Kurumsal E-Postalar Neden Spam’e Düşer? SPF, DKIM ve DMARC Rehberi

E-posta Spam'e Düşmeden Önce Nelere Bakılır?

Alıcının e-posta sunucusu, gelen her iletiye gelen kutusu, spam klasörü veya ret kararı vermeden önce birkaç katmandan oluşan bir değerlendirme yapar. Ayrıntılar sağlayıcıdan sağlayıcıya değişir; ancak temel katmanlar benzerdir:

• Kimlik doğrulama: E-postayı gerçekten alan adının yetkili bir sunucusu mu gönderdi? SPF, DKIM ve DMARC bu soruyu yanıtlar.
• Gönderen itibarı: Gönderen alan adı ve IP adresi geçmişte nasıl davrandı? Daha önce şikayet aldı mı, kara listede mi, yeni mi?
• İçerik ve biçim: İletinin başlıkları, bağlantıları, HTML yapısı ve metni tipik spam örüntülerine benziyor mu?
• Alıcı davranışı: Alıcılar bu göndericinin iletilerini açıyor, yanıtlıyor mu, yoksa spam olarak mı işaretliyor?

Kimlik doğrulama bu listenin en teknik, ama en kolay düzeltilebilen kısmıdır. Doğrulama yoksa diğer her şey iyi olsa bile iletiniz şüpheli sayılabilir.

Spam klasörü mü, reddedilme mi?

İki durumu birbirinden ayırın. E-posta alıcıya ulaşıp spam klasörüne düşebilir; bu durumda gönderen hata mesajı almaz. Alıcı sunucu iletiyi tamamen reddederse gönderene bir geri dönüş (bounce) iletisi gelir. Örneğin Gmail, kimliği doğrulanmayan iletilere 550-5.7.26 This mail is unauthenticated benzeri bir ret verebilir. Geri dönüş iletisindeki hata kodu, sorunun nedenine dair en değerli ipucudur; mutlaka okuyun.

Belirtiye Göre Nereye Bakmalı?

Sorunun nasıl göründüğü, nereden başlayacağınızı belirler. Aşağıdaki liste hızlı bir yönlendirme sunar:

• E-posta hiç ulaşmıyor, geri dönüş (bounce) iletisi geliyor: Hata kodunu okuyun. Çoğunlukla kimlik doğrulama veya IP itibarıdır (Neden 1, 2, 3 ve 5).
• Ulaşıyor ama spam klasörüne düşüyor, yalnızca bazı sağlayıcılarda: İletinin başlıklarındaki doğrulama sonuçlarına bakın; sorun yoksa itibar ve içeriği inceleyin (Neden 5, 6 ve 7).
• Web sitesi formundan gelen veya giden e-postalar spam'e düşüyor: Neden 4.
• Bülten veya toplu gönderimler spam'e düşüyor: Neden 5, 6 ve 7.
• Birileri alan adınızı kullanarak sahte e-posta gönderiyor: DMARC bölümü.
• Yönlendirilen (forward) e-postalar spam'e düşüyor: DKIM bölümü ve sık sorulan sorular.

Spam'e Düşmenin 8 Yaygın Nedeni

İlk üç neden doğrudan SPF, DKIM ve DMARC ile ilgilidir; ayrıntılarını sonraki bölümlerde bulacaksınız. Diğerleri ise kayıtlar doğru olsa bile e-postanızın spam'e düşmesine yol açabilir.

SPF, DKIM ve DMARC Bir Bakışta

Üç kayıt birbirinin yerine geçmez; her biri farklı bir soruyu yanıtlar ve birbirini tamamlar:

SPF Nedir ve Nasıl Kurulur?

SPF (Sender Policy Framework), alan adınız adına e-posta göndermeye yetkili sunucuları DNS'te listeleyen bir TXT kaydıdır. Alıcı sunucu, iletinin geldiği IP adresine bakar ve bu adresin sizin listenizde olup olmadığını kontrol eder.

Örnek SPF kaydı

Ad (Host): @
Tür: TXT
Değer: v=spf1 mx include:spf.ornek-saglayici.com ~all

Bu kayıttaki spf.ornek-saglayici.com bir örnektir. Gerçek değeri e-posta hizmet sağlayıcınızın verdiği bilgilerden almalısınız. Kaydın parçaları şunlardır:

• v=spf1 kaydın bir SPF kaydı olduğunu belirtir.
• mx alan adınızın MX kayıtlarında görünen sunucuların gönderebileceğini söyler.
• include: başka bir hizmetin (örneğin posta sağlayıcınızın veya bülten servisinizin) SPF kaydını sizin kaydınıza dahil eder.
• ip4: ve ip6: belirli IP adreslerine veya aralıklarına izin verir.
• ~all listede olmayanlar için “yumuşak başarısız” (softfail), -all ise “kesin başarısız” (fail) politikasını belirtir.

SPF'de dikkat edilmesi gerekenler

• Tek kayıt kuralı: Bir alan adında yalnızca bir SPF kaydı bulunabilir. İkinci bir v=spf1 kaydı eklemek doğrulamayı geçersiz kılar. Yeni bir hizmet eklerken mevcut kaydı düzenleyin.
• 10 sorgu sınırı: SPF değerlendirilirken include, a, mx, ptr, exists ve redirect en fazla 10 DNS sorgusu yapabilir. Çok sayıda servis ekleyen alan adları bu sınırı sıklıkla aşar. ip4, ip6 ve all sorgu saymaz.
• Zarf gönderen: SPF, e-postanın görünen “Gönderen” adresine değil, arka planda kullanılan zarf gönderen (Return-Path / MAIL FROM) alan adına bakar. DMARC hizalaması açısından bu fark önemlidir.
• İletme (forwarding): E-posta başka bir adrese yönlendirildiğinde iletimi yapan sunucu SPF listenizde olmadığı için SPF başarısız olabilir. DKIM bu durumu çoğunlukla çözer.

DKIM Nedir ve Nasıl Kurulur?

DKIM (DomainKeys Identified Mail), her giden iletiyi özel bir anahtarla imzalar. Alıcı sunucu, alan adınızın DNS kaydında yayımlanan genel anahtarı kullanarak imzayı doğrular. İmza geçerliyse ileti, alan adınızın yetkili sistemi tarafından gönderilmiş ve yolda değiştirilmemiştir.

Örnek DKIM kaydı

Ad (Host): secim1._domainkey
Tür: TXT
Değer: v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...

Bu değer yalnızca bir örnektir; gerçek anahtar posta sisteminiz tarafından üretilir. Kayıt adındaki secim1 kısmı “selector” (seçici) adını taşır. Aynı alan adında farklı hizmetler için farklı seçiciler kullanılabilir.

• p= değeri, genel anahtarın kendisidir. Özel anahtar yalnızca posta sisteminizde durur ve asla DNS'e yazılmaz.
• Günümüzde 2048 bit RSA anahtar önerilir. Bazı DNS panelleri uzun TXT değerlerini 255 karakterlik parçalara bölmenizi isteyebilir.
• Anahtarı kopyalarken fazladan boşluk, satır sonu veya eksik karakter bırakmayın. Bozuk anahtar, imzanın doğrulanamamasının en sık nedenidir.

DKIM neden SPF'den ayrıdır?

SPF gönderen sunucunun IP adresini kontrol eder; DKIM ise iletinin kendisini imzalar. Bu yüzden ileti başka bir adrese yönlendirilse bile imza, içerik değişmediği sürece geçerli kalır. İkisi birbirinin yerine değil, birbirini tamamlayacak şekilde kullanılır.

DMARC Nedir ve Nasıl Kurulur?

DMARC (Domain-based Message Authentication, Reporting and Conformance), SPF ve DKIM sonuçlarını bir üst politikaya bağlar. Alıcı sunucuya iki şeyi söyler: doğrulama başarısız olursa ne yapılacağı ve sonuçların size nasıl raporlanacağı. DMARC, görünen “Gönderen” adresindeki alan adının sahte olarak kullanılmasını (spoofing) engellemenin temel aracıdır.

Hizalama (alignment) kavramı

DMARC'ın geçmesi için SPF veya DKIM'den en az biri hem başarılı hem de “Gönderen” adresinizdeki alan adıyla hizalı olmalıdır. Örneğin, bir bülten servisi sizin adınıza gönderirken zarf gönderen olarak kendi alan adını kullanıyorsa SPF başarılı olabilir; ancak bu alan adı sizinkiyle eşleşmediği için hizalama başarısızdır. Bu durumda iletiyi sizin alan adınızla DKIM imzalamak gerekir.

Örnek DMARC kaydı (izleme modu)

Ad (Host): _dmarc
Tür: TXT
Değer: v=DMARC1; p=none; rua=mailto:dmarc-raporlari@ornek.com; adkim=r; aspf=r

• p= politikadır: none (yalnızca izle), quarantine (şüpheli say, genellikle spam klasörüne yönlendir) veya reject (reddet).
• rua= toplu (aggregate) raporların gönderileceği adrestir. Raporlar, hangi kaynakların alan adınız adına e-posta gönderdiğini ve doğrulamayı geçip geçmediğini gösterir.
• adkim ve aspf hizalama modunu belirler: r (rahat, alt alan adlarına izin verir) veya s (katı, tam eşleşme).
• sp= alt alan adları için ayrı bir politika tanımlar, pct= ise politikanın iletilerin yüzde kaçına uygulanacağını belirtir.

DMARC raporları XML biçiminde gelir ve doğrudan okunması zordur. Bu raporları insan tarafından okunabilir hale getiren birçok ücretsiz ve ücretli DMARC rapor analiz hizmeti bulunur. Raporları kendi alan adınızdan farklı bir alan adındaki adrese göndermek isterseniz, rapor alan tarafta ek bir yetkilendirme kaydı gerekir.

DMARC Politikasına Kademeli Geçiş

Amaç, meşru hiçbir e-postayı kaybetmeden politikayı sıkılaştırmaktır. Önerilen sıra şöyledir:

Ad (Host): _dmarc
Tür: TXT
Değer: v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc-raporlari@ornek.com

Ad (Host): _dmarc
Tür: TXT
Değer: v=DMARC1; p=reject; rua=mailto:dmarc-raporlari@ornek.com

Kayıtlarınızı Nasıl Test Edersiniz?

Kayıtları eklemek yeterli değildir; doğru yayımlandıklarını ve gerçek iletilerde doğrulamayı geçtiklerini kontrol etmelisiniz.

1. DNS kayıtlarını sorgulayın

ornek.com ve secim1 yerine kendi alan adınızı ve DKIM seçicinizi yazın:

dig TXT ornek.com +short
dig TXT secim1._domainkey.ornek.com +short
dig TXT _dmarc.ornek.com +short
dig MX ornek.com +short

Windows'ta aynı sorgular için nslookup -type=TXT ornek.com ve nslookup -type=TXT _dmarc.ornek.com komutlarını kullanabilirsiniz. İlk komutun çıktısında yalnızca bir adet v=spf1 kaydı görmelisiniz.

2. Ters DNS kaydını kontrol edin

Gönderen sunucunun IP adresi için ters DNS kaydının tanımlı olup olmadığına bakın. 203.0.113.10 örnek bir IP adresidir:

dig -x 203.0.113.10 +short

3. Gerçek bir iletinin başlıklarını okuyun

Alan adınızdan bir Gmail veya Outlook hesabına test e-postası gönderin. Gmail'de iletiyi açıp “Orijinali göster” seçeneğine, Outlook'ta ileti özelliklerine girerek başlıkları görüntüleyin. Authentication-Results satırı sonucu özetler:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@ornek.com header.s=secim1;
       spf=pass smtp.mailfrom=bilgi@ornek.com;
       dmarc=pass (p=NONE) header.from=ornek.com

Üç sonucun da pass olması hedeftir. fail, softfail, neutral veya none gördüğünüz yer, düzeltmeniz gereken kayıttır.

4. Çevrimiçi test ve izleme araçlarını kullanın

• Size özel bir adrese test e-postası göndererek puan veren e-posta test hizmetleri, kimlik doğrulama ve içerik sorunlarını tek raporda gösterir.
• Kara liste kontrol hizmetleri, gönderen IP adresinizin listelenip listelenmediğini gösterir.
• Google Postmaster Tools, Gmail'e giden iletilerdeki alan adı itibarınızı, spam oranınızı ve kimlik doğrulama durumunuzu izlemenizi sağlar (belirli bir gönderim hacminden sonra veri gösterir).

Sık Yapılan Hatalar

• İki ayrı SPF kaydı eklemek: Her yeni hizmet için ayrı bir TXT kaydı oluşturmak, mevcut kaydı geçersiz kılar. Tüm izinleri tek kayıtta birleştirin.
• SPF'de 10 sorgu sınırını aşmak: Gereksiz include girdilerini temizleyin; kullanılmayan servisleri kayıttan çıkarın.
• DKIM anahtarını hatalı kopyalamak: Fazladan tırnak, boşluk veya eksik karakter, anahtarı geçersiz yapar.
• DMARC'a doğrudan p=reject ile başlamak: Meşru e-postaların reddedilmesine yol açabilir.
• Raporları hiç okumamak: rua adresi tanımlayıp raporları incelemezseniz DMARC'ın en değerli bilgisini kaçırırsınız.
• Kayıtları yanlış yere eklemek: E-posta için kullandığınız alan adının DNS'ini yöneten yere (kayıt firması veya DNS sağlayıcısı) eklediğinizden emin olun. Name server'lar başka bir yere yönlendirilmişse kayıt orada olmalıdır.
• Üçüncü taraf gönderenleri unutmak: Web sitesi formları, CRM ve bülten servisleri çoğunlukla gözden kaçar.
• Alt alan adlarını düşünmemek: Pazarlama e-postalarını ana alan adından değil, ayrı bir alt alan adından göndermek, ana alan adının itibarını korumaya yardımcı olur.
• Kayıtları doğru kabul edip itibarı ve içeriği görmezden gelmek: Üç doğrulamayı geçmek spam'e düşmeyeceğinizi garanti etmez; itibar ve içerik de belirleyicidir.

15 Dakikalık Kurulum Kontrol Listesi

Aşağıdaki liste, bu rehberin özetidir. Her maddeyi sırayla işaretleyerek ilerleyin:

Kurumsal E-Posta Hizmeti Seçerken

Doğrulama ve teslim edilebilirlik açısından e-posta hizmetinizin neleri desteklediği önemlidir. Bir sağlayıcıyı değerlendirirken şunlara bakın:

• Alan adınıza özel e-posta adresleri sunuluyor mu?
• SPF, DKIM ve DMARC için gerekli kayıt değerleri sağlanıyor ve destekleniyor mu?
• Gelen e-postalar için antispam ve antivirüs koruması var mı?
• IMAP, POP3 ve SMTP desteği ile Outlook ve mobil cihaz uyumluluğu mevcut mu?
• Web arayüzü, takvim ve kişi yönetimi gibi günlük kullanım araçları bulunuyor mu?
• Sorun çıktığında Türkçe teknik destek alabiliyor musunuz?

Antispam ve antivirüs koruması gelen kutunuzu korur. Giden e-postalarınızın alıcıda spam'e düşmemesi ise bu yazıda anlatılan DNS kayıtlarına, gönderen itibarına ve içeriğe bağlıdır. SPF, DKIM ve DMARC için kullanacağınız kayıt değerlerini öğrenmek ve kurulumda destek almak için Netiyo Kurumsal E-Posta sayfasından hizmet bilgilerine ulaşabilir, Türkçe teknik destek ekibimizle iletişime geçebilirsiniz.

Sık Sorulan Sorular

SPF, DKIM ve DMARC'tan hangisini kurmam yeterli?

Hiçbiri tek başına yeterli değildir; üçü birlikte çalışır. SPF yetkili sunucuyu, DKIM iletinin bütünlüğünü doğrular; DMARC ise bu sonuçları “Gönderen” adresinizle ilişkilendirir ve sahtecilik karşısında alıcıya talimat verir. En iyi sonuç için üçünü de kurun.

Kayıtlar doğru ama e-postalarım hâlâ spam'e düşüyor. Neden?

Kimlik doğrulama gerekli ama yeterli değildir. Alan adı ve IP itibarı, içerik, liste kalitesi, alıcı etkileşimi ve altyapı ayrıntıları da sonucu belirler. Başlıklarda üç doğrulamanın da geçtiğini teyit ettikten sonra bu faktörleri sırayla inceleyin.

DMARC'ı hemen p=reject yapabilir miyim?

Önermeyiz. Önce p=none ile raporları izleyin, tüm meşru gönderenlerin doğrulamayı geçtiğinden emin olun, ardından quarantine ve en sonda reject aşamasına geçin.

Gmail'e sorunsuz gidip Outlook'ta spam'e düşmesi normal mi?

Evet. Her sağlayıcı kendi filtre kurallarını ve itibar sistemini kullanır. Bir sağlayıcıda sorun yaşamanız, kimlik doğrulama kayıtlarınızın hatalı olduğu anlamına gelmez; itibar, içerik veya o sağlayıcıya özgü bir kurala takılıyor olabilirsiniz.

Toplu e-postalar için ayrı bir alt alan adı kullanmalı mıyım?

Pazarlama ve bülten gönderimini bulten.ornek.com gibi ayrı bir alt alan adından yapmak yaygın bir iyi uygulamadır. Böylece toplu gönderimde yaşanabilecek bir itibar sorunu, günlük iş yazışmalarınızın yapıldığı ana alan adına doğrudan yansımaz. Alt alan adı için de ayrı SPF, DKIM ve DMARC yapılandırması gerekir.

E-posta yönlendirme (forwarding) neden SPF'yi bozar?

Yönlendirme yapan sunucu, iletiyi sizin adınıza değil kendi IP adresinden iletir. Bu IP adresi sizin SPF kaydınızda bulunmadığı için SPF başarısız olur. DKIM imzası ileti değiştirilmeden iletildiğinde geçerli kalabildiği için DMARC'ın geçmesini sağlayabilir. Bu yüzden DKIM'i etkinleştirmek önemlidir.

DNS kayıtlarını eklediğim halde sonuç görmüyorum, ne kadar beklemeliyim?

DNS değişikliklerinin yayılması kaydın TTL değerine bağlıdır ve genellikle dakikalar ile birkaç saat arasında tamamlanır. Birkaç saat sonra da sorgulamada kaydı göremiyorsanız kaydın doğru alan adına ve doğru DNS sağlayıcısına eklendiğini kontrol edin.

Sonuç

Kurumsal e-postaların spam klasörüne düşmesinin arkasında genellikle birkaç tekrarlayan neden yatar: eksik veya hatalı SPF, DKIM ve DMARC kayıtları, kayıtlara eklenmemiş üçüncü taraf servisler, zayıf alan adı ve IP itibarı, içerik ve liste sorunları ve altyapı ayrıntıları. Bunların başında gelen kimlik doğrulama, düzeltmesi en kolay ve etkisi en hızlı görülen katmandır.

Sıralı bir yol izleyin: önce alan adınız adına e-posta gönderen tüm kaynakları listeleyin, SPF ve DKIM'i kurun, DMARC'ı izleme modunda açın, raporları inceleyin ve politikayı kademeli olarak sıkılaştırın. Her değişiklikten sonra gerçek bir iletinin başlıklarını okuyarak sonucu doğrulayın. Doğrulamayı sağladıktan sonra itibarınızı korumak için liste kalitesine, içeriğe ve hesap güvenliğine de dikkat edin.