Spamcılar SPF, DKIM ve DMARC’ı daha iyi kullanıyor

• DMARC, SPF ve DKIM gibi e-posta kimlik doğrulama yöntemleri spam’i azaltmak için kullanılsa da, pratikte bunları spam gönderenler daha iyi kullanıyor.
• Bu kimlik doğrulama yöntemleri çoğu gönderici için kayda değer bir fayda sağlamıyor ve doğrulama hatasına dayalı e-posta reddi hatta zararlı olabilir.
• Spam gönderenler ucuz alan adları satın alıp doğrulamayı geçmeyi iyi biliyor.

E-posta iletimi ve Gmail sorunları

• Gmail, DMARC gibi kimlik doğrulamaları zorunlu tutuyor ve bu durum e-posta iletimi sırasında sorun çıkarabiliyor.
• E-posta iletimi sırasında SPF bozulabilir; DKIM ise gövde veya başlıklar değiştirilmediği sürece korunur.
• Gmail’in POP3 ile toplama özelliğini manuel olarak tetiklemek zordur ve otomatik aralıkları oldukça uzundur.

E-posta kimlik doğrulamasının sınırları

• E-posta kimlik doğrulaması belirli bir alan adının taklit edilmesini engeller, ancak benzer alan adları veya yazım hatalarıyla yapılan spam’i durdurmaz.
• Kimlik doğrulama, gönderenin kimliğini doğrulamak için yararlıdır; ancak yetkilendirmeden ayrı bir konudur.
• Spam gönderenler de kimlik doğrulama politikaları tanımlayabilir ve bu, spam’i kontrol etmede kısmen rol oynayabilir.

Spam önleme ve e-posta güvenliği

• Spam’i önlemek için çeşitli yöntemler kullanılıyor, ancak kusursuz bir çözüm yok.
• Spamhaus gibi hizmetler spam’i engellemede yararlı olsa da yanlış pozitifler oluşabilir.
• E-posta güvenliği sürekli yönetim ve güncelleme gerektirir.

[xguru]

SPF, DKIM, DMARC'ı Anlamak: Basit Bir Kılavuz
E-postada SPF/DKIM/DMARC'ın nasıl çalıştığını etkileşimli olarak görün

[GN⁺]

Hacker News yorumu

• Kendi e-posta sunucusunu işleten biri olarak, Rus IP adreslerinin benim alan adımla e-posta göndermeye çalışma girişimlerini sürekli fark ediyorum

  • E-posta göndermek işi olan kişiler, e-posta yapılandırmasını doğru yapmayı biliyor
  • Birçok sistem yöneticisinin temel ayarları düzgün yapamamasına şaşırıyorum
  • SPF imzasının hatalı olması nedeniyle Sendgrid e-postalarının reddedildiğini bildiren bir DMARC e-postası alırsam, pazarlamanın bunu meşru biçimde kullanıp kullanmadığını sormam gerekir
  • Otomatik imzalamanın değeri sınırlı, ancak SPF ve DKIM temelli reddin hatalı olduğu durumlar nadirdir
  • Büyük organizasyonlarda durum daha kötü olabilir, ancak küçük e-posta sunucularında teknik ret genellikle doğru karardır
  • Posta listeleri istisnadır, ama bunları kullananlar istisna eklemeyi öğrenebilir

• SPF, DKIM, DMARC doğru ayarlanmış ve spam puanı 0 olan bir alan adına sahip olsam da e-postaların spam klasörüne düşmesi sorununu yaşıyorum

  • E-postanın Gmail tarafından kabul edilmesi için bir "itibar" gerekiyor
  • E-posta doğrudan spam'e gidiyorsa bu itibarın nasıl oluşacağını anlamakta zorlanıyorum
  • Linkedin e-postaları spam sayılmıyor ve onların karanlık desenleri beni e-posta listesine eklese bile engellenmiyor

• SPF/DKIM, posta sunucusunun itibarıyla ilgili

  • En çok Google, Microsoft, Yahoo gibi büyük sunucuların işine yarıyor
  • Büyük sağlayıcıların spam karşıtı çabaları küçük sağlayıcılara zarar veriyor
  • E-posta sunucusu itibarını takip etmeye gerek yok, gönderen itibarını takip etmek gerekir
  • Anonim e-postalar ile gerçekten tanıdığınız kişilerin e-postalarını farklı şekilde ele alabilmelisiniz
  • Şu anda bilinen bir e-posta gönderenin, bilinmeyen bir göndereni güvenli şekilde tanıtmasının bir yolu yok

• SPF ve DKIM spam'i tamamen durdurmasa da, DMARC muhtemelen faydasız

  • Spam gönderenler de bu standartları okuyabildiği için SPF/DKIM spam'i tamamen engelleyemez
  • SPF/DKIM kullanılmadan önce, "[e-mail]" gibi adreslerden çok sayıda phishing e-postası alıyordum
  • Paypal, SPF ile izin verilen IP adreslerini açıkça belirtip DKIM ile postayı doğrulayabiliyor
  • Spamassassin, doğru DKIM'e sahip ve paypal.com'dan gelen postaların spam puanını ciddi ölçüde düşürüyor

• SPF/DKIM/DMARC'nin amacı, spoofing'i önlemek için e-postayı alan adına bağlamaktır

  • Yalnızca doğrulamayla spam'in azalmasını beklemek saflık olur

• Google, SPF ve DKIM konusunda beceriksiz

  • Birkaç ay önce Chromium hata takip sistemi mesajına e-postayla yanıt vermeye çalıştım ama başarısız oldum
  • SPF/DKIM kontrolü başarısız oldu denilerek e-posta işlenmedi
  • Benim SPF ve DKIM'imde sorun yoktu
  • Google Workspace kurulurken kullanmanız söylenen araç uzun zamandır düzgün çalışmıyor
  • Geri bildirim bağlantısı da düzgün çalışmıyor

• Kişisel bir e-posta sunucusu işletiyorum ve spam'in çoğu SPF/DKIM'i geçemiyor

  • Son birkaç yılda bu kontrolleri geçen spam oranı artıyor
  • Beklediğim e-postaların %90-95'i SPF/DKIM'i geçiyor
  • Katı gönderen kuralları uyguluyorum
  • Sitede e-posta adresimi yayımladım ama neredeyse hiç spam almıyorum

• Basit, sezgisel kurallara dayalı bir spam filtresi çalıştırıyorum

  • Gönderdiğim postaları kontrol ediyorum ve gönderdiğim adresi ya da konuyu içeren postaları spam olarak işaretlemiyorum
  • Yeni adreslerden gelen spam okunmamış olarak işaretleniyor
  • Abonelik onayı gibi durumlar spam klasörünün en üstünde yer alıyor

• E-postayı Proton'a taşıdım ve DNS kaydı ekleme ile doğrulama süreci çok kolaydı

  • Başta bu adımdan çekiniyordum ama kolayca hallettim

• SPF, DKIM ve DMARC'nin değerinin, itibarın IP tabanlı yapıdan alan adı tabanlı yapıya taşınması olduğunu düşünüyordum

  • Alan adı itibarını iyi koruyup SPF, DKIM ve DMARC'yi doğru ayarlarsam herhangi bir IP üzerinde SMTP sunucusu barındırabileceğimi umuyordum
  • Bunun neden böyle çalışmadığını merak ediyorum