SPF, DKIM ve DMARC Nedir? E-Posta Kimlik Doğrulama Rehberi

Gönderdiğiniz e-postalar karşı tarafa ulaşmıyor ya da doğrudan spam kutusuna mı düşüyor? Bunun en yaygın nedeni, alan adınızda eksik veya hatalı e-posta kimlik doğrulama kayıtlarıdır. SPF, DKIM ve DMARC adını taşıyan bu üç DNS kaydı, gönderdiğiniz maillerin gerçekten sizden geldiğini kanıtlar ve sahtecilik (spoofing) girişimlerini engeller. Bu rehberde üçünün ne olduğunu, nasıl çalıştığını, aralarındaki farkı ve cPanel üzerinden nasıl ekleneceğini adım adım anlatıyoruz.

SPF, DKIM ve DMARC Ne Demek?

SPF, DKIM ve DMARC; alan adınızdan gönderilen e-postaların sahte olmadığını kanıtlayarak spam’e düşmesini önleyen üç DNS kaydıdır. Her biri farklı bir soruyu yanıtlar:

• SPF: “Bu alan adı adına hangi sunucular mail gönderebilir?”
• DKIM: “Bu mailin içeriği yolda değiştirildi mi?”
• DMARC: “SPF veya DKIM başarısız olursa ne yapılacak?”

Bu üçü birlikte çalıştığında, alan adınızı taklit ederek sahte mail gönderen saldırganların önü kesilir ve meşru maillerinizin teslim edilebilirliği artar. Bir e-postanın hangi sunucuya yönlendirileceğini belirleyen temel kaydı merak ediyorsanız MX Kaydı Nedir? yazımız iyi bir başlangıçtır; SPF, DKIM ve DMARC bu yönlendirmenin güvenlik katmanıdır.

SPF Kaydı Nedir ve Nasıl Çalışır?

SPF (Sender Policy Framework), alan adınız adına hangi posta sunucularının e-posta göndermeye yetkili olduğunu belirten bir TXT kaydıdır. Bir mail sunucusu size ait bir adresten mail aldığında, alan adınızın SPF kaydına bakar ve gönderen sunucunun bu listede olup olmadığını kontrol eder.

Örnek bir SPF kaydı şöyle görünür:

v=spf1 include:_spf.verimin.com.tr ~all

Buradaki include yetkili sunucuları, sondaki ~all ise listede olmayan sunuculardan gelen mailin “yumuşak başarısızlık” (soft fail) olarak işaretleneceğini belirtir. SPF sayesinde biri sizin adınıza yetkisiz bir sunucudan mail göndermeye çalışırsa, alıcı sunucu bunu tespit edebilir.

Önemli bir kural: bir alan adında yalnızca bir SPF kaydı bulunabilir; birden fazla gönderen varsa hepsi tek kayıtta include ile birleştirilir.

DKIM Nedir ve Nasıl Çalışır?

DKIM (DomainKeys Identified Mail), gönderdiğiniz her e-postaya görünmez bir dijital imza ekleyerek mailin yolda değiştirilmediğini ve gerçekten sizin alan adınızdan çıktığını kanıtlar.

DKIM iki anahtar kullanır:

• Özel anahtar sunucuda saklanır ve giden maili imzalar.
• Genel anahtar ise alan adınızın DNS’inde bir TXT kaydı olarak yayınlanır.

Alıcı sunucu, gelen mailin imzasını DNS’teki genel anahtarla doğrular. İmza tutuyorsa mail hem gerçek göndericiden gelmiştir hem de içeriği değişmemiştir. DKIM kaydında selector adı verilen bir etiket (örneğin default._domainkey) hangi anahtarın kullanılacağını belirtir.

DMARC Nedir ve Nasıl Çalışır?

DMARC (Domain-based Message Authentication, Reporting and Conformance), SPF ve DKIM sonuçlarına bakarak başarısız mailler için ne yapılacağını belirleyen politika kaydıdır. SPF ve DKIM tek başına “başarısız” diyebilir ama sonucu ne olacağına karar veremez; işte bu kararı DMARC verir.

Örnek bir DMARC kaydı:

v=DMARC1; p=quarantine; rua=mailto:[email protected]

Buradaki p politikayı, rua ise doğrulama raporlarının gönderileceği adresi belirtir. DMARC ayrıca size düzenli raporlar göndererek alan adınız adına kimlerin mail göndermeye çalıştığını görmenizi sağlar.

SPF, DKIM ve DMARC Arasındaki Fark (Birlikte Nasıl Çalışırlar?)

Üç kayıt birbirinin yerine geçmez; bir zincirin halkaları gibi birlikte çalışır:

Akış şöyle işler: mail geldiğinde alıcı sunucu önce SPF ve DKIM‘i kontrol eder, sonra DMARC politikasına bakarak maili kabul eder, karantinaya alır veya reddeder. Bu yüzden en güçlü koruma, üçünün birlikte tanımlanmasıyla elde edilir.

DMARC Politikası: none, quarantine ve reject

DMARC kaydındaki p değeri, doğrulamayı geçemeyen maillere ne olacağını belirler ve üç seviyesi vardır:

• p=none — Hiçbir işlem yapılmaz, sadece izlenir ve rapor toplanır. Yeni kurulumlarda ilk adım olarak önerilir.
• p=quarantine — Doğrulamayı geçemeyen mailler spam/karantina kutusuna yönlendirilir.
• p=reject — Doğrulamayı geçemeyen mailler tamamen reddedilir; en katı ve en güvenli seviyedir.

Doğru yaklaşım kademeli geçiştir: önce p=none ile birkaç hafta rapor toplayıp meşru gönderenlerinizi doğrulamak, ardından quarantine ve nihayet reject seviyesine yükselmektir. Bu sayede yanlışlıkla kendi maillerinizi engellemezsiniz.

SPF, DKIM ve DMARC Kayıtları Nasıl Eklenir? (cPanel / DNS)

Üç kayıt da alan adınızın DNS bölgesine TXT kaydı olarak eklenir. cPanel kullanıyorsanız en pratik yol Email Deliverability (E-posta Teslim Edilebilirliği) aracıdır:

1. cPanel’de Email Deliverability bölümüne girin.
2. İlgili alan adının yanındaki Manage seçeneğine tıklayın.
3. cPanel, eksik olan SPF ve DKIM kayıtlarını sizin için otomatik oluşturur; “Install the Suggested Record” ile tek tıkla ekleyebilirsiniz.
4. DMARC için Zone Editor’den bir TXT kaydı ekleyin: Name _dmarc, değer v=DMARC1; p=none; rua=mailto:....

Elle eklemek isterseniz her üçü de Zone Editor > Add Record > TXT üzerinden girilir. Bu kayıtların birer alan adı ayarı olduğunu ve DNS’in nasıl çalıştığını DNS Nedir? yazımızda ayrıntılı bulabilirsiniz.

Kayıtları ekledikten sonra, DNS yayılımı nedeniyle tam olarak aktif olmaları birkaç saati bulabilir.

“Maillerim Spam’e Düşüyor / Gitmiyor” — Çözüm

E-postalarınızın spam’e düşmesinin veya hiç ulaşmamasının en yaygın nedeni eksik ya da hatalı kimlik doğrulama kayıtlarıdır. Sık karşılaşılan durumlar:

• SPF eksik veya yanlış: Gönderen sunucunuz SPF listesinde değilse mailleriniz “yetkisiz” sayılır.
• DKIM imzası yok: İmzasız mailler birçok sağlayıcı tarafından şüpheli bulunur.
• “No DMARC record found”: Alan adınızda DMARC kaydı yoktur; eklenmesi teslim edilebilirliği artırır.
• DMARC reject çok erken açıldı: Henüz doğrulanmamış meşru gönderenleriniz varsa mailleriniz reddedilebilir.

Bu sorunların çoğu, üç kaydı doğru şekilde tanımlayıp DMARC’ı önce p=none ile izleyerek çözülür. Emin değilseniz Verimin destek ekibi, alan adınızın kayıtlarını kontrol edip eksikleri tamamlamanıza yardımcı olur.

SPF, DKIM ve DMARC Kayıtlarını Nasıl Kontrol Edersiniz?

Kayıtlarınızın doğru yayınlandığını doğrulamak için:

• Çevrimiçi araçlar: MXToolbox gibi servislerde alan adınızı girerek SPF, DKIM ve DMARC kayıtlarını sorgulayabilirsiniz.
• Komut satırı: nslookup -type=txt alanadiniz.com veya _dmarc.alanadiniz.com sorgusuyla TXT kayıtlarını görebilirsiniz.

Kayıt değişikliği sonrası sonuç eski görünüyorsa, bu genellikle DNS yayılım süresinden kaynaklanır ve kısa sürede güncellenir.

Sıkça Sorulan Sorular

SPF, DKIM ve DMARC’ın üçü de zorunlu mu?
Teknik olarak zorunlu değildir, ancak üçü birlikte kullanıldığında teslim edilebilirlik ve güvenlik en yüksek seviyeye çıkar. Modern sağlayıcılar giderek üçünü de bekliyor.

Sadece SPF yeterli mi?
Tek başına SPF, içerik bütünlüğünü (DKIM) veya başarısızlık politikasını (DMARC) sağlamaz. Yalnızca SPF, eksik bir korumadır.

Birden fazla SPF kaydı olabilir mi?
Hayır. Bir alan adında yalnızca bir SPF kaydı olmalıdır; tüm gönderenler tek kayıtta include ile birleştirilir.

DMARC’ı ne zaman reject‘e almalıyım?
Önce p=none ile birkaç hafta rapor toplayıp tüm meşru gönderenlerinizin SPF/DKIM’den geçtiğini doğruladıktan sonra kademeli olarak quarantine ve reject‘e geçin.

Kayıtlar ne kadar sürede aktif olur?
DNS yayılımı nedeniyle değişiklikler genellikle birkaç dakika ile birkaç saat içinde, nadiren 24-48 saatte tam olarak etkinleşir.

SPF, DKIM ve DMARC; e-posta güvenliğinin ve teslim edilebilirliğinin temel taşlarıdır. Üçünü birlikte doğru şekilde tanımladığınızda hem alan adınız sahtecilikten korunur hem de maillerinizin spam’e düşmeden alıcıya ulaşma ihtimali önemli ölçüde artar. Kurulumdan emin değilseniz, cPanel’in Email Deliverability aracı ve Verimin destek ekibi bu süreci sizin için kolaylaştırır.