Ana içeriğe geç
DCHost / Uygulama rehberi

SPF, DKIM ve DMARC ayarları: E-posta doğrulama rehberi

Bu rehber, alan adınızdan gönderilen e-postaların alıcı tarafından doğrulanması içindir. Üç ayar birlikte kullanılır: SPF izinli gönderim sunucularını belirtir, DKIM iletiye doğrulanabilir imza ekler, DMARC ise bu bilgilerin görünen gönderen alan adıyla uyumunu kontrol eder.

Bu kayıtlar posta kutusu oluşturmaz ve gelen kutusuna teslim garantisi vermez. E-posta alamıyorsanız önce MX kayıtlarını; uygulamada bağlantı hatası varsa hesap kurulumunu kontrol edin.

Görsel anlatımÜç kayıt, üç ayrı kontrol

Alıcı sunucu bu bilgileri birlikte değerlendirir.

  • SPF · Gönderim yetkisi

    Teknik gönderim alan adı için bu sunucuya izin verilmiş mi?

  • DKIM · İleti imzası

    İleti üzerindeki alan adı imzası doğrulanabiliyor mu?

  • DMARC · Alan adı uyumu

    SPF veya DKIM kimliği, görünen From alan adıyla uyumlu mu?

Doğrulamanın geçmesi, iletinin mutlaka gelen kutusuna düşeceği anlamına gelmez.

Başlamadan önce​

Açacağınız yerler: Alan adınızın yetkili DNS paneli, e-posta sağlayıcınızın yönetim ekranı ve test iletisi alabileceğiniz ayrı bir e-posta hesabı.

  1. Alan adı ve gönderim hizmetleri üzerinde işlem yetkiniz olduğunu doğrulayın.
  2. Mevcut TXT kayıtlarını kaydedin. TXT, DNS içinde metin biçiminde bilgi tutan kayıt türüdür.
  3. Aşağıdaki her adımda sağlayıcınızın verdiği gerçek değerleri kullanın; örnek alan adlarını kendi kaydınız diye eklemeyin.

1. Alan adınızdan kimlerin e-posta gönderdiğini listeleyin​

  1. Çalışanların posta kutularını listeleyin.
  2. Web sitesi, CRM, destek sistemi, bülten hizmeti ve sipariş bildirimlerini ekleyin. CRM, müşteri ilişkileri için kullandığınız uygulamadır.
  3. Her hizmetin hangi alan adıyla gönderdiğini yazın.
  4. Her sağlayıcının SPF ve DKIM talimatlarını alın. Çalışanların Google Workspace kullanması, web sitesinin de Google üzerinden gönderdiği anlamına gelmez.
YöntemBasitçe neyi kontrol eder?Bilgiyi nereden alırsınız?
SPFBu sunucu, iletinin teknik gönderim alan adı adına göndermeye yetkili mi?E-postayı gönderen her sağlayıcıdan
DKIMİletinin alan adına ait imzası doğrulanabiliyor mu?İletiyi gerçekten gönderen sağlayıcıdan
DMARCSPF veya DKIM ile doğrulanan alan adı, alıcının gördüğü From alanıyla uyumlu mu?Alan adı yöneticisinin belirlediği politikadan

SPF'nin kontrol ettiği teknik adres, iletinin teslimatı için kullanılan zarf gönderen adresidir. Alıcının ekranda gördüğü From / Gönderen adresinden farklı olabilir.

2. SPF için tek kayıt kullanın​

Nerede? Alan adınızın internette kullanılan kayıtlarını tutan yetkili DNS panelinde.

  1. İlgili alan adı için v=spf1 ile başlayan TXT kaydını bulun.
  2. Yeni sağlayıcının istediği yetkilendirmeyi mevcut kayda ekleyin. Aynı ad için ikinci SPF kaydı oluşturmayın.
  3. Çalışan diğer göndericileri silmediğinizi kontrol edin.
  4. Kaydı sağlayıcınızın talimatlarıyla karşılaştırıp kaydedin.

SPF'nin 10 DNS sorgulaması gerektiren terim sınırı vardır. Bu sınır include, a, mx, ptr, exists mekanizmaları ve redirect için birlikte hesaplanır. İç içe include işlemleri de aynı sınırı kullanır; ip4, ip6 ve all bu hesaba dahil değildir. Birçok hizmet kullanıyorsanız birleşik kaydı sağlayıcınızla doğrulayın.

Rastgele IP veya include eklemeyin. Bütün meşru göndericileri bulmadan sıkı bir -all politikasına geçmeyin; bu politika listedekiler dışındaki kaynakları SPF açısından başarısız sayar.

cPanel üzerinden gönderiyorsanız hizmetinizde sunulan Email Deliverability önerisini inceleyebilirsiniz. Harici sağlayıcıda onun talimatını kullanın. DNS başka yerdeyse kaydı orada değiştirin; cPanel'in bir öneri göstermesi dış DNS'i güncellemez.

3. DKIM anahtarını doğru hizmetten alın​

Seçici (selector), DNS'te hangi DKIM anahtarının kullanılacağını belirten addır. Anahtarı veya seçiciyi kendiniz tahmin etmeyin.

  1. Gönderim yapan sağlayıcının yönetim ekranından DKIM kayıt türünü, adını ve değerini alın.
  2. Kaydı yetkili DNS paneline verilen biçimde ekleyin. Bazı sağlayıcılar TXT, bazıları CNAME kullanır.
  3. Sağlayıcı ayrıca etkinleştirme istiyorsa o adımı tamamlayın.

Google Workspace'te yönetici, Gmail ayarlarındaki Authenticate email / E-posta kimliğini doğrula bölümünden alan adını seçip kaydı üretir. Verilen TXT adı ve değeri DNS'e eklendikten sonra Start authentication / Kimlik doğrulamayı başlat adımı tamamlanır. Güncel ekran ve yetkiler için aşağıdaki resmî yönergeyi kullanın.

Birden fazla hizmetin farklı seçicileri birlikte bulunabilir; çalışan bir seçiciyi gelişigüzel değiştirmeyin. DNS'e yayımlanan değer açık anahtardır. Özel DKIM anahtarını DNS'e veya destek mesajına yazmayın.

4. Yeni bir DMARC politikasına izleme ile başlayın​

DMARC, doğrulama başarısız olduğunda alıcı sunucudan nasıl davranmasını istediğinizi belirten politikadır.

  1. Önce SPF ve DKIM'in doğru çalıştığını kontrol edin.
  2. Yeni bir kurulumda raporları kimin izleyeceğini belirleyin. Kontrol ettiğiniz bir adres veya yetkilendirdiğiniz raporlama hizmeti kullanın.
  3. DMARC TXT kaydını _dmarc.example.com adına hazırlayın. example.com yerine kendi alan adınızı kullanın.
  4. Başlangıçta p=none ile izlemeyi değerlendirin. Bu politika, DMARC başarısızlığı için reddetme veya karantina istemez; korumanın son aşaması değildir.
  5. Raporlarda meşru göndericilerin doğrulandığını gördükten sonra karantina veya reddetme politikasına planlı geçin.

Raporlar için: rua, toplu raporların gideceği adresi belirtir. Bu değer olmadan düzenli toplu rapor alamazsınız. Rapor başka bir alan adına gidecekse ek yetkilendirme gerekebilir.

Mevcut, çalışan quarantine veya reject politikasını sırf bu rehber nedeniyle gevşetmeyin. DMARC başarısı için SPF veya DKIM'den en az biri, görünen From alan adıyla uyumlu olarak geçmelidir. Başka bir alan için “SPF pass” görmek yeterli değildir.

5. DNS'i ve gerçek iletinin sonucunu karşılaştırın​

DNS kontrolü — kendi bilgisayarınızda: dig yüklüyse terminalde aşağıdaki salt okunur sorguları çalıştırabilirsiniz; kayıtları değiştirmezler. example.com yerine alan adınızı, selector yerine sağlayıcınızın verdiği seçiciyi yazın. DKIM için CNAME verildiyse ikinci sorgudaki TXT yerine CNAME kullanın.

dig TXT example.com +short
dig TXT selector._domainkey.example.com +short
dig TXT _dmarc.example.com +short

dig yoksa bu adım için sunucuya yazılım kurmanız gerekmez; yetkili DNS panelindeki kayıtları ve sağlayıcınızın doğrulama sonucunu kontrol edin.

Gerçek ileti kontrolü — alıcı hesabında:

  1. Listedeki her gönderim hizmetinden ayrı test alıcınıza bir mesaj gönderin.
  2. Gmail kullanıyorsanız gelen iletide Orijinali göster / Show original görünümünü açın.
  3. Authentication-Results bölümünde SPF, DKIM ve DMARC sonuçlarına bakın.
  4. Sadece pass yazısını değil, hangi alan adının doğrulandığını da kontrol edin.

DNS önbellekleri nedeniyle yeni kayıtlar her yerde aynı anda görünmeyebilir. Kayıt panelinde doğru değeri görmekle gerçek iletide doğrulamanın geçmesi ayrı kontrollerdir.

Görsel anlatımDNS kaydı ile gerçek iletiyi eşleştirin

Son kontrolü, test mesajını alan hesaptan yapın.

  1. DNS kaydı yayımlandı

    Doğru kaydı alan adınızın yetkili DNS hizmetine eklediniz.

  2. Her hizmetten test

    Web sitesi, çalışan hesabı ve bülten gibi her göndericiden ayrı mesaj gönderin.

  3. Alıcıdaki doğrulama

    Orijinal ileti görünümünde sonuçları ve doğrulanan alan adlarını okuyun.

Başka bir alan adı için görülen SPF pass sonucu, kendi From alanınızın DMARC kontrolünü tek başına geçirmez.

Beklenen sonuç ve sık hatalar​

Başarılı sonuç: Her meşru gönderim hizmetinden gelen testte beklenen SPF/DKIM alan adları ve DMARC uyumu görülür.

  • SPF permerror: Kayıt yazımını, aynı adda ikinci SPF kaydı olup olmadığını ve sorgu sınırını kontrol edin.
  • DKIM başarısız: Seçiciyi, açık anahtarın eksiksizliğini ve göndericide imzalamanın açık olup olmadığını kontrol edin.
  • Doğrulama geçiyor ama ileti spam'de: Geri dönen hata kodunu, içeriği ve gönderim itibarını ayrıca inceleyin. Doğrulamayı kapatmayın.

Hatalı bir değişiklik yaptıysanız kaydettiğiniz önceki kaydı geri alın; diğer meşru göndericileri koruyun. Tam ileti başlıklarını herkese açık paylaşmayın. Gerekli kişisel bilgileri yalnızca güvenli destek kanalına iletin.

İlgili rehberler​

Resmî kaynaklar​