SPF, DKIM ve DMARC: Kurumsal e-postalarınız neden spam klasörüne düşüyor?

Teklif e-postanız müşterinin spam klasörüne düşüyorsa sorun çoğu zaman yazdığınız metinde değil, alan adınızın DNS kayıtlarındadır. Gmail, Outlook ve Yahoo gibi büyük sağlayıcılar bir e-postanın gerçekten sizin alan adınızdan gelip gelmediğini üç kayıtla kontrol eder: SPF, DKIM ve DMARC. Bu rehberde her birinin ne işe yaradığını, nasıl kurulduğunu ve kurulumdan sonra nasıl izleneceğini anlatıyoruz.

Üç kaydın kısa özeti

Şubat 2024’ten itibaren Gmail ve Yahoo, günde binlerce e-posta gönderen göndericilerden üçünü birden zorunlu tutuyor. Az e-posta gönderen işletmeler için de en azından SPF ve DKIM şart hale geldi; bunlar olmadan gelen kutusuna ulaşma ihtimali ciddi biçimde düşüyor.

SPF nasıl kurulur?

SPF kaydı, alan adınız adına e-posta gönderebilecek sunucuların listesidir. Örnek:

v=spf1 include:_spf.mail.hostinger.com include:_spf.google.com ~all

• include: ile e-posta hizmet sağlayıcınızın listesini eklersiniz. Hangi değeri kullanacağınızı sağlayıcınızın yardım sayfası söyler.
• Sondaki ~all “listede olmayanları şüpheli say”, -all ise “listede olmayanları reddet” anlamına gelir. Tüm gönderim kaynaklarınızdan eminseniz -all daha güçlüdür.
• Bir alan adında yalnız bir SPF kaydı olabilir. İki ayrı v=spf1 kaydı, ikisinin de geçersiz sayılmasına yol açar. Yeni bir sağlayıcı eklediğinizde mevcut kaydı düzenleyin.
• SPF, değerlendirme sırasında en fazla 10 DNS sorgusuna izin verir. Çok fazla include eklemek bu sınırı aşar ve kayıt sessizce başarısız olur.

Unutmayın: web sitenizin iletişim formu, e-bülten aracı, fatura programı ve CRM sisteminiz de sizin adınıza e-posta gönderiyor olabilir. Hepsini listeye eklemeniz gerekir.

DKIM nasıl kurulur?

DKIM, giden her e-postaya dijital bir imza ekler. Alıcı sunucu, DNS’teki genel anahtarla imzayı doğrular. Kurulum genellikle iki adımdır:

1. E-posta sağlayıcınızın panelinde DKIM’i etkinleştirin. Panel size bir kayıt adı (örneğin hostingermail1._domainkey) ve uzun bir değer verir.
2. Bu kaydı alan adınızın DNS ayarlarına aynen ekleyin ve panelde “doğrula” deyin.

Birden fazla gönderim hizmeti kullanıyorsanız her birinin kendi DKIM seçicisi olur; bunlar birbiriyle çakışmaz. Anahtar uzunluğu olarak 2048 bit tercih edilmelidir.

DMARC nasıl kurulur?

DMARC, SPF ve DKIM’in sonuçlarını bir politikaya bağlar ve size rapor gönderilmesini sağlar. En önemli kavram hizalamadır: e-postanın “Kimden” adresindeki alan adı ile SPF veya DKIM’de doğrulanan alan adı eşleşmelidir.

Güvenli bir geçiş planı şöyledir:

1. İzleme: v=DMARC1; p=none; rua=mailto:dmarc@alanadiniz.com ile başlayın. Bu politika hiçbir e-postayı engellemez, yalnız rapor toplar.
2. Raporları okuyun: Birkaç hafta boyunca gelen XML raporlarında hangi sunucuların sizin adınıza gönderim yaptığını görün. Tanımadığınız ama meşru olan kaynakları SPF ve DKIM’e ekleyin.
3. Karantina: Meşru tüm kaynaklar geçtiğinde p=quarantine ile başarısız e-postaları spam klasörüne yönlendirin.
4. Reddetme: Sorun çıkmazsa p=reject ile sahte e-postaların tamamen reddedilmesini sağlayın.

rua adresine yazdığınız posta kutusunun gerçekten var olması gerekir; aksi halde raporlar boşa gider. Raporlar çok sayıda gelebileceği için bu iş için ayrı bir adres açmak mantıklıdır.

Kurulumdan sonra nasıl test edilir?

• Kendinize bir Gmail hesabına e-posta gönderin, “Orijinali göster” seçeneğinde SPF, DKIM ve DMARC satırlarının PASS olduğunu görün.
• E-posta DNS testimizle alan adınızın kayıtlarını tek seferde kontrol edin.
• DNS değişikliklerinin yayılması birkaç dakika ile birkaç saat sürebilir; testi hemen tekrarlamak yanıltıcı olabilir.

Sık yapılan hatalar

1. İki SPF kaydı bırakmak. Eski sağlayıcıdan kalan kayıt silinmediğinde ikisi de geçersiz olur.
2. Doğrudan p=reject ile başlamak. Fatura veya form e-postalarınız gibi meşru gönderimler bir anda kaybolabilir.
3. Web sitesi formunu unutmak. Formlar sunucunun kendi mail() fonksiyonuyla gönderiyorsa hizalama başarısız olur. Formları kimlik doğrulamalı SMTP ile göndermek en sağlıklısıdır.
4. MX kaydını değiştirip SPF’yi güncellememek. E-posta sağlayıcısı değiştiğinde üç kaydın da yenilenmesi gerekir.

Kontrol listesi

• Alan adında tek bir SPF kaydı var ve tüm gönderim kaynaklarını içeriyor.
• Her gönderim hizmeti için DKIM etkin ve DNS’te yayında.
• DMARC kaydı en az p=none ile mevcut, rapor adresi çalışıyor.
• Test e-postasında üç kontrol de PASS.
• Birkaç haftalık rapor incelemesinden sonra politika quarantine veya reject seviyesine yükseltildi.

Örnek senaryo: form e-postaları neden kayboluyor?

Küçük bir işletme sitesindeki iletişim formundan gelen mesajların bir kısmı hiç ulaşmıyor, bir kısmı spam klasörüne düşüyor olsun. Teşhis adımları şöyledir:

1. Gelen bir form e-postasının başlıklarını açın. Gmail’de “Orijinali göster”, Outlook’ta “İleti kaynağını görüntüle” seçeneğini kullanın.
2. Gönderen sunucuyu bulun. Çoğu zaman e-postanın “Kimden” alanında info@alanadiniz.com yazdığı, ama aslında web sunucusunun kendi adresinden gönderildiği görülür.
3. SPF ve DKIM sonuçlarına bakın. Web sunucusu SPF kaydında yer almıyorsa ve e-posta DKIM ile imzalanmamışsa DMARC hizalaması başarısız olur.
4. Çözümü uygulayın. Formun, e-posta sağlayıcınızın SMTP sunucusu üzerinden ve gerçek bir posta kutusunun kullanıcı adı ve parolasıyla gönderim yapmasını sağlayın. Böylece e-posta, sağlayıcınızın DKIM imzasıyla çıkar.
5. Tekrar test edin. Formu doldurup gelen e-postanın başlığında SPF, DKIM ve DMARC satırlarının PASS olduğunu doğrulayın.

Bu küçük değişiklik çoğu zaman “bize ulaşamadım” şikâyetlerini tamamen bitirir. Aynı kontrolü e-bülten aracınız, fatura programınız ve CRM sisteminiz için de yapmayı unutmayın; her biri sizin adınıza e-posta gönderen ayrı bir kaynaktır.

Sonuç

SPF, DKIM ve DMARC bir kez doğru kurulduğunda hem e-postalarınızın teslim oranını artırır hem de dolandırıcıların sizin adınızla sahte e-posta göndermesini zorlaştırır. Bu, müşterinizin size duyduğu güveni doğrudan koruyan, maliyeti çok düşük bir yatırımdır. Web tarafındaki güvenlik ayarları için HTTP güvenlik başlıkları rehberimizi de okuyabilirsiniz.