> ## Content Index > Fetch the complete content index at: https://globalfeed.ai/llms.txt > Use this file to discover other available public pages before exploring further. # Alan adınızın sahte e-postada kullanılmasını engelleme kılavuzu: SPF, DKIM ve DMARC - URL: https://globalfeed.ai/e-postalariniz-gelen-kutusuna-ulassin-spf-dkim-ve-dmarc-adim-adim-rehber/ - Published: 2026-11-03T00:41:37.000Z - Updated: 2026-11-03T00:45:10.000Z - Description: Alan adınız sizin adınıza sahte e-posta göndermek için kullanılamasın. SPF, DKIM ve DMARC ne işe yarar, nasıl kurulur, nasıl test edilir ve en sık yapılan hatalar. - Author: GlobalFeed Editor - Tags: e-posta güvenliği, DMARC, siber güvenlik, rehber, KOBİ, x-Google, dil-tr, elle Biri alan adınızı kullanıp sizin adınıza bir e-posta yazsa, müşteriniz bunun sizden gelmediğini anlayabilir mi? Doğru kurulmuş üç küçük DNS kaydıyla evet: **SPF, DKIM ve DMARC**. Bu üçü yerindeyse [Gmail](https://support.google.com/a/answer/81126?ref=globalfeed.ai), Outlook ve Yahoo e-postanın gerçekten sizden gelip gelmediğini kontrol ediyor; alan adınızla sahte fatura ya da "hesap numaramız değişti" gibi kandırma amaçlı e-posta gönderilmesinin önü kesiliyor. Aynı ayarlar sayesinde sizin gerçek teklifleriniz, faturalarınız ve bültenleriniz de gelen kutusuna güvenle ulaşıyor. İyi haber şu: Üçü de ücretsiz, üçü de birkaç satırlık metin. Bu rehberde ne olduklarını, neden artık her şirket için gerekli olduklarını ve adım adım nasıl kurulduklarını anlatıyoruz. ## Üç kayıt, üç görev Bir şirket binası düşünün. **SPF** kapıdaki misafir listesi: Alan adınız adına hangi sunucuların e-posta gönderebileceğini yazar (örneğin Google Workspace ya da Microsoft 365). Liste dışından gelen bir sunucu "ben bu şirketten geliyorum" derse alıcı bunu fark eder. Kuralları [RFC 7208](https://www.rfc-editor.org/info/rfc7208?ref=globalfeed.ai) belirliyor. **DKIM** zarfın üstündeki mühür: Gönderdiğiniz her e-postaya kriptografik bir imza eklenir, alıcı bu imzayı DNS'te yayımladığınız açık anahtarla kontrol eder. Mühür sağlamsa e-posta yolda değiştirilmemiş ve gerçekten sizin sunucunuzdan çıkmış demektir. Tanımı [RFC 6376](https://www.rfc-editor.org/info/rfc6376?ref=globalfeed.ai)'da. **DMARC** kapıdaki görevliye verilen talimat: SPF ve DKIM kontrolünden geçemeyen bir e-posta gelirse ne yapılacağını söyler (bekle ve gözle, spam'e at ya da reddet). Üstelik size düzenli rapor gönderir: Alan adınız adına kim, hangi sunucudan e-posta yollamış, görürsünüz. DMARC Mayıs 2026'da [RFC 9989](https://www.rfc-editor.org/rfc/rfc9989.html?ref=globalfeed.ai) ile resmi İnternet standardı yoluna girdi. ## Neden artık herkes için gerekli Büyük e-posta sağlayıcıları son iki yılda kuralları netleştirdi. Google'ın [gönderici yönergelerine](https://support.google.com/a/answer/81126?ref=globalfeed.ai) göre Şubat 2024'ten beri Gmail'e e-posta gönderen herkesin en az SPF ya da DKIM kurmuş olması gerekiyor. Günde yaklaşık 5.000 ve üzeri e-posta gönderenler için SPF, DKIM ve DMARC'ın üçü birden, alan adı uyumu ve tek tıkla abonelikten çıkma isteniyor; spam oranının yüzde 0,3'ün altında kalması gerekiyor. Google'ın [sık sorulan sorularına](https://support.google.com/a/answer/14229414?ref=globalfeed.ai) göre Kasım 2025'ten itibaren bu kurallara uymayan trafiğe yönelik uygulama sıkılaştırıldı. [Yahoo](https://senders.yahooinc.com/best-practices/?ref=globalfeed.ai) da benzer kuralları uyguluyor. Microsoft ise [Outlook blogunda](https://techcommunity.microsoft.com/blog/microsoftdefenderforoffice365blog/strengthening-email-ecosystem-outlook%e2%80%99s-new-requirements-for-high%e2%80%90volume-senders/4399730?ref=globalfeed.ai) duyurduğu gibi 5 Mayıs 2025'ten bu yana Outlook.com, Hotmail ve Live adreslerine günde 5.000'den fazla e-posta gönderen alan adlarından SPF, DKIM ve en az p=none düzeyinde DMARC bekliyor. Kısacası bu üç kayıt artık e-postanın gelen kutusuna ulaşması için temel şart. ## 1\. adım: Bugünkü durumunuza bakın Windows'ta Komut İstemi'ni açıp şu iki komutu kendi alan adınızla çalıştırın: ``` nslookup -type=TXT alanadiniz.com nslookup -type=TXT _dmarc.alanadiniz.com ``` İlk komutun çıktısında "v=spf1" ile başlayan bir satır, ikincisinde "v=DMARC1" ile başlayan bir satır görmelisiniz. Mac ya da Linux'ta aynı işi `dig TXT alanadiniz.com +short` yapıyor. Komut satırıyla uğraşmak istemeyenler Google'ın ücretsiz [Check MX](https://toolbox.googleapps.com/apps/checkmx/?ref=globalfeed.ai) aracına alan adını yazarak MX ve SPF kayıtlarını kontrol edebilir. ## 2\. adım: SPF kaydını ekleyin Alan adı yönetim panelinizde (alan adını nereden aldıysanız ya da DNS'iniz neredeyse) alan adının köküne (@) bir TXT kaydı ekleyin. Google Workspace kullananlar için [Google'ın önerdiği kayıt](https://knowledge.workspace.google.com/admin/security/set-up-spf?ref=globalfeed.ai): ``` v=spf1 include:_spf.google.com ~all ``` Microsoft 365 kullananlar için [Microsoft'un önerdiği kayıt](https://learn.microsoft.com/en-us/defender-office-365/email-authentication-spf-configure?ref=globalfeed.ai): ``` v=spf1 include:spf.protection.outlook.com -all ``` Birkaç önemli kural var. Bir alan adında **yalnız bir SPF kaydı** olabilir; bülten servisi, CRM ya da fatura programı gibi başka göndericileri aynı kaydın içine "include:" ile eklersiniz. Kayıt en fazla 10 DNS sorgusuna yol açabilir, fazlası hata verir. Sondaki "\~all" ile "-all" arasındaki fark da bilinmeli: Google yumuşak olan "\~all"u öneriyor, Microsoft kendi müşterilerine sert olan "-all"u. Hiç e-posta göndermeyen alan adlarınız için tek satır yeterli: `v=spf1 -all`. ## 3\. adım: DKIM imzasını açın DKIM anahtarını e-posta sağlayıcınız üretir, siz yalnız DNS'e eklersiniz. Google Workspace'te [yönetici konsolunda](https://knowledge.workspace.google.com/admin/security/set-up-dkim?ref=globalfeed.ai) Uygulamalar > Google Workspace > Gmail > E-postanın kimliğini doğrula yolunu izleyip yeni kayıt oluşturursunuz; DNS sağlayıcınız destekliyorsa 2048 bitlik anahtar seçin. Ortaya "google.\_domainkey" adında bir TXT kaydı çıkar. Kaydı ekledikten sonra 48 saate kadar bekleyip "Kimlik doğrulamayı başlat" düğmesine basarsınız. Microsoft 365'te [Microsoft'un rehberine](https://learn.microsoft.com/en-us/defender-office-365/email-authentication-dkim-configure?ref=globalfeed.ai) göre "selector1.\_domainkey" ve "selector2.\_domainkey" adında iki CNAME kaydı eklenir, ardından Microsoft Defender portalında DKIM imzalama açılır. İki seçicinin de eklenmesi gerekiyor, yalnız birini eklemek sık yapılan bir hata. ## 4\. adım: DMARC'ı yumuşak başlatıp sıkılaştırın SPF ve DKIM en az 48 saattir çalışıyorsa DMARC zamanı. "\_dmarc" adında bir TXT kaydı ekleyin ve izleme moduyla başlayın: ``` v=DMARC1; p=none; rua=mailto:dmarc@alanadiniz.com ``` "p=none" hiçbir e-postayı engellemez, yalnız rapor toplar. Raporlar "rua" adresine gelir; Google ve Microsoft bunun için kişisel kutunuz yerine ayrı bir posta kutusu ya da grup açmayı öneriyor. [Google'ın önerdiği geçiş planı](https://knowledge.workspace.google.com/admin/security/recommended-dmarc-rollout?ref=globalfeed.ai) şöyle: Yaklaşık bir hafta raporları izleyin, kendi meşru göndericilerinizin hepsinin geçtiğinden emin olun, sonra "p=quarantine" (şüphelileri spam'e at) düzeyine geçin, en sonda da "p=reject" (reddet) ile tam korumaya ulaşın. [Microsoft](https://learn.microsoft.com/en-us/defender-office-365/email-authentication-dmarc-configure?ref=globalfeed.ai) da aynı sırayı öneriyor ve önce alt alan adlarından başlamayı tavsiye ediyor. Küçük bir güncel not: Bugünkü rehberlerin çoğu geçişi kademeli yapmak için "pct" etiketini kullanıyor ve alıcıların çoğu bunu hala okuyor. Yeni standart RFC 9989 bu etiketin yerine "t=y" (test modu) etiketini getirdi. Hiç e-posta göndermeyen alan adlarınız için en temiz kayıt: `v=DMARC1; p=reject;` ## 5\. adım: Sonucu test edin Alan adınızdan başka bir Gmail hesabına bir e-posta gönderin (kendinize değil). Gmail'de e-postayı açıp "Diğer" menüsünden "Orijinali göster"e tıklayın. Üst kısımda SPF, DKIM ve DMARC satırlarının üçünün de "PASS" yazması gerekiyor. Üçü de geçiyorsa alan adınız artık kimliğini kanıtlıyor demektir. ## Sık yapılan hatalar - Aynı alan adında iki ayrı SPF kaydı tutmak (ikisi birden geçersiz sayılır). - Çok fazla "include:" eklenip 10 sorgu sınırını aşmak. - SPF ve DKIM oturmadan DMARC'ı doğrudan "reject" ile başlatmak. - DMARC raporlarını kimsenin bakmadığı bir adrese göndermek. - Bülten, CRM ya da fatura sisteminin de alan adınız adına e-posta gönderdiğini unutmak. - Microsoft 365'te iki DKIM seçicisinden yalnız birini eklemek. ## Bir adım ötesi Temel üçlü oturduktan sonra isteyenler için üç ek var: MTA-STS (RFC 8461) alan adınıza gelen e-postanın şifreli bağlantıyla taşınmasını şart koşar, TLS-RPT (RFC 8460) bununla ilgili hataları raporlar. [BIMI](https://bimigroup.org/?ref=globalfeed.ai) ise DMARC'ı tam korumaya almış markaların logosunu destekleyen e-posta uygulamalarında gelen kutusunda göstermesini sağlar; böylece güvenlik çalışması müşterinin gözünde görünür bir marka işaretine dönüşür. Bu kurulum için uzman olmak gerekmiyor; alan adı paneline erişimi olan herkes bir öğleden sonra içinde temel üçlüyü kurabilir. Sonuç, müşterinin gelen kutusuna güvenle ulaşan e-postalar ve sizin adınızla yalnız sizin konuşabildiğiniz bir alan adı. Kaynaklar: [Google gönderici yönergeleri](https://support.google.com/a/answer/81126?ref=globalfeed.ai), [Google SSS](https://support.google.com/a/answer/14229414?ref=globalfeed.ai), [Microsoft Outlook gereksinimleri](https://techcommunity.microsoft.com/blog/microsoftdefenderforoffice365blog/strengthening-email-ecosystem-outlook%e2%80%99s-new-requirements-for-high%e2%80%90volume-senders/4399730?ref=globalfeed.ai), [Yahoo gönderici kuralları](https://senders.yahooinc.com/best-practices/?ref=globalfeed.ai), [RFC 9989 (DMARC)](https://www.rfc-editor.org/rfc/rfc9989.html?ref=globalfeed.ai), [RFC 7208 (SPF)](https://www.rfc-editor.org/info/rfc7208?ref=globalfeed.ai), [RFC 6376 (DKIM)](https://www.rfc-editor.org/info/rfc6376?ref=globalfeed.ai), [Google Workspace SPF](https://knowledge.workspace.google.com/admin/security/set-up-spf?ref=globalfeed.ai), [Google Workspace DKIM](https://knowledge.workspace.google.com/admin/security/set-up-dkim?ref=globalfeed.ai), [Google DMARC geçiş planı](https://knowledge.workspace.google.com/admin/security/recommended-dmarc-rollout?ref=globalfeed.ai), [Microsoft SPF](https://learn.microsoft.com/en-us/defender-office-365/email-authentication-spf-configure?ref=globalfeed.ai), [Microsoft DKIM](https://learn.microsoft.com/en-us/defender-office-365/email-authentication-dkim-configure?ref=globalfeed.ai), [Microsoft DMARC](https://learn.microsoft.com/en-us/defender-office-365/email-authentication-dmarc-configure?ref=globalfeed.ai)