SPF, DKIM ve DMARC ile E‑posta Güvenliğini %100 Sağlamlaştırın: 2026 Güncellemesi

SPF Nedir ve Neden Kullanmalısınız?

Sender Policy Framework (SPF), bir alan adının hangi sunuculardan e‑posta gönderebileceğini DNS kayıtları aracılığıyla tanımlayan bir standarttır. SPF sayesinde alıcı sunucular, gelen mesajın gönderildiği IP adresinin alan adının yetkili listesinde olup olmadığını kontrol eder. Bu kontrol başarısız olursa mesaj ya reddedilir ya da spam klasörüne yönlendirilir.

SPF'in en büyük avantajı, sahtecilik (spoofing) girişimlerini önlemesidir. Örneğin, bir saldırgan şirketinizin info@firma.com adresini taklit ederek phishing e‑postası gönderdiğinde, alıcı sunucu SPF kaydını kontrol ederek bu IP'nin yetkili olmadığını fark eder ve mesajı bloke eder. Bu sayede %70’e varan sahte e‑posta trafiği azaltılabilir.

SPF kaydı oluştururken dikkat edilmesi gereken iki kritik nokta vardır: 1) Tüm gönderim sunucularının (örneğin VDS sunucu paketleri, AMD Ryzen VDS sunucular) IP adreslerini eklemek, 2) “~all” (soft fail) yerine “-all” (hard fail) kullanarak yetkisiz gönderimleri kesin olarak reddetmektir. Yanlış yapılandırma ise meşru e‑postaların da düşmesine yol açabilir; bu yüzden DNS yönetim panelinizde değişiklik yapmadan önce bir test ortamında doğrulama yapmanız önerilir.

DKIM Nasıl Çalışır ve Kurulumu Nasıl Yapılır?

DomainKeys Identified Mail (DKIM), e‑posta içeriğini ve başlıklarını dijital bir imza ile koruyan bir kimlik doğrulama mekanizmasıdır. Gönderici sunucu, e‑postanın belirli bölümlerini (örneğin konu, gönderici, tarih) bir özel anahtar ile şifreler; alıcı sunucu ise DNS’te yayınlanan ilgili genel anahtarı kullanarak imzayı doğrular.

DKIM'in temel faydası, mesajın gönderim sırasında değiştirilip değiştirilmediğini tespit etmesidir. Bir saldırgan e‑postayı yakalayıp içeriğini değiştirirse, imza geçersiz olur ve alıcı sunucu mesajı reddeder. Bu durum, özellikle kurumsal e‑posta hizmeti kullanan firmalar için kritik bir güvenlik katmanı oluşturur.

DKIM kurulumu üç adımdan oluşur:

1. Özel ve genel anahtar çifti oluşturulur (genellikle OpenSSL veya mail sunucu paneli aracılığıyla).
2. Genel anahtar, DNS’e “TXT” kaydı olarak selector._domainkey.firma.com şeklinde eklenir.
3. Mail sunucusu, gönderilen her e‑postaya bu selector ile imza ekler. Test amaçlı dkimvalidator.com gibi araçlarla imzanın doğruluğu kontrol edilmelidir.

DMARC Nedir ve SPF+DKIM ile Nasıl Entegre Edilir?

Domain-based Message Authentication, Reporting & Conformance (DMARC), SPF ve DKIM protokollerinin üzerine bir politika katmanı ekleyerek alıcı sunuculara “Bu mesajı nasıl işlemeli?” sorusunu sorar. DMARC politikası, alan adının sahibi tarafından DNS’te bir TXT kaydı olarak tanımlanır ve üç temel parametre içerir: p=none|quarantine|reject, rua (rapor gönderim adresi) ve ruf (forensik rapor adresi).

DMARC, SPF ve DKIM’in aynı alan adı (aligned) olması gerektiğini zorunlu kılar. Örneğin, mail.firma.com üzerinden gönderilen bir e‑posta, SPF kaydında mail.firma.com IP’si bulunmalı ve DKIM imzası da aynı alan adıyla hizalanmalıdır. Bu hizalama, sahtecilik girişimlerinin tespit edilmesini büyük ölçüde kolaylaştırır.

DMARC politikası oluştururken başlangıçta p=none (rapor al ancak işlem yapma) seçilmesi tavsiye edilir. Bu aşamada gelen raporlar incelenir, sahte gönderim kaynakları tespit edilir ve SPF/DKIM kayıtları güncellenir. İyileştirme süreci tamamlandığında p=quarantine (spam klasörüne taşı) veya p=reject (tamamen reddet) politikalarına geçilir.

SPF, DKIM ve DMARC’ın Birlikte Çalıştığı Senaryo: Gerçek Dünya Örneği

Bir e‑ticaret sitesi düşünün: shop.com. Site, hem kendi sunucularından hem de üçüncü parti pazarlama platformlarından (MailChimp, SendGrid) e‑posta gönderiyor. İlk adımda, e‑ticaret hosting paketinizdeki IP adreslerini SPF kaydına ekliyorsunuz. Ardından, her platforma ayrı bir DKIM selector (örnek: mailchimp._domainkey.shop.com) tanımlayarak DNS’e genel anahtarlarını yerleştiriyorsunuz.

DMARC kaydını p=quarantine; rua=mailto:rapor@shop.com; ruf=mailto:forensic@shop.com şeklinde oluşturduğunuzda, alıcı sunucular hem SPF hem de DKIM doğrulamalarını yapar; uyumsuz bir mesaj (örneğin sahte bir “order@shop.com” e‑postası) DMARC politikası gereği spam klasörüne yönlendirilir ve raporlar size gönderilir. Böyle bir yapı, sahte sipariş bildirimlerinin %95’ini engelleyerek hem müşteri memnuniyetini hem de maddi kayıpları azaltır.

SPF/DKIM/DMARC Karşılaştırma Tablosu

SPF, DKIM ve DMARC Kurulumunda Sık Yapılan Hatalar ve Çözüm Önerileri

Kurulum sürecinde en sık karşılaşılan hatalardan biri, çoklu SPF kayıtları oluşturmak ve “v=spf1” satırını birden fazla kez eklemektir. Bu durum DNS sorgularının çökmesine ve tüm SPF kontrollerinin başarısız olmasına yol açar. Çözüm: Tek bir SPF kaydı içinde tüm IP ve alt‑domainleri include: ile birleştirin.

DKIM tarafında ise selector adının tutarsız kullanımı yaygındır. Mail sunucusu bir selector ile imza eklerken, DNS kaydı farklı bir selector adı içeriyorsa doğrulama başarısız olur. Bu sorunu önlemek için, mail sunucusu ayarlarını ve DNS kaydını aynı selector adıyla senkronize edin.

DMARC’da ise rapor adreslerinin eksik veya hatalı formatta olması raporların hiç gelmemesine neden olur. Rapor adresi mailto: ön ekiyle tam bir e‑posta adresi olmalı ve DNS kaydında virgül ile ayrılmalıdır. Ayrıca, raporları otomatik işleyen bir araç (örneğin DMARCian veya Postmark) kurarak gelen verileri düzenli olarak inceleyin.

Adım Adım SPF, DKIM ve DMARC Nasıl Kurulur?

1. DNS Yönetim Paneline Giriş: Alan adınızın DNS yönetim sayfasını açın. Eğer alan adı (domain) kaydı hizmeti bizim tarafımızdan sağlanıyorsa, kontrol paneliniz üzerinden doğrudan düzenleme yapabilirsiniz.
2. SPF Kaydını Oluşturun: v=spf1 ip4:185.12.34.56 ip4:185.12.35.0/24 include:_spf.google.com -all gibi bir TXT kaydı ekleyin. Burada IP blokları ve üçüncü parti servislerin (Google Workspace, MailChimp vb.) include satırları yer alır.
3. DKIM Anahtar Çifti Üretin: Sunucunuzda openssl genrsa -out private.key 2048 ve openssl rsa -in private.key -pubout -out public.key komutlarıyla anahtarları oluşturun. Selector adını (örnek: mail) belirleyin.
4. DKIM DNS Kaydını Ekleyin: mail._domainkey.firma.com IN TXT "v=DKIM1; k=rsa; p=PUBLIC_KEY" şeklinde TXT kaydı girin. PUBLIC_KEY kısmına public.key dosyasının içeriğini yapıştırın.
5. Mail Sunucusunu Yapılandırın: Kullanılan MTA (Postfix, Exim, Exchange vb.) üzerinden DKIM imzalama modülünü (opendkim, dkimproxy) etkinleştirin ve selector ile private key yolunu tanımlayın.
6. DMARC Kaydını Ekleyin: _dmarc.firma.com IN TXT "v=DMARC1; p=none; rua=mailto:rapor@firma.com; ruf=mailto:forensic@firma.com; pct=100" kaydını oluşturun. Başlangıçta “p=none” ile rapor toplama aşamasına geçin.
7. Test ve Doğrulama: MXToolbox veya dig txt firma.com komutlarıyla kayıtları kontrol edin. dkimvalidator.com üzerinden örnek bir e‑posta göndererek DKIM imzasının geçerli olduğunu doğrulayın.
8. Politika Güncelleme: Raporları inceledikten sonra sahte gönderim kaynaklarını tespit edin, SPF/DKIM kayıtlarını güncelleyin ve DMARC politikasını p=quarantine ardından p=reject seviyesine taşıyın.

Sıkça Sorulan Sorular

SPF kaydı neden sadece bir kez tanımlanmalı?

DNS protokolü, aynı isimde birden fazla TXT kaydını birleştirmez; bu da SPF doğrulama sırasında çakışma yaratır ve tüm SPF kontrolleri başarısız olur. Tek bir kayıt içinde tüm IP ve include ifadelerini toplamak gerekir.

DKIM imzası e‑postanın içeriğini şifreler mi?

Hayır, DKIM yalnızca seçilen başlık ve gövde bölümlerinin hash değerini özel anahtarla imzalar. Mesajın kendisi şifrelenmez; sadece bütünlüğü ve kaynağı doğrulanır.

DMARC raporları nasıl analiz edilir?

Raporlar XML formatında gelir. DMARCian, Postmark DMARC gibi hizmetler bu dosyaları okunabilir tabloya dönüştürür. Raporlarda “fail” olarak işaretlenen IP’ler, SPF/DKIM uyumsuzluğu gösteren gönderimler ve gönderim hacmi gibi bilgiler bulunur.

SPF, DKIM ve DMARC aynı anda aktif olmalı mı?

Evet. SPF IP kontrolü, DKIM içerik bütünlüğü ve DMARC politika yönetimi birbirini tamamlar. Üçü birlikte çalıştığında sahtecilik, spoofing ve phishing saldırılarına karşı %99’dan fazla koruma sağlar.

Sonuç: E‑posta Güvenliğinizi Şimdi Güçlendirin

SPF, DKIM ve DMARC, modern e‑posta altyapılarının vazgeçilmez güvenlik katmanlarıdır. Doğru yapılandırıldıklarında sahte gönderimlerin %95’ini engeller, marka itibarınızı korur ve müşterilerinizin güvenini artırır. Yukarıdaki adımları izleyerek DNS kayıtlarınızı güncelleyin, raporları düzenli analiz edin ve DMARC politikanızı kademeli olarak sıkılaştırın.

Unutmayın, güvenlik bir defaya mahsus bir kurulum değil, sürekli bir izleme ve iyileştirme sürecidir. İlk adımı attıktan sonra kurumsal e‑posta hizmetinizin raporlarını haftalık olarak inceleyin, yeni IP eklemeleri gerektiğinde SPF kaydını güncelleyin ve DKIM anahtarlarını yılda bir yenileyin. Bu basit ama etkili adımlarla e‑posta güvenliğinizi 2026’da da sağlam tutabilirsiniz.