Alan adınızın sahte e-postada kullanılmasını engelleme kılavuzu: SPF, DKIM ve DMARC

Biri alan adınızı kullanıp sizin adınıza bir e-posta yazsa, müşteriniz bunun sizden gelmediğini anlayabilir mi? Doğru kurulmuş üç küçük DNS kaydıyla evet: SPF, DKIM ve DMARC. Bu üçü yerindeyse Gmail, Outlook ve Yahoo e-postanın gerçekten sizden gelip gelmediğini kontrol ediyor; alan adınızla sahte fatura ya da "hesap numaramız değişti" gibi kandırma amaçlı e-posta gönderilmesinin önü kesiliyor. Aynı ayarlar sayesinde sizin gerçek teklifleriniz, faturalarınız ve bültenleriniz de gelen kutusuna güvenle ulaşıyor. İyi haber şu: Üçü de ücretsiz, üçü de birkaç satırlık metin. Bu rehberde ne olduklarını, neden artık her şirket için gerekli olduklarını ve adım adım nasıl kurulduklarını anlatıyoruz.

Üç kayıt, üç görev

Bir şirket binası düşünün. SPF kapıdaki misafir listesi: Alan adınız adına hangi sunucuların e-posta gönderebileceğini yazar (örneğin Google Workspace ya da Microsoft 365). Liste dışından gelen bir sunucu "ben bu şirketten geliyorum" derse alıcı bunu fark eder. Kuralları RFC 7208 belirliyor.

DKIM zarfın üstündeki mühür: Gönderdiğiniz her e-postaya kriptografik bir imza eklenir, alıcı bu imzayı DNS'te yayımladığınız açık anahtarla kontrol eder. Mühür sağlamsa e-posta yolda değiştirilmemiş ve gerçekten sizin sunucunuzdan çıkmış demektir. Tanımı RFC 6376'da.

DMARC kapıdaki görevliye verilen talimat: SPF ve DKIM kontrolünden geçemeyen bir e-posta gelirse ne yapılacağını söyler (bekle ve gözle, spam'e at ya da reddet). Üstelik size düzenli rapor gönderir: Alan adınız adına kim, hangi sunucudan e-posta yollamış, görürsünüz. DMARC Mayıs 2026'da RFC 9989 ile resmi İnternet standardı yoluna girdi.

Neden artık herkes için gerekli

Büyük e-posta sağlayıcıları son iki yılda kuralları netleştirdi. Google'ın gönderici yönergelerine göre Şubat 2024'ten beri Gmail'e e-posta gönderen herkesin en az SPF ya da DKIM kurmuş olması gerekiyor. Günde yaklaşık 5.000 ve üzeri e-posta gönderenler için SPF, DKIM ve DMARC'ın üçü birden, alan adı uyumu ve tek tıkla abonelikten çıkma isteniyor; spam oranının yüzde 0,3'ün altında kalması gerekiyor. Google'ın sık sorulan sorularına göre Kasım 2025'ten itibaren bu kurallara uymayan trafiğe yönelik uygulama sıkılaştırıldı.

Yahoo da benzer kuralları uyguluyor. Microsoft ise Outlook blogunda duyurduğu gibi 5 Mayıs 2025'ten bu yana Outlook.com, Hotmail ve Live adreslerine günde 5.000'den fazla e-posta gönderen alan adlarından SPF, DKIM ve en az p=none düzeyinde DMARC bekliyor. Kısacası bu üç kayıt artık e-postanın gelen kutusuna ulaşması için temel şart.

1. adım: Bugünkü durumunuza bakın

Windows'ta Komut İstemi'ni açıp şu iki komutu kendi alan adınızla çalıştırın:

nslookup -type=TXT alanadiniz.com
nslookup -type=TXT _dmarc.alanadiniz.com

İlk komutun çıktısında "v=spf1" ile başlayan bir satır, ikincisinde "v=DMARC1" ile başlayan bir satır görmelisiniz. Mac ya da Linux'ta aynı işi dig TXT alanadiniz.com +short yapıyor. Komut satırıyla uğraşmak istemeyenler Google'ın ücretsiz Check MX aracına alan adını yazarak MX ve SPF kayıtlarını kontrol edebilir.

2. adım: SPF kaydını ekleyin

Alan adı yönetim panelinizde (alan adını nereden aldıysanız ya da DNS'iniz neredeyse) alan adının köküne (@) bir TXT kaydı ekleyin. Google Workspace kullananlar için Google'ın önerdiği kayıt:

v=spf1 include:_spf.google.com ~all

Microsoft 365 kullananlar için Microsoft'un önerdiği kayıt:

v=spf1 include:spf.protection.outlook.com -all

Birkaç önemli kural var. Bir alan adında yalnız bir SPF kaydı olabilir; bülten servisi, CRM ya da fatura programı gibi başka göndericileri aynı kaydın içine "include:" ile eklersiniz. Kayıt en fazla 10 DNS sorgusuna yol açabilir, fazlası hata verir. Sondaki "~all" ile "-all" arasındaki fark da bilinmeli: Google yumuşak olan "~all"u öneriyor, Microsoft kendi müşterilerine sert olan "-all"u. Hiç e-posta göndermeyen alan adlarınız için tek satır yeterli: v=spf1 -all.

3. adım: DKIM imzasını açın

DKIM anahtarını e-posta sağlayıcınız üretir, siz yalnız DNS'e eklersiniz. Google Workspace'te yönetici konsolunda Uygulamalar > Google Workspace > Gmail > E-postanın kimliğini doğrula yolunu izleyip yeni kayıt oluşturursunuz; DNS sağlayıcınız destekliyorsa 2048 bitlik anahtar seçin. Ortaya "google._domainkey" adında bir TXT kaydı çıkar. Kaydı ekledikten sonra 48 saate kadar bekleyip "Kimlik doğrulamayı başlat" düğmesine basarsınız.

Microsoft 365'te Microsoft'un rehberine göre "selector1._domainkey" ve "selector2._domainkey" adında iki CNAME kaydı eklenir, ardından Microsoft Defender portalında DKIM imzalama açılır. İki seçicinin de eklenmesi gerekiyor, yalnız birini eklemek sık yapılan bir hata.

4. adım: DMARC'ı yumuşak başlatıp sıkılaştırın

SPF ve DKIM en az 48 saattir çalışıyorsa DMARC zamanı. "_dmarc" adında bir TXT kaydı ekleyin ve izleme moduyla başlayın:

v=DMARC1; p=none; rua=mailto:dmarc@alanadiniz.com

"p=none" hiçbir e-postayı engellemez, yalnız rapor toplar. Raporlar "rua" adresine gelir; Google ve Microsoft bunun için kişisel kutunuz yerine ayrı bir posta kutusu ya da grup açmayı öneriyor. Google'ın önerdiği geçiş planı şöyle: Yaklaşık bir hafta raporları izleyin, kendi meşru göndericilerinizin hepsinin geçtiğinden emin olun, sonra "p=quarantine" (şüphelileri spam'e at) düzeyine geçin, en sonda da "p=reject" (reddet) ile tam korumaya ulaşın. Microsoft da aynı sırayı öneriyor ve önce alt alan adlarından başlamayı tavsiye ediyor.

Küçük bir güncel not: Bugünkü rehberlerin çoğu geçişi kademeli yapmak için "pct" etiketini kullanıyor ve alıcıların çoğu bunu hala okuyor. Yeni standart RFC 9989 bu etiketin yerine "t=y" (test modu) etiketini getirdi. Hiç e-posta göndermeyen alan adlarınız için en temiz kayıt: v=DMARC1; p=reject;

5. adım: Sonucu test edin

Alan adınızdan başka bir Gmail hesabına bir e-posta gönderin (kendinize değil). Gmail'de e-postayı açıp "Diğer" menüsünden "Orijinali göster"e tıklayın. Üst kısımda SPF, DKIM ve DMARC satırlarının üçünün de "PASS" yazması gerekiyor. Üçü de geçiyorsa alan adınız artık kimliğini kanıtlıyor demektir.

Sık yapılan hatalar

• Aynı alan adında iki ayrı SPF kaydı tutmak (ikisi birden geçersiz sayılır).
• Çok fazla "include:" eklenip 10 sorgu sınırını aşmak.
• SPF ve DKIM oturmadan DMARC'ı doğrudan "reject" ile başlatmak.
• DMARC raporlarını kimsenin bakmadığı bir adrese göndermek.
• Bülten, CRM ya da fatura sisteminin de alan adınız adına e-posta gönderdiğini unutmak.
• Microsoft 365'te iki DKIM seçicisinden yalnız birini eklemek.

Bir adım ötesi

Temel üçlü oturduktan sonra isteyenler için üç ek var: MTA-STS (RFC 8461) alan adınıza gelen e-postanın şifreli bağlantıyla taşınmasını şart koşar, TLS-RPT (RFC 8460) bununla ilgili hataları raporlar. BIMI ise DMARC'ı tam korumaya almış markaların logosunu destekleyen e-posta uygulamalarında gelen kutusunda göstermesini sağlar; böylece güvenlik çalışması müşterinin gözünde görünür bir marka işaretine dönüşür.

Bu kurulum için uzman olmak gerekmiyor; alan adı paneline erişimi olan herkes bir öğleden sonra içinde temel üçlüyü kurabilir. Sonuç, müşterinin gelen kutusuna güvenle ulaşan e-postalar ve sizin adınızla yalnız sizin konuşabildiğiniz bir alan adı.

Kaynaklar: Google gönderici yönergeleri, Google SSS, Microsoft Outlook gereksinimleri, Yahoo gönderici kuralları, RFC 9989 (DMARC), RFC 7208 (SPF), RFC 6376 (DKIM), Google Workspace SPF, Google Workspace DKIM, Google DMARC geçiş planı, Microsoft SPF, Microsoft DKIM, Microsoft DMARC