Bu rehber ne içindir?
- E-posta gönderen uygulamaları geliştiren, destekleyen ve bakımını yapan kişiler için temel bir rehberdir.
- E-postaların spam klasörü yerine alıcının gelen kutusuna ulaşmasını sağlamaya yardımcı olur.
- Alan adınızı siber suçlulardan ve spam gönderenlerden nasıl koruyacağınızı açıklar.
Neden bu rehberi seçmelisiniz?
- SPF, DKIM ve DMARC’ı basit, net açıklamalar ve örneklerle kolay anlaşılır şekilde anlatır.
- GitHub üzerinde barındırılır; geliştirme ortamınızla entegre ederek bilgilere hızla erişebilirsiniz.
- Topluluk tarafından sürekli güncellenip sürdürülebilen bir dokümandır.
Bu rehber ne için değildir?
- E-posta sunucusu yapılandırması, şifreleme veya güvenli e-posta ağ geçitleri gibi ileri konuları ele almaz.
SPF, DKIM, DMARC’ı kısaca açıklamak
SPF (Sender Policy Framework)
- SPF: E-posta gönderebilecek arkadaşların listesi gibidir.
- SPF kaydı: Bu arkadaş listesini DNS TXT kaydında saklar.
- Örnek:
v=spf1 ip4:123.123.123.123 ~all
DKIM (DomainKeys Identified Mail)
- DKIM: E-postanın içine gizli bir not koymak gibidir.
- DKIM kaydı: Alıcının e-postanın gerçekliğini doğrulayabilmesi için açık anahtarı DNS TXT kaydında saklar.
- Örnek:
v=DKIM1; k=rsa; p=NICfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDBolTXCqbxwoRBffyg2efs+Dtlc+CjxKz9grZGBaISRvN7EOZNoGDTyjbDIG8CnEK479niIL4rPAVriT54MhUZfC5UU4OFXTvOW8FWzk6++a0JzYu+FAwYnOQE9R8npKNOl2iDK/kheneVcD4IKCK7IhuWf8w4lnR6QEW3hpTsawIDAQ0B
DMARC (Domain-based Message Authentication, Reporting & Conformance)
- DMARC: SPF ve DKIM kurallarını bir araya getirip büyük bir kural kitabı oluşturmak gibidir.
- DMARC kaydı: Bu kural kitabını DNS TXT kaydında saklar ve alıcının e-postayı nasıl işleyeceğine karar vermesine yardımcı olur.
- Örnek:
v=DMARC1; p=none; rua=mailto:postmaster@example.com
SPF, DKIM, DMARC’ın gerçek kullanım örnekleri
- Mobil uygulamalar: Fitness uygulamaları veya bankacılık uygulamaları e-posta gönderirken, e-postaların spam klasörü yerine gelen kutusuna ulaşmasını sağlamak için SPF, DKIM ve DMARC kullanır.
- E-posta servis sağlayıcıları: Gmail, Yahoo, Outlook vb. gelen e-postaları doğrulamak için SPF, DKIM ve DMARC kullanır.
- Sosyal medya platformları: LinkedIn, Facebook, Twitter vb. bildirim e-postaları gönderirken SPF, DKIM ve DMARC kullanır.
- Şirketler: Tanıtım e-postaları gönderirken, e-postaların spam olarak işaretlenmemesi ve alan adlarının e-posta spoofing için kullanılmaması için SPF, DKIM ve DMARC kullanır.
- Kamu kurumları: Vatandaşlara bildirim gönderirken phishing saldırılarını önlemek için SPF, DKIM ve DMARC kullanır.
Şimdi ne yapmalısınız?
- E-posta adreslerini ve alan adlarını belirleyin: Uygulamanızda kullanılan e-posta adreslerini ve alan adlarını tespit edin.
- Mevcut durumu kontrol edin: SPF, DKIM ve DMARC kayıtlarının zaten mevcut olup olmadığını ve doğru yapılandırılıp yapılandırılmadığını kontrol edin.
- Alan adına erişim yetkisi: DNS kayıtlarını değiştirme yetkiniz olup olmadığını doğrulayın.
- DMARC izleme: Sorun olmadığını doğrulamak için DMARC raporlarını izleyin ve gerekirse düzeltmeler yapın.
SPF, DKIM, DMARC durumunu kontrol etme
- MXToolbox:
- https://mxtoolbox.com/ adresini ziyaret edin
- 'SPF Record Lookup', 'DKIM Record Lookup', 'DMARC Record Lookup' araçlarını kullanın
- DMARCTester:
SPF, DKIM ve DMARC ile ilgili SSS
- DMARC raporlama için e-posta adresi: Birden fazla kişinin kontrol edebileceği paylaşımlı bir posta kutusu kullanmak iyi bir fikirdir.
- SPF kaydındaki ~all, -all, ?all, +all farkı:
- ~all (SoftFail): Listede olmayan sunuculardan gelen e-postalara izin verir, ancak şüpheli olabilir.
- -all (Fail): Listede olmayan sunuculardan gelen e-postaları reddeder.
- ?all (Neutral): E-postayı özel bir yönerge olmadan işler.
- +all (Pass): Tüm sunuculardan gelen e-postalara izin verir.
- SPF olmadan DMARC ayarlamak mümkün mü?: Mümkündür, ancak verimsizdir. SPF ve DKIM’i birlikte kullanmanız önerilir.
- E-posta başlıklarında birden fazla SPF hatası ve bazı SPF geçişleri görüldüğünde: Kendi alan adınızla ilgili SPF kontrolüne güvenmelisiniz.
Sonuç
- SPF, DKIM ve DMARC, e-posta güvenliğinin gizli kahramanlarıdır.
- Bu üçü, e-postaların güvenilirliğini korumada önemli rol oynar.
GN⁺ görüşü
- E-posta güvenliğinin önemi: E-posta önemli bir iletişim aracı olduğu için güvenlik son derece kritiktir.
- SPF, DKIM, DMARC gerekliliği: Bu üç teknoloji, e-posta spoofing ve phishing saldırılarını önlemek için vazgeçilmezdir.
- Devreye alırken dikkat edilmesi gerekenler: Yapılandırma ve izleme gerektirir; yanlış yapılandırmalar e-posta teslimatında sorunlara yol açabilir.
- İlgili araçlar: MXToolbox ve DMARCTester gibi araçlarla yapılandırma durumunu kolayca kontrol edebilirsiniz.
- Sektör standardı: E-posta güvenliğini güçlendirmek için SPF, DKIM ve DMARC sektör standardı haline gelmiştir.
3 yorum
SPF, DKIM, DMARC artık fazlasıyla önemli hale gelmiş gibi görünüyor
Google Workspace veya SES gibi hizmetleri kullanmaya başlayınca MX kaydının yanında SPF, DKIM gibi ayarların da teker teker arttığını görüyorum. Ama açıkçası dönüp araştırmayı düşünmemiş, bir yerlerde bir şekilde düzgün çalışıyordur diye geçiştirmiştim; teşekkürler! :D
Hacker News yorumu
BT yöneticisinin deneyimi: Küçük ve orta ölçekli bir şirkette BT'yi yönetirken, hatalı SPF kaydı nedeniyle karantinaya alınan e-postaların sık sık serbest bırakılması için talep alıyor. Beyaz listeye almak yerine SPF kaydını düzeltmelerine yardımcı oluyor. Bunu otomatikleştirmek için Racket diliyle bir betik yazmış.
Kitap önerisi: Michael W. Lucas, "Run Your Own Mail Server" adlı bir kitap hazırlıyor ve SPF/DKIM/DMARC yapılandırmasına dair ayrıntılı içerikler ele alıyor. BSDCan'de onun eğitimini ve konuşmasını dinlemiş, kitabı tavsiye ediyor.
SPF/DKIM/DMARC rehberi ihtiyacı: E-postayı başka alan adları üzerinden gönderen uygulama geliştiricileri için bir SPF/DKIM/DMARC rehberine ihtiyaç var. Birçok ticket sistemi ve pazarlama platformu bu kavramları anlamıyor.
Otomasyonun önemi: SPF/DKIM/DMARC yapılandırmasını otomatikleştiren bir startup işletiyor ve rehberin kalitesini çok beğeniyor. Ancak kullanıcılar sorunla yalnızca bir kez karşılaştığı için uzun vadeli anlayış geliştirmek zor oluyor. Bu yüzden otomasyon önemli.
Hata ayıklama aracı önerisi: DMARC sorunlarını debug etmek için iyi bir araç bağlantısı paylaşıyor.
Test aracı önerisi: Test aracı olarak mail-tester.com ile eu.dmarcian.com'un ücretsiz sürümlerini öneriyor. Ayrıca DKIM'i anlamak için bir blog bağlantısı da paylaşıyor.
Spam sorunu: E-posta yapılandırmasını kusursuz hale getirseniz bile Gmail bazen bunları spam olarak sınıflandırabiliyor. Yüzlerce saat harcamasına rağmen çözemediği için iCloud gibi üçüncü taraf barındırma hizmetlerini kullanmaya başlamış.
E-posta çeşitliliği ihtiyacı: Apple, Google, Microsoft gibi büyük şirketlerin e-posta hizmetlerine bağımlı kalmak yerine, mümkün olduğunda kendi e-posta sunucunuzu kullanmanız gerektiğini savunuyor.
Ücretsiz DMARC izleme hizmeti: Postmark adlı hizmetin ücretsiz bir DMARC izleme hizmeti sunduğunu belirtiyor.
SPF/DKIM/DMARC yapılandırma sonucu: Örnek bir alan adında SPF, DKIM ve DMARC ayarlarının tamamının geçtiği sonucu paylaşıyor.