E-Postaların Spam Kutusuna Düşmesini Önleme: Kurumsal SPF, DKIM ve DMARC (p=reject) Yapılandırma Rehberi

Kurumsal şirketlerde satış ve muhasebe departmanlarının en çok yaşadığı kabuslardan biri şudur: "Müşteriye teklif veya fatura gönderiyoruz ama müşteriler 'Bize e-posta gelmedi' diyor; mailler hep spam kutusuna düşüyor!" Daha da kötüsü, bir saldırganın şirketinizin alan adını (@holding.com) kullanarak sanki sizmişsiniz gibi bankalara veya iş ortaklarınıza sahte e-postalar atabilmesidir. Bu kaosun önüne geçmenin tek ve kesin yolu e-posta kimlik doğrulama üçlüsüdür: SPF, DKIM ve DMARC.

1. SPF (Sender Policy Framework): Gönderici IP Pasaportu

SPF, alan adınız adına hangi sunucuların e-posta göndermeye yetkili olduğunu gösteren bir DNS TXT kaydıdır:

Örnek Kurumsal SPF Kaydı:
v=spf1 include:spf.protection.outlook.com ip4:195.175.20.15 include:mailgun.org ~all

• include:spf.protection.outlook.com: Microsoft 365 e-postalarımıza izin ver.
• ip4:195.175.20.15: Şirket içindeki santral/fotokopi makinesinin statik IP'sine izin ver.
• include:mailgun.org: Web sitemizin bülten servisine izin ver.
• ~all (SoftFail) veya -all (HardFail): Bu listede olmayan IP'lerden gelen e-postaları şüpheli kabul et!

2. DKIM (DomainKeys Identified Mail): Dijital İmza Mührü

SPF yalnızca gönderici IP'sini doğrular; ancak paketin yolda değiştirilmediğini kanıtlayamaz.

• DKIM, giden her e-postanın başlığına gizli bir kriptografik özel anahtar (Private Key) ile imza atar.
• Alıcı sunucu, sizin DNS kayıtlarınızdaki açık genel anahtarı (Public Key / CNAME) okuyarak imzanın sağlamasını yapar.
• E-postanın içeriğindeki tek bir harf veya fatura numarası yolda değiştirilmişse DKIM imzası bozulur ve e-posta çöpe atılır!

Microsoft 365 DKIM CNAME Kayıtları:
selector1._domainkey.holding.com -> selector1-holding-com._domainkey.holding.onmicrosoft.com
selector2._domainkey.holding.com -> selector2-holding-com._domainkey.holding.onmicrosoft.com

3. DMARC: Zirve Noktası ve Sahteciliğe Kesin İtiraz

SPF ve DKIM tek başlarına kuralları uygulayamaz; alıcı sunucuya "Bu e-posta imzamdan geçmezse ne yapacaksın?" emrini veren denetleyici DMARC'tır.

Üç DMARC Politikası Seviyesi:

1. p=none (İzleme Modu): E-postaları engelleme, bana sadece rapor gönder (İlk 30 gün için).
2. p=quarantine (Karantina Modu): Hatalı e-postaları doğrudan spam/karantina kutusuna at.
3. p=reject (Tam Reddetme - ALTIN STANDART): SPF veya DKIM doğrulaması tutmayan hiçbir e-postayı alıcının kapısından dahi sokma, doğrudan çöpe at!

DNS TXT Kaydı (Nihai Hedef):
_dmarc.holding.com TXT "v=DMARC1; p=reject; pct=100; rua=mailto:dmarc-reports@holding.com; aspf=r;"

Karşılaşılan Kritik Hatalar ve Çözüm İpuçları

• SPF 10-DNS Lookup Sınırı (Too Many Lookups): SPF protokolü güvenlik gereği en fazla 10 adet DNS sorgusuna izin verir. Eğer SPF kaydınızda 12 tane include: varsa, kaydınız geçersiz sayılır ve tüm e-postalarınız spama düşer! Çözüm: Kullanılmayan eski pazarlama araçlarını SPF'ten temizlemek veya SPF Flattening araçları kullanmaktır.
• Birden Fazla SPF Kaydı Açma Hatası: Bir domain için DNS'te asla iki ayrı SPF TXT kaydı açılamaz; tüm yetkili sunucular tek bir v=spf1 ... kaydı içinde birleştirilmelidir.

Mühendis Notu

DMARC politikanızı p=reject seviyesine getirdiğiniz gün, şirket alan adınız üzerinden dünyadaki hiçbir dolandırıcı sahte fatura veya oltalama e-postası gönderemez. Bu başarı kurumsal güvenilirliğinizin ve e-posta itibarınızın (Domain Reputation) en büyük kanıtıdır.