SPF, DKIM ve DMARC Nedir? Nasıl Kurulur?

SPF nedir?

SPF (Sender Policy Framework), alan adınız adına e-posta göndermeye yetkili sunucuların listesidir. Alan adınıza bir TXT kaydı olarak eklenir. Alıcı sunucu bir e-posta aldığında, gönderen sunucunun IP adresinin bu listede olup olmadığına bakar.

Örnek bir SPF kaydı:

firmaniz.com.  TXT  "v=spf1 include:_spf.ornek-saglayici.com ip4:203.0.113.10 ~all"

Kaydın parçaları:

• v=spf1: Bunun bir SPF kaydı olduğunu belirtir.
• include:...: Başka bir servisin (örneğin mail hosting sağlayıcınızın) sunucu listesini dahil eder.
• ip4:...: Belirli bir IP adresine izin verir; örneğin kendi VDS'inizden e-posta gönderiyorsanız.
• ~all: Listede olmayan sunuculardan gelen e-postaların "şüpheli" sayılmasını ister. -all ise bunların reddedilmesini ister.

SPF'in iki önemli sınırı vardır. Birincisi, bir alan adında yalnızca bir SPF kaydı olabilir; iki ayrı v=spf1 kaydı SPF'i tamamen bozar. İkincisi, SPF kontrolü en fazla 10 DNS sorgusu yapabilir; çok sayıda include eklediğinizde bu sınır aşılır ve SPF hata verir.

SPF tek başına yeterli değildir, çünkü yalnızca e-postayı teslim eden sunucuyu kontrol eder. E-posta bir yönlendirmeden geçtiğinde SPF kontrolü bozulabilir ve SPF, kullanıcının gördüğü "Kimden" adresini doğrudan korumaz. Bu boşlukları DKIM ve DMARC kapatır.

DKIM nedir?

DKIM (DomainKeys Identified Mail), gönderdiğiniz her e-postaya eklenen dijital bir imzadır. Gönderen sunucu, e-postanın başlıklarını ve içeriğini gizli bir anahtarla imzalar. Bu anahtarın eşi olan açık anahtar, alan adınızın DNS'inde yayınlanır. Alıcı sunucu açık anahtarla imzayı doğrular; imza tutuyorsa e-posta gerçekten sizin sunucunuzdan çıkmıştır ve yolda değiştirilmemiştir.

DKIM kaydı, bir seçici (selector) adıyla birlikte _domainkey alt alan adına eklenir:

default._domainkey.firmaniz.com.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."

DKIM anahtarını kendiniz üretmezsiniz; e-posta servisiniz üretir ve size DNS'e eklemeniz gereken değeri verir. Seçici sayesinde bir alan adında birden fazla DKIM anahtarı olabilir; örneğin biri mail hosting için, biri bülten servisi için.

DKIM, yönlendirmelerden SPF'e göre çok daha iyi geçer, çünkü imza e-postanın kendisiyle birlikte taşınır.

DMARC nedir?

DMARC (Domain-based Message Authentication, Reporting and Conformance), SPF ve DKIM'i birbirine bağlayan politikadır. İki şey yapar:

1. Uyum (alignment) kontrol eder. Kullanıcının gördüğü "Kimden" adresindeki alan adının, SPF'ten ya da DKIM'den geçen alan adıyla eşleşmesini ister. Böylece bir saldırgan kendi alan adıyla SPF'ten geçip "Kimden" alanına sizin adresinizi yazamaz.
2. Politika ve rapor belirler. Kontrolden geçemeyen e-postalara ne yapılacağını söyler ve alıcı sağlayıcılardan size rapor gönderilmesini ister.

DMARC kaydı _dmarc alt alan adına eklenir:

_dmarc.firmaniz.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@firmaniz.com"

p değeri politikadır:

• p=none: Hiçbir şey yapma, yalnızca raporla. Başlangıç için doğru seçimdir.
• p=quarantine: Kontrolden geçemeyen e-postaları spam klasörüne koy.
• p=reject: Kontrolden geçemeyen e-postaları reddet.

rua adresine, alan adınız adına kimin e-posta gönderdiğini ve bunların kontrolden geçip geçmediğini gösteren günlük raporlar gelir. Bu raporlar XML formatındadır; okumak için ücretsiz DMARC rapor analiz araçlarından birini kullanabilirsiniz.

Adım adım kurulum

1. E-posta gönderen tüm servisleri listeleyin. Mail hosting, web sitenizin iletişim formu, fatura sistemi, bülten aracı, CRM... Alan adınızla e-posta gönderen her şey bu listeye girmelidir. En sık yapılan hata, bunlardan birini unutmaktır.
2. MX kayıtlarını ayarlayın. MX kayıtları gelen e-postanın hangi sunucuya gideceğini belirler. Mail hosting sağlayıcınızın verdiği değerleri girin ve eski MX kayıtlarını silin.
3. Tek bir SPF kaydı oluşturun. Listedeki her servisin include değerini tek bir v=spf1 kaydında birleştirin ve ~all ile bitirin.
4. DKIM'i etkinleştirin. Her servisin panelinde DKIM'i açın ve verdiği TXT kaydını DNS'e ekleyin. Kaydı eklemek tek başına yetmez; serviste imzalamanın açık olduğunu da kontrol edin.
5. DMARC'ı p=none ile ekleyin ve raporların geleceği bir adres belirleyin.
6. Test edin. Kendinize ve bir Gmail adresine e-posta gönderin. Gmail'de "Orijinali göster" seçeneği SPF, DKIM ve DMARC sonuçlarını PASS ya da FAIL olarak gösterir. mail-tester.com da tüm kayıtları tek seferde puanlar.
7. Politikayı sıkılaştırın. Birkaç hafta boyunca raporlarda tüm meşru servislerinizin geçtiğini gördükten sonra p=quarantine'e, ardından p=reject'e geçin.

Sık yapılan hatalar

• İki ayrı SPF kaydı. Yeni bir servis eklerken mevcut kaydı düzenlemek yerine ikinci bir v=spf1 kaydı eklemek. Sonuç: SPF tamamen başarısız olur.
• 10 sorgu sınırını aşmak. Her include en az bir DNS sorgusu yapar ve içinde başka include'lar olabilir. Artık kullanmadığınız servisleri SPF'ten çıkarın.
• +all kullanmak. Bu ifade dünyadaki her sunucunun sizin adınıza e-posta göndermesine izin verir ve SPF'i anlamsız kılar.
• DKIM kaydını yanlış kopyalamak. Uzun DKIM değerleri bazı DNS panellerinde bölünür ya da sonuna boşluk eklenir. Kaydı ekledikten sonra bir DKIM kontrol aracıyla doğrulayın.
• Doğrudan p=reject ile başlamak. Unuttuğunuz bir servis (örneğin fatura sisteminiz) varsa onun e-postaları reddedilir ve bunu ancak müşteriler şikâyet ettiğinde fark edersiniz.
• Toplu e-postayı kurumsal hesaptan göndermek. Doğru kayıtlar, toplu gönderimin yarattığı itibar sorununu çözmez. Bülten ve kampanya e-postaları için bu iş için tasarlanmış bir servis kullanın.

Kimlik doğrulama teslimatın sadece bir parçası

SPF, DKIM ve DMARC olmadan iyi bir teslimat oranı bugün neredeyse imkânsızdır; ama tek başlarına da yeterli değildir. Alıcı sağlayıcılar ayrıca gönderen IP adresinin ve alan adının geçmişine, e-postaların içeriğine, kara listelere ve alıcıların e-postalarınızı spam olarak işaretleyip işaretlemediğine bakar. Gönderen sunucunun IP adresi için doğru bir ters DNS (rDNS) kaydı olması da önemlidir; mail hosting kullanıyorsanız bu, sağlayıcınız tarafından ayarlanır.

Nodesty mail hosting paketlerinde gerekli MX, SPF ve DKIM değerleri panelde hazır olarak gösterilir ve her kaydın doğrulanıp doğrulanmadığını aynı ekrandan takip edebilirsiniz. Gelen e-postalar SpamExperts ile filtrelenir; e-postalarınıza webmail, IMAP ve POP3 ile erişebilirsiniz. IP adreslerimizin itibarını korumak için toplu e-posta gönderimine izin verilmez.