# SPF, DKIM ve DMARC: Kurumsal e-postalarınız neden spam klasörüne düşüyor?

Source: https://exextramer.com/blog/spf-dkim-dmarc-e-posta-dogrulama-rehberi/
Updated: 2026-11-02

Teklif e-postanız müşterinin spam klasörüne düşüyorsa sorun çoğu zaman yazdığınız metinde değil, alan adınızın DNS kayıtlarındadır. Gmail, Outlook ve Yahoo gibi büyük sağlayıcılar bir e-postanın gerçekten sizin alan adınızdan gelip gelmediğini üç kayıtla kontrol eder: **SPF**, **DKIM** ve **DMARC**. Bu rehberde her birinin ne işe yaradığını, nasıl kurulduğunu ve kurulumdan sonra nasıl izleneceğini anlatıyoruz.

## Üç kaydın kısa özeti

| Kayıt | Sorduğu soru | Nerede durur? |
|---|---|---|
| SPF | Bu sunucu, bu alan adı adına e-posta göndermeye yetkili mi? | Alan adının kökünde TXT kaydı |
| DKIM | E-posta yolda değiştirilmedi mi ve gerçekten bu alan adı tarafından imzalandı mı? | `seçici._domainkey` adlı TXT veya CNAME kaydı |
| DMARC | SPF veya DKIM başarısız olursa alıcı ne yapmalı ve bana rapor gönderilmeli mi? | `_dmarc` adlı TXT kaydı |

Şubat 2024’ten itibaren Gmail ve Yahoo, günde binlerce e-posta gönderen göndericilerden üçünü birden zorunlu tutuyor. Az e-posta gönderen işletmeler için de en azından SPF ve DKIM şart hale geldi; bunlar olmadan gelen kutusuna ulaşma ihtimali ciddi biçimde düşüyor.

## SPF nasıl kurulur?

SPF kaydı, alan adınız adına e-posta gönderebilecek sunucuların listesidir. Örnek:

```
v=spf1 include:_spf.mail.hostinger.com include:_spf.google.com ~all
```

- `include:` ile e-posta hizmet sağlayıcınızın listesini eklersiniz. Hangi değeri kullanacağınızı sağlayıcınızın yardım sayfası söyler.
- Sondaki `~all` “listede olmayanları şüpheli say”, `-all` ise “listede olmayanları reddet” anlamına gelir. Tüm gönderim kaynaklarınızdan eminseniz `-all` daha güçlüdür.
- Bir alan adında **yalnız bir SPF kaydı** olabilir. İki ayrı `v=spf1` kaydı, ikisinin de geçersiz sayılmasına yol açar. Yeni bir sağlayıcı eklediğinizde mevcut kaydı düzenleyin.
- SPF, değerlendirme sırasında en fazla **10 DNS sorgusuna** izin verir. Çok fazla `include` eklemek bu sınırı aşar ve kayıt sessizce başarısız olur.

Unutmayın: web sitenizin iletişim formu, e-bülten aracı, fatura programı ve CRM sisteminiz de sizin adınıza e-posta gönderiyor olabilir. Hepsini listeye eklemeniz gerekir.

## DKIM nasıl kurulur?

DKIM, giden her e-postaya dijital bir imza ekler. Alıcı sunucu, DNS’teki genel anahtarla imzayı doğrular. Kurulum genellikle iki adımdır:

1. E-posta sağlayıcınızın panelinde DKIM’i etkinleştirin. Panel size bir kayıt adı (örneğin `hostingermail1._domainkey`) ve uzun bir değer verir.
2. Bu kaydı alan adınızın DNS ayarlarına aynen ekleyin ve panelde “doğrula” deyin.

Birden fazla gönderim hizmeti kullanıyorsanız her birinin kendi DKIM seçicisi olur; bunlar birbiriyle çakışmaz. Anahtar uzunluğu olarak 2048 bit tercih edilmelidir.

## DMARC nasıl kurulur?

DMARC, SPF ve DKIM’in sonuçlarını bir politikaya bağlar ve size rapor gönderilmesini sağlar. En önemli kavram **hizalamadır**: e-postanın “Kimden” adresindeki alan adı ile SPF veya DKIM’de doğrulanan alan adı eşleşmelidir.

Güvenli bir geçiş planı şöyledir:

1. **İzleme:** `v=DMARC1; p=none; rua=mailto:dmarc@alanadiniz.com` ile başlayın. Bu politika hiçbir e-postayı engellemez, yalnız rapor toplar.
2. **Raporları okuyun:** Birkaç hafta boyunca gelen XML raporlarında hangi sunucuların sizin adınıza gönderim yaptığını görün. Tanımadığınız ama meşru olan kaynakları SPF ve DKIM’e ekleyin.
3. **Karantina:** Meşru tüm kaynaklar geçtiğinde `p=quarantine` ile başarısız e-postaları spam klasörüne yönlendirin.
4. **Reddetme:** Sorun çıkmazsa `p=reject` ile sahte e-postaların tamamen reddedilmesini sağlayın.

`rua` adresine yazdığınız posta kutusunun **gerçekten var olması** gerekir; aksi halde raporlar boşa gider. Raporlar çok sayıda gelebileceği için bu iş için ayrı bir adres açmak mantıklıdır.

## Kurulumdan sonra nasıl test edilir?

- Kendinize bir Gmail hesabına e-posta gönderin, “Orijinali göster” seçeneğinde SPF, DKIM ve DMARC satırlarının **PASS** olduğunu görün.
- [E-posta DNS testimizle](/araclar/e-posta-dns-testi/) alan adınızın kayıtlarını tek seferde kontrol edin.
- DNS değişikliklerinin yayılması birkaç dakika ile birkaç saat sürebilir; testi hemen tekrarlamak yanıltıcı olabilir.

## Sık yapılan hatalar

1. **İki SPF kaydı bırakmak.** Eski sağlayıcıdan kalan kayıt silinmediğinde ikisi de geçersiz olur.
2. **Doğrudan `p=reject` ile başlamak.** Fatura veya form e-postalarınız gibi meşru gönderimler bir anda kaybolabilir.
3. **Web sitesi formunu unutmak.** Formlar sunucunun kendi `mail()` fonksiyonuyla gönderiyorsa hizalama başarısız olur. Formları kimlik doğrulamalı SMTP ile göndermek en sağlıklısıdır.
4. **MX kaydını değiştirip SPF’yi güncellememek.** E-posta sağlayıcısı değiştiğinde üç kaydın da yenilenmesi gerekir.

## Kontrol listesi

- Alan adında tek bir SPF kaydı var ve tüm gönderim kaynaklarını içeriyor.
- Her gönderim hizmeti için DKIM etkin ve DNS’te yayında.
- DMARC kaydı en az `p=none` ile mevcut, rapor adresi çalışıyor.
- Test e-postasında üç kontrol de PASS.
- Birkaç haftalık rapor incelemesinden sonra politika `quarantine` veya `reject` seviyesine yükseltildi.

## Örnek senaryo: form e-postaları neden kayboluyor?

Küçük bir işletme sitesindeki iletişim formundan gelen mesajların bir kısmı hiç ulaşmıyor, bir kısmı spam klasörüne düşüyor olsun. Teşhis adımları şöyledir:

1. **Gelen bir form e-postasının başlıklarını açın.** Gmail’de “Orijinali göster”, Outlook’ta “İleti kaynağını görüntüle” seçeneğini kullanın.
2. **Gönderen sunucuyu bulun.** Çoğu zaman e-postanın “Kimden” alanında `info@alanadiniz.com` yazdığı, ama aslında web sunucusunun kendi adresinden gönderildiği görülür.
3. **SPF ve DKIM sonuçlarına bakın.** Web sunucusu SPF kaydında yer almıyorsa ve e-posta DKIM ile imzalanmamışsa DMARC hizalaması başarısız olur.
4. **Çözümü uygulayın.** Formun, e-posta sağlayıcınızın SMTP sunucusu üzerinden ve gerçek bir posta kutusunun kullanıcı adı ve parolasıyla gönderim yapmasını sağlayın. Böylece e-posta, sağlayıcınızın DKIM imzasıyla çıkar.
5. **Tekrar test edin.** Formu doldurup gelen e-postanın başlığında SPF, DKIM ve DMARC satırlarının PASS olduğunu doğrulayın.

Bu küçük değişiklik çoğu zaman “bize ulaşamadım” şikâyetlerini tamamen bitirir. Aynı kontrolü e-bülten aracınız, fatura programınız ve CRM sisteminiz için de yapmayı unutmayın; her biri sizin adınıza e-posta gönderen ayrı bir kaynaktır.

## Sonuç

SPF, DKIM ve DMARC bir kez doğru kurulduğunda hem e-postalarınızın teslim oranını artırır hem de dolandırıcıların sizin adınızla sahte e-posta göndermesini zorlaştırır. Bu, müşterinizin size duyduğu güveni doğrudan koruyan, maliyeti çok düşük bir yatırımdır. Web tarafındaki güvenlik ayarları için [HTTP güvenlik başlıkları rehberimizi](/blog/http-guvenlik-basliklari-rehberi/) de okuyabilirsiniz.