SPF, DKIM ve DMARC: e-postalarınız neden spam klasörüne düşüyor

Gmail ve Outlook, 2024'ten itibaren toplu gönderim yapan alan adlarından SPF, DKIM ve DMARC kayıtlarını zorunlu tutuyor. Toplu gönderim yapmıyor olsanız bile bu üç kayıt eksikse e-postalarınızın spam klasörüne düşme ihtimali yüksektir.

SPF: kim gönderebilir

SPF kaydı, alan adınız adına hangi sunucuların e-posta gönderebileceğini listeler. Bir TXT kaydıdır:

alanadiniz.com.tr.  TXT  "v=spf1 include:_spf.saglayici.com ip4:203.0.113.10 -all"

• include: başka bir sağlayıcının SPF listesini ekler.
• ip4: belirli bir IP adresine izin verir.
• -all listede olmayan herkesi reddeder. Geçiş döneminde ~all (yumuşak red) kullanılabilir.

Sık yapılan hata: Bir alan adı için birden fazla SPF kaydı oluşturmak. Yalnızca bir SPF kaydı olmalıdır; birden fazla gönderim servisi kullanıyorsanız hepsini tek kayıtta include ile birleştirin. Ayrıca SPF değerlendirmesi en fazla 10 DNS sorgusu yapabilir; çok fazla include eklerseniz kayıt geçersiz sayılır.

DKIM: içerik değişmedi mi

DKIM, gönderen sunucunun e-postayı özel anahtarıyla imzalamasıdır. Alıcı, açık anahtarı DNS'ten okuyup imzayı doğrular:

mail._domainkey.alanadiniz.com.tr.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."

mail kısmı seçicidir (selector). Her gönderim servisi kendi seçicisini ve anahtarını verir. Kurumsal e-posta hizmetimizde bu kayıt otomatik oluşturulur.

DMARC: kurallar ve rapor

DMARC, SPF ve DKIM sonuçlarının From satırındaki alan adıyla uyumlu olup olmadığını kontrol eder ve uyumsuz e-postalarla ne yapılacağını söyler:

_dmarc.alanadiniz.com.tr.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@alanadiniz.com.tr"

Önerilen geçiş sırası:

1. p=none ile başlayın ve gelen raporları iki-üç hafta inceleyin.
2. Tüm meşru gönderim kaynaklarınızın SPF veya DKIM'den geçtiğini doğruladıktan sonra p=quarantine yapın.
3. Sorun görmezseniz p=reject ile sahte gönderimleri tamamen engelleyin.

Kontrol etmek

Kayıtlarınızı komut satırından okuyabilirsiniz:

dig +short TXT alanadiniz.com.tr
dig +short TXT mail._domainkey.alanadiniz.com.tr
dig +short TXT _dmarc.alanadiniz.com.tr

Gönderdiğiniz bir e-postanın başlıklarında Authentication-Results satırını arayın; spf=pass, dkim=pass ve dmarc=pass görüyorsanız yapılandırma doğrudur.

Unutulan gönderim kaynakları

Web sitenizin iletişim formu, muhasebe yazılımınız veya CRM sisteminiz de sizin adınıza e-posta gönderiyor olabilir. DMARC raporları tam olarak bu unutulan kaynakları bulmak için vardır. p=reject adımına geçmeden önce raporlarda tanımadığınız ama meşru olan gönderimleri kontrol edin.