SPF, DKIM ve DMARC basitçe açıklandı (ve kendinizinkini beş dakikada nasıl kontrol edersiniz)

Teslim edilebilirlikten söz açıldığında üç kısaltma hemen karşımıza çıkar: SPF, DKIM, DMARC. Bunları genellikle bir kez, barındırma sağlayıcınızın yardım sayfasında bulduğunuz satırları kopyalayarak yapılandırır ve sonra unutursunuz. Ta ki e-postalar spam'e düşene ve kimse neyin kurulduğunu tam olarak hatırlamayana kadar.

Oysa bu üç mekanizma, e-postanızı alan her sunucunun sorduğu basit bir soruya yanıt verir: "Bu mesaj gerçekten iddia ettiği yerden mi geliyor?" Net bir yanıt yoksa mesaj şüpheli olarak değerlendirilir.

Neden artık zorunlu hale geldi

Uzun süre bu kayıtlar şiddetle tavsiye ediliyordu. Artık ise zorunlu tutuluyor. Şubat 2024'te Gmail ve Yahoo, çok sayıda e-posta gönderen göndericilere geçerli SPF ve DKIM, yayımlanmış bir DMARC politikası, tek tıkla abonelikten çıkma bağlantısı ve düşük bir şikayet oranı şartı getirdi. Microsoft da Outlook.com için Mayıs 2025'ten itibaren geçerli olacak benzer gereklilikler duyurdu.

Resmi eşikler büyük göndericileri hedefliyor, ancak gerçekte doğru kimlik doğrulaması olmayan bir alan adının mesajları bu hacimlere ulaşmadan çok önce filtrelenir. Potansiyel müşteri kazanımı için üç kaydı da asgari gereklilik olarak görmek gerekir.

SPF: yetkili sunucuların listesi

SPF (Sender Policy Framework), alan adınızın DNS'inde yayımlanan bir satırdır. Şunu söyler: "Bu alan adından gönderilen e-postalar yalnızca şu sunuculardan çıkabilir." Bir sunucu alan adınızdan imzalanmış bir mesaj aldığında, gönderen sunucunun listede olup olmadığını kontrol eder.

Bir SPF kaydı şöyle görünür:

v=spf1 include:_spf.mail.hostinger.com ~all

Soldan sağa okuyun: sürüm, ardından yetkili sunucular (burada barındırma sağlayıcınızın sunucuları), ardından diğerleri için ne yapılacağı. Sondaki "~all", diğer sunucuları reddetmeden şüpheyle ele alınmalarını ister; bu da temkinli bir tercihtir.

En yaygın hatalar:

• aynı alan adında iki SPF kaydı: bu yasaktır ve sonuç geçersiz olur. İkisini tek bir satırda birleştirmek gerekir;
• unutulan bir hizmet: üçüncü taraf bir yazılımdan da faturalar gönderiyorsunuz ama o hizmet listede yok;
• çok fazla "include": SPF, DNS sorgusu sayısını onla sınırlar. Bunun ötesinde kayıt başarısız olur.

DKIM: mesajın imzası

DKIM (DomainKeys Identified Mail), her e-postaya şifreli bir imza ekler. Gönderen sunucu özel bir anahtarla imzalar ve buna karşılık gelen ortak anahtar DNS'inizde yayımlanır. Alıcı imzayı doğrular: imza geçerliyse, mesajın gerçekten alan adınızdan geldiğini ve yolda değiştirilmediğini bilir.

Ortak anahtar, barındırma sağlayıcınızın seçtiği bir "seçici" (selector) ile oluşturulan belirli bir DNS adresinde bulunur, örneğin:

hostingermail1._domainkey.votredomaine.fr

DKIM sorunlarının çoğu işte burada gizlenir: eksik kopyalanmış bir anahtar (uzun olurlar), sunucunun gerçekte kullandığından farklı bir seçici ya da barındırma sağlayıcınızın elle etkinleştirme beklediği için hiç yayımlanmamış bir anahtar. Tek güvenilir kontrol, gerçek bir e-posta gönderip varışta başlığına bakmaktır.

DMARC: başarısızlık durumunda talimat

DMARC (Domain-based Message Authentication, Reporting and Conformance), önceki ikisini birbirine bağlar. Alıcı sunucuya şunu söyler: "Bir mesaj benim alan adımdan geldiğini iddia ediyor ama SPF'te ve DKIM'de başarısız oluyorsa, onunla ne yapman gerektiği şudur." Ayrıca sizin adınıza gönderilen mesajlarla ilgili raporlar almanızı da sağlar.

Başlangıç için bir DMARC kaydı şöyle görünür:

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr

"p=none" şu anlama gelir: hiçbir şeyi engelleme, ama rapor gönder. Bu, Gmail ve Yahoo'nun talep ettiği asgari politikadır ve iyi bir başlangıç noktasıdır. Tüm meşru gönderilerinizin kimlik doğrulamadan geçtiğinden emin olduğunuzda "p=quarantine" (kimliği doğrulanmamış mesajları spam'e taşı) ve ardından isteğe bağlı olarak "p=reject" seçeneğine geçebilirsiniz.

İnce bir nokta: DMARC, SPF veya DKIM ile doğrulanan alan adının gönderen adresinde görünenle aynı olmasını gerektirir. Buna hizalama (alignment) denir. paul@votredomaine.fr adresinden gönderilen ama barındırma sağlayıcınızın teknik alan adı tarafından DKIM ile imzalanan bir e-posta, DKIM'den geçip yine de DMARC'de başarısız olabilir.

Kayıtlarınızı beş dakikada kontrol edin

Sistem yöneticisi olmanıza gerek yok. Üç kontrol yeterli:

1. Alan adınızın TXT kayıtlarına çevrimiçi bir DNS sorgu aracıyla bakın. "v=spf1" ile başlayan tek bir satır ve _dmarc.votredomaine.fr adresinde bir "v=DMARC1" satırı bulmanız gerekir.
2. İlgili posta kutusundan kişisel bir Gmail adresine e-posta gönderin, açın ve orijinal mesajı görüntüleyin. Gmail, "SPF: PASS", "DKIM: PASS" ve "DMARC: PASS" bilgilerini her biri için kullanılan alan adıyla birlikte açıkça gösterir.
3. DKIM için belirtilen alan adının barındırma sağlayıcınızınki değil, gerçekten sizinki olduğunu doğrulayın.

SmartOutbound'da bu kontrol otomatik olarak yapılır: her alan adı her gün denetlenir, bir posta kutusu bağlandığında gönderilen test e-postası varışta gerçekte görülen DKIM imzasını doğrular ve posta kutuları sayfasındaki "DNS'leri Kontrol Et" düğmesi kontrolü talep üzerine yeniden başlatır. DMARC eksikse ve alan adınız Hostinger'daysa, araç bunu sizin için ekleyebilir bile.

Peki gerisi?

Bu üç kayıt, e-postalarınızın gelen kutunuza ulaşacağını garanti etmez. Yalnızca önlenebilir teknik bir nedenle reddedilmeyeceklerini garanti ederler. Gerisi alan adınızın itibarına, listelerinizin kalitesine ve mesajlarınızın içeriğine bağlıdır. Yeni alan adları için warmup süresini de hesaba katmak gerekir. Ana alan adınızdan potansiyel müşteri kazanımı yapma konusunda tereddüt ediyorsanız, özel alan adı hakkındaki makalemiz karar vermenize yardımcı olur.