SPF, DKIM ve DMARC Nedir? E-postalarınız Neden Spam’e Düşüyor

Gönderdiğiniz teklif e-postası müşterinin spam klasöründe duruyorsa, sorun çoğunlukla yazdığınız metinde değil, alan adınızın DNS kayıtlarındadır. Bu üç kayıt — SPF, DKIM ve DMARC — alıcı sunuculara “bu posta gerçekten bizden çıktı” demenin yoludur.

Sorun nereden çıkıyor?

E-posta protokolü çok eskidir ve tasarımında gönderen doğrulaması yoktur. Yani herhangi biri, kendi sunucusundan sizin alan adınız görünecek şekilde posta gönderebilir. Bu boşluk yıllarca dolandırıcılık için kullanıldığı için alıcı sunucular sıkı davranmaya başladı: kimliğini kanıtlayamayan postaları ya spam’e atıyor ya da hiç kabul etmiyor.

SPF — kimler benim adıma posta gönderebilir?

SPF (Sender Policy Framework), alan adınız adına posta göndermeye yetkili sunucuların listesidir. DNS’te bir TXT kaydı olarak durur ve şuna benzer:

v=spf1 include:mailsaglayicim.com ~all

Alıcı sunucu postayı aldığında “bu IP bu listede var mı?” diye bakar. Yoksa şüphelenir.

En sık yapılan hata: Birden fazla SPF kaydı tanımlamak. Alan adınızda tek bir SPF kaydı olmalıdır. Birden fazla hizmet kullanıyorsanız (örneğin hem kurumsal e-posta hem de bülten servisi) hepsini aynı kaydın içinde include: ile birleştirmelisiniz.

DKIM — bu posta yolda değiştirilmiş mi?

DKIM (DomainKeys Identified Mail), giden her postaya görünmez bir dijital imza ekler. Alıcı sunucu, DNS’teki açık anahtarınızla bu imzayı doğrular. İmza tutuyorsa posta hem gerçekten sizden çıkmıştır hem de yolda değiştirilmemiştir.

DKIM genellikle bir CNAME ya da TXT kaydı olarak tanımlanır. Hizmet sağlayıcınız size eklemeniz gereken kaydı verir.

DMARC — kural tanımayan postaya ne yapılsın?

DMARC, SPF ve DKIM doğrulamasından geçemeyen postalara ne yapılacağını söyler. Üç politika vardır:

• p=none — Bir şey yapma, sadece rapor gönder. Başlangıç için uygundur.
• p=quarantine — Spam klasörüne at. Dengeli seçim.
• p=reject — Hiç kabul etme. En sıkı koruma.

Örnek bir kayıt: v=DMARC1; p=quarantine; rua=mailto:postmaster@alanadiniz.com

Öneri: DMARC’ı doğrudan reject ile başlatmayın. Önce none ile birkaç hafta rapor toplayın, adınıza posta gönderen tüm meşru sistemleri (muhasebe yazılımı, e-ticaret paneli, bülten servisi) tespit edip SPF’e ekleyin, sonra sıkılaştırın. Aksi hâlde kendi faturalarınız müşteriye ulaşmaz.

Kayıtlar doğru mu, nasıl anlarım?

Üç yol var:

• Kendinize başka bir sağlayıcıdaki adresten posta atın ve başlıklarına bakın; “spf=pass”, “dkim=pass” ifadelerini görmelisiniz.
• DNS sorgulama araçlarıyla kayıtların yayılıp yayılmadığını kontrol edin.
• Hizmet sağlayıcınızın panelinde DNS doğrulama bölümü varsa oradan bakın; eksik kayıtları listeler.

Kayıtlar tamam ama hâlâ spam’e düşüyorsa

Teknik kayıtlar tek başına yetmez. Şunlar da etkiler:

• İçerik. Tamamı büyük harf başlıklar, çok sayıda ünlem, “BEDAVA” gibi kelimeler ve tek bir dev görselden ibaret postalar şüphe çeker.
• Gönderim itibarı. Yeni bir alan adından birden binlerce posta göndermek alarm verir. Hacmi kademeli artırın.
• Liste kalitesi. Geri dönen (bounce) adresleri listenizden çıkarın.
• Abonelikten çıkma. Toplu postalarda çıkış bağlantısı bulunmalı.

Özetle

SPF kimin gönderebileceğini, DKIM postanın bozulmadığını, DMARC ise kurala uymayanlara ne yapılacağını söyler. Üçünü birlikte ve doğru kurmak, teslimat sorunlarının büyük kısmını çözer. Kurumsal e-posta hizmetimizde bu kayıtların hangilerinin tanımlı olduğunu hizmet detay sayfanızdan görebilir, eksikleri tek bakışta fark edebilirsiniz. Yeni kurulum yapacaksanız kurumsal e-posta planlarımıza göz atabilirsiniz.