıcının alan adıyla değil, sizin alan adınızla imza attığından emin olun. Anahtar uzunluğu olarak bugün 2048 bit yaygındır.

DMARC: Alan adınız için kural ve raporlama

DMARC (Domain-based Message Authentication, Reporting and Conformance), ikisini alıcının gerçekten gördüğü gönderici adresiyle ilişkilendirir. Bir e-posta, SPF veya DKIM başarılı olursa ve kontrol edilen alan adı görünen From adresiyle eşleşirse DMARC'tan geçer; buna hizalama (alignment) denir. DMARC kaydında ayrıca bu kontrolden geçemeyen e-postalara ne olacağını belirlersiniz:

• p=none: yalnızca izleme. E-postalar normal şekilde teslim edilir, ancak siz raporlar alırsınız.
• p=quarantine: alıcılar kontrolden geçemeyen e-postaları şüpheli olarak ele alır; bu genellikle istenmeyen posta klasörü demektir.
• p=reject: kontrolden geçemeyen e-postalar reddedilir. Hedef budur.

rua etiketi üzerinden alıcı sağlayıcılar size genellikle günlük olarak XML biçiminde özet raporlar gönderir: Sizin adınıza hangi sunucuların e-posta gönderdiği, kaç mesaj olduğu ve SPF ile DKIM'in başarılı olup olmadığı. Bu raporlar e-postaların içeriğini kapsamaz. Ham veriler zor okunduğu için bir analiz hizmeti veya uygun bir araç kullanmaya değer.

Meşru e-postaları engellemeden adım adım geçiş

Tipik bir hata, DMARC'ı hemen reject olarak ayarlamaktır. O zaman muhasebe yazılımından giden faturalar veya bülten birden istenmeyen posta klasörüne düşer ya da hiç teslim edilmez. Şu sıra daha güvenlidir:

1. Tüm göndericileri listeleyin: e-posta sunucusu veya Microsoft 365, bülten aracı, CRM, fatura ve muhasebe yazılımı, web mağazası, destek talep sistemi, web sitesindeki iletişim formu, çok fonksiyonlu yazıcılar ve dış ajanslar.
2. SPF'yi düzenleyin: tüm yetkili hizmetleri içeren tek bir kayıt oluşturun, on sorgu sınırını kontrol edin ve ~all ile başlayın.
3. Her hizmet için DKIM'i etkinleştirin: sağlayıcının değil, kendi alan adınızla. Örneğin Microsoft 365'te DKIM'in kendi alan adlarınız için ayrıca açılması gerekir.
4. DMARC'ı izleme modunda başlatın: örneğin v=DMARC1; p=none; rua=mailto:dmarc@example.com kaydıyla; ardından raporları birkaç hafta boyunca değerlendirin.
5. Açıkları kapatın: bilinmeyen ama meşru göndericileri doğru şekilde doğrulayın veya kendi SPF ve DKIM kayıtları olan news.example.com gibi bir alt alan adına taşıyın.
6. Kademeli olarak sıkılaştırın: p=quarantine'e geçin, raporları izlemeye devam edin ve ardından p=reject'e geçin.
7. Sürekli bakım yapın: E-posta gönderen her yeni araç, kullanılmaya başlamadan önce SPF ve DKIM'e eklenir.

Büyük e-posta sağlayıcıları artık ne istiyor?

Google 2024'ten bu yana, kişisel Gmail adreslerine günde yaklaşık 5.000 veya daha fazla mesaj gönderenlerden SPF, DKIM ve en az p=none içeren bir DMARC kaydı istiyor; görünen gönderici alan adı da SPF veya DKIM ile hizalanmalıdır. Pazarlama e-postalarında ayrıca tek tıkla abonelikten çıkma olanağı gerekir. Yahoo aynı dönemde benzer kurallar getirdi, Microsoft da 2025'ten bu yana Outlook.com'da günde yaklaşık 5.000 veya daha fazla mesaj gönderenlere benzer şartlar uyguluyor. Google diğer tüm göndericilerden de en az SPF veya DKIM bekliyor.

BIMI: Logonuz gelen kutusunda

BIMI (Brand Indicators for Message Identification), destekleyen e-posta programlarında kimliği doğrulanmış mesajların yanında şirket logonuzu gösterir. Bunun için yaptırım uygulayan, yani quarantine veya reject olarak ayarlanmış bir DMARC politikası ve özel bir SVG biçiminde logo gerekir. Gmail gibi bazı sağlayıcılar ayrıca logo için ücretli bir sertifika ister. BIMI görünür bir artıdır, ancak tek başına bir güvenlik özelliği değildir.

Gelen e-postaları da koruyun

Kendi alan adınızdaki SPF, DKIM ve DMARC, öncelikle başkalarını sizin adınıza yapılan sahteciliklere karşı korur. Kendi gelen kutunuz için ayrıca gelen e-postaları kontrol eden ve dış, benzer görünen alan adlarından gelen saldırıları tespit eden bir filtre gerekir; çünkü DMARC yalnızca size ait alan adlarını korur, yazım hatası içeren benzerlerini değil. Şunlara dikkat edin:

• Gelen e-postalar SPF, DKIM ve DMARC açısından kontrol edilir ve göndericilerin DMARC politikalarına uyulur.
• Benzer görünen alan adlarına ve yönetici ya da tanınmış iş ortağı kılığına giren e-postalara karşı koruma.
• Bağlantıların ve eklerin, ideal olarak tıklandığı anda da kontrol edilmesi.
• Dış göndericiler için görünür bir uyarı ve şüpheli mesajlar için basit bir bildirme düğmesi.

En iyi filtre bile zaman zaman bir şeyi gözden kaçırır. Ekibinizin tehlikeli mesajları nasıl tanıyabileceğini oltalamanın uyarı işaretleri yazımızda anlatıyoruz. Microsoft 365 ortamları için ilgili ayarları Microsoft 365 güvenliği yazımızda bulabilirsiniz.

Sonuç: Önce listeleyin, sonra izleyin, sonra uygulayın

SPF, DKIM ve DMARC tek seferlik bir proje değildir, ancak yapılandırılmış bir şekilde ilerlediğinizde büyük bir iş de değildir: önce tüm göndericileri listeleyin, sonra izleyin, ardından adım adım uygulayın. Sonuçta alan adınızla e-posta taklit etmek çok daha zor hale gelir ve meşru e-postalarınız alıcılara daha güvenilir şekilde ulaşır. Kurulum veya raporların değerlendirilmesi konusunda destek isterseniz Q-entra, siber güvenlik kapsamında size yardımcı olur.