SPF, DKIM ve DMARC rehberi: sahte e-postayı durdurun, gelen kutusuna ulaşın

• SPF, alan adınız adına e-posta gönderebilecek sunucuları listeler.
• DKIM her iletiyi imzalar; doğrulama için açık anahtar DNS'te yayımlanır.
• DMARC, SPF ve DKIM başarısız olduğunda alıcının ne yapacağını söyler ve size rapor gönderir. Yalnızca görünen Kimden adresindeki alan adı eşleştiğinde geçer.
• p=none ile başlayın, raporları okuyun; tüm meşru göndericiler geçtiğinde quarantine ve ardından reject politikasına geçin.

Şubat 2024'ten beri Gmail ve Yahoo her göndericiden SPF ya da DKIM istiyor. Toplu göndericilerden (Google'a göre Gmail adreslerine günde 5.000'den fazla ileti gönderenler) ise SPF, DKIM ve bir DMARC kaydı (p=none yeterli), SPF ya da DKIM ile uyumlu bir Kimden alan adı, pazarlama postalarında tek tıkla abonelikten çıkma ve %0,3'ün altında spam şikâyet oranı bekleniyor.

Az e-posta gönderseniz bile kayıtların eksik olması alan adınızın oltalama postalarında kolayca taklit edilmesine yol açar; alıcılar böyle alan adlarından gelen postaya daha az güvenir.

SPF, alan adınızda v=spf1 ile başlayan, izinli göndericileri listeleyen ve geri kalan herkes için bir kuralla biten tek bir TXT kaydıdır. include: bir sağlayıcının listesini ekler, ip4:/ip6: kendi sunucularınızı ekler, mx ise alan adının MX sunucularına izin verir.

• Tam olarak bir SPF kaydı yayımlayın. İki ayrı v=spf1 kaydı SPF'nin hata vermesine (permerror) yol açar; bunları tek kayıtta birleştirin.
• SPF en fazla 10 DNS sorgusu yapabilir (iç içe olanlar dahil her include, a, mx, exists ve redirect sayılır). Sınır aşılırsa SPF başarısız olur; kullanılmayan include'ları kaldırın.
• -all (fail) listede olmayan göndericiyi reddettirir, ~all (softfail) şüpheli olarak işaretletir. DMARC kullanıyorsanız ~all yaygın ve güvenli bir seçimdir.
• SPF, insanların gördüğü Kimden adresini değil zarf göndericisini (Return-Path) kontrol eder ve e-posta yönlendirildiğinde bozulur. Bu yüzden DKIM de gerekir.

Gönderen sunucu başlıkları ve gövdeyi gizli bir anahtarla imzalar; alıcı açık anahtarı seçici._domainkey.alanadi.com adresinden alıp imzayı doğrular. Seçici (selector) sağlayıcınızın belirlediği bir addır (google, selector1, s1, k1…); böylece üzerinden posta gönderdiğiniz her hizmetin kendi anahtarı olur.

DKIM'i kullandığınız her hizmette (e-posta sağlayıcısı, bülten aracı, CRM, e-ticaret sitesi) açın ve verdiği kaydı, genellikle bir TXT ya da CNAME'i, DNS'e ekleyin. Seçenek varsa 2048 bit anahtar kullanın. DKIM yönlendirmeden etkilenmez; bu da onu DMARC için daha güvenilir yarı yapar.

DMARC _dmarc.alanadi.com adresinde durur. Bir ileti, SPF ya da DKIM geçtiğinde ve geçtiği alan adı Kimden adresindeki alan adıyla eşleştiğinde (alignment) DMARC'tan geçer. Kendi alan adıyla imza atan bir sağlayıcı, sizin alan adınız için DKIM'i kurana kadar bu konuda işe yaramaz.

rua=mailto: alıcılardan, alan adınız adına hangi sunucuların posta gönderdiğini ve geçip geçmediklerini gösteren günlük toplu raporlar (XML) ister. Politikayı sıkılaştırmadan önce unutulmuş göndericileri bu raporlarla bulursunuz.

• Alan adınız adına e-posta gönderen her şeyi listeleyin: posta kutuları, site formları, bülten, fatura sistemi, destek masası.
• Hepsini kapsayan tek bir SPF kaydı yayımlayın ve her birinde DKIM'i açın.
• v=DMARC1; p=none; rua=mailto:… kaydını ekleyin ve raporları iki-dört hafta takip edin.
• Başarısız olan meşru göndericileri düzeltin, ardından p=quarantine politikasına (isterseniz pct= ile kademeli olarak), daha sonra da p=reject politikasına geçin.
• Hiç e-posta göndermeyen alan adlarınızda, kimse taklit edemesin diye v=spf1 -all ve v=DMARC1; p=reject kayıtlarını yayımlayın.

• MTA-STS ve TLS-RPT, diğer sunucuların size yalnızca doğrulanmış TLS üzerinden posta teslim etmesini ve sorunları raporlamasını sağlar.
• BIMI, destekleyen gelen kutularında iletilerinizin yanında logonuzu gösterir; DMARC'ın quarantine ya da reject politikasında olmasını gerektirir.

E-posta güvenliği kontrolü MX, SPF (DNS sorgu sayısıyla birlikte), yaygın seçiciler ya da sizin belirttiğiniz seçici için DKIM, DMARC, MTA-STS, TLS-RPT ve BIMI kayıtlarını okur ve bulduğu sorunları gösterir. Her DNS değişikliğinden sonra tekrar çalıştırın; TTL'e bağlı olarak yeni kayıtların görünmesi birkaç dakika ile bir saat arası sürebilir.