Kurumsal e-posta imzası, şirket adına gönderilen her mailin altında yer alan; gönderenin adını, unvanını, iletişim bilgisini ve şirketin yasal kimlik bilgilerini tek tip bir düzenle gösteren bloktur. İyi bir imza standardı merkezden tanımlanır, görsel engellense de okunur, ortak kutularda kişiye değil kutuya aittir ve dolandırıcıya işe yarar bilgi vermez.
Kurumsal e-posta imzası neden her çalışanda farklı görünür?
Çoğu şirkette imza, yeni çalışana "eskisinden kopyala" denerek doğar. Biri eski logoyu kullanır, biri taşınmadan önceki adresi yazar, bir diğeri unvanını kendisi uydurur; satış ekibinin yarısı telefondan "iPhone'umdan gönderildi" imzasıyla yanıt verir. Kimse bilerek hata yapmaz, ama kimse de imzanın sahibi değildir.
Sorun yalnızca görüntü değildir. Adres değişikliği, yeni bir telefon santrali ya da unvan güncellemesi olduğunda doğru bilgi kırk farklı imzaya elle taşınmak zorunda kalır ve bir kısmı hiç güncellenmez. info@ ya da muhasebe@ gibi ortak posta kutularında durum daha da karışıktır: aynı kutudan çıkan iki cevap iki farklı kişinin kişisel imzasını taşır ve müşteri kiminle muhatap olduğunu bilemez.
Burada konu edilen imza, mailin altındaki görünür bloktur. Bunu iki başka "imza" ile karıştırmamak gerekir: alıcı sunucunun gönderenin gerçekliğini doğruladığı DKIM imzası (SPF, DKIM ve DMARC rehberi) ve hukuken ıslak imza yerine geçen güvenli elektronik imza. İkincisi ayrı bir altyapıdır; BTK 2026 1. çeyrek pazar verilerine göre Mart 2026 sonunda Türkiye'de 3,02 milyon nitelikli elektronik sertifika aktifti. Mailin altına eklenen bir görsel ya da yazı, bunların hiçbirinin yerini tutmaz.
Dağınık imzanın maliyeti: marka, hukuk ve güvenlik
İmza, şirketin en sık görülen yüzüdür. Günde yüzlerce mail gönderen bir ekip, her gün yüzlerce kez aynı bilgiyi dışarıya taşır; bu bilginin tutarsız olması hem güveni hem de iş akışını zedeler.
Microsoft Work Trend Index 2025 özel raporuna göre ortalama bir çalışan günde 117 e-posta alıyor ve bunların çoğunu 60 saniyeden kısa sürede gözden geçiriyor.
Bu kadar hızlı okunan bir mailde imza, alıcının "kime, hangi numaradan ulaşırım?" sorusuna tek bakışta cevap vermelidir. Uzun yasal metinler, beş sosyal medya ikonu ve yalnızca görselden oluşan bloklar bu işi yapamaz; üstelik birçok e-posta istemcisi uzak görselleri varsayılan olarak yüklemediği için görsel imza çoğu alıcıda boş bir kutu olarak görünür.
Hukuki boyut da var. 6102 sayılı Türk Ticaret Kanunu'nun 39'uncu maddesi, tacirin işletmesiyle ilgili ticari mektuplarında sicil numarası, ticaret unvanı, işletme merkezi ve internet sitesi oluşturma yükümlülüğü varsa tescilli site adresinin gösterilmesini ister. Kurumsal maillerin bu kapsamda nasıl değerlendirileceğini hukuk danışmanınızla netleştirin; temkinli ve yaygın uygulama, bu bilgileri imzada ya da mail altbilgisinde standart olarak göstermektir.
Güvenlik tarafında imza, saldırganın en kolay kopyaladığı şeydir. Verizon 2026 Data Breach Investigations Report verisine göre ihlallerin %62'sinde insan faktörü rol oynadı; ilk erişim yolu olarak bakıldığında oltalama tüm ihlallerin %16'sında yerini korudu, güven ilişkisi kurgulanarak yapılan "pretexting" ise %6'ya ulaştı. Tanıdık görünen bir imza, bu kurgunun en ucuz malzemesidir. Bu yüzden imza, oltalama maillerini tanıma konusundaki farkındalığın da bir parçası olmalıdır.
Kurumsal e-posta imzasında ne olmalı, ne olmamalı?
Aşağıdaki kontrol tablosu, bir imza standardı yazarken her alan için karar vermenizi kolaylaştırır.
| Alan | İmzada olsun mu? | Dikkat edilecek nokta |
|---|---|---|
| Ad soyad, unvan, departman | Evet | Unvan yazımı tek kaynaktan (İK kaydı) gelmeli |
| Doğrudan telefon / santral | Evet | Kişisel cep numarası yerine iş hattı tercih edilmeli |
| Ticaret unvanı, merkez adresi, sicil no | Evet (altbilgide) | Tescilli unvan birebir yazılmalı; adres değişince tek yerden güncellenmeli |
| Web sitesi | Evet | Düz metin bağlantı; kısaltılmış bağlantı kullanılmamalı |
| Logo | İsteğe bağlı | Görsel engellendiğinde de imza okunur kalmalı; logo tek başına bilgi taşımamalı |
| IBAN / banka hesabı | Hayır | Hesap bilgisi imzadan kopyalanıp değiştirilebilir; ödeme bilgisi yazılı ve teyitli kanaldan paylaşılmalı |
| Çalışan fotoğrafı | Genellikle hayır | Kişisel veri; gerekiyorsa amacı ve dayanağı netleştirilmeli |
| Uzun gizlilik notu | Kısa tutulmalı | Tek cümle yeterli; paragraf boyunca yasal metin okunmaz |
| Kampanya bannerı | Dönemsel | Süresi dolunca kaldırılmalı; eski kampanya güven kaybettirir |
IBAN satırı özellikle önemlidir. Saldırganın tedarikçi taklidiyle "hesabımız değişti" dediği senaryoyu IBAN değişikliği maili dolandırıcılığı yazısında anlattık; imzada hesap bilgisi durması, müşterinizi "imzadaki IBAN güncel" varsayımına alıştırır ve sahte bir imzayı daha inandırıcı yapar.
Çalışan fotoğrafı, kişisel cep numarası ve doğum günü gibi alanlar ise kişisel veri işleme sorusudur. Hangi bilginin hangi dayanakla dışarıya taşındığını çalışan kişisel verileri ve KVKK rehberindeki çerçeveyle değerlendirin.
Örnek kurumsal e-posta imzası: kişisel ve ortak kutu
Aşağıdaki iki örnek, önceki tablodaki kararların düz metne dökülmüş hâlidir. Köşeli parantezli alanlar şirketinizin tescilli bilgileriyle doldurulur; görsel yüklenmese bile bilginin tamamı okunur.
| Satır | Kişisel imza | Ortak kutu imzası |
|---|---|---|
| 1 | Ayşe Yılmaz | Muhasebe Ekibi (muhasebe@) |
| 2 | Satın Alma Uzmanı · Satın Alma Departmanı | Cevaplayan: Ayşe |
| 3 | T: [santral / iş hattı] · [web sitesi] | T: [muhasebe hattı] · [web sitesi] |
| 4 (altbilgi) | [Tescilli ticaret unvanı] · [İşletme merkezi adresi] | [Tescilli ticaret unvanı] · [İşletme merkezi adresi] |
| 5 (altbilgi) | Ticaret sicil no: [numara] · [tescilli internet sitesi] | Ticaret sicil no: [numara] · [tescilli internet sitesi] |
İki örnekte de IBAN, kişisel cep numarası ve fotoğraf yoktur; ortak kutu imzasında kutunun kimliği öndedir, cevabı yazan kişi yalnızca tek satırla görünür. Yanıt zincirleri için yasal altbilgiyi çıkarıp yalnızca ilk üç satırı kullanan kısa bir sürüm de tanımlanabilir.
Kurumsal e-posta imzası standardını 6 adımda kurun
- Tek bir şablon ve sahibi belirleyin. Pazarlama görünümü, hukuk ya da muhasebe yasal alt bilgiyi, BT ise teknik uygulamayı sahiplenir. Şablon bir belgede yazılı durur ve sürüm tarihi taşır.
- Bilgiyi tek kaynaktan besleyin. Ad, unvan, departman ve iş telefonu, İK kaydında ya da kullanıcı yönetim panelinde nasıl yazıyorsa imzada da öyle görünmelidir. Unvanı çalışanın kendisinin yazması tutarsızlığın ana kaynağıdır.
- Önce metin, sonra görsel. İmzanın tamamı düz metin olarak okunabilir olmalı; logo eklenirse ya mesaja gömülü küçük bir dosya olmalı ya da yüklenmediğinde bilgi kaybına yol açmamalıdır.
- Ortak kutulara kutu imzası tanımlayın.
destek@,muhasebe@,ihracat@gibi adreslerden çıkan cevap, kişinin değil kutunun imzasını taşımalı; gerekirse cevabı yazanın adı tek satırla eklenir. - Mobil ve yanıt zincirini test edin. İmzayı telefondan, farklı istemcilerden ve uzun bir yanıt zincirinin içinde kontrol edin. Her yanıtta tekrarlanan dev bir blok, zinciri okunmaz hale getirir; yanıtlar için kısa imza tanımlamak iyi bir uygulamadır.
- Değişiklikleri ve ayrılışları sürece bağlayın. Adres, telefon ya da unvan değişince imza tek yerden güncellenmeli; işten ayrılan kişinin imzası taşıdığı kutuyla birlikte kapanmalı. Ayrılış günü kapatılması gerekenleri işten ayrılan çalışanın e-posta erişimi kontrol listesinde topladık.
Birden çok şirketi olan gruplarda her tüzel kişinin kendi unvanı, sicil bilgisi ve alan adı vardır; yanlış şirketin altbilgisiyle çıkan bir mail hem kafa karıştırır hem de hukuki olarak yanlış kimlik gösterir. Grup şirketlerinde kutu ve imza düzenini çok şirketli e-posta yönetimi yazısıyla birlikte ele alın.
İmzanın güvenlik tarafı: sahte imzaya karşı ne yapılır?
İmza, gönderenin gerçekliğini kanıtlamaz; herkes herkesin imzasını kopyalayabilir. Gerçekliği kanıtlayan, alan adınızın SPF, DKIM ve DMARC kayıtları ve alıcı tarafta yapılan gönderen analizidir. Bu nedenle çalışanlarınıza "imza tanıdıksa mail güvenlidir" düşüncesini bırakmayı öğretin.
Pratikte üç kural işe yarar: imzada ödeme ve hesap bilgisi yer almaz; kişisel cep numaraları yerine santral ya da iş hattı yazılır; imzadaki telefon, ödeme gibi kritik taleplerin teyidinde kullanılmaz, teyit önceden kayıtlı numaradan yapılır. Gönderen adresine bir harf farkla benzeyen alan adlarının nasıl kullanıldığını benzer alan adı saldırıları rehberinde, çalışan farkındalığının nasıl kurulacağını siber güvenlik farkındalık eğitimi yazısında bulabilirsiniz.
Digital Bridge'de bu işi nasıl yapıyoruz?
İmza standardını bir tasarım işi olarak değil, kimlik ve süreç işi olarak ele alıyoruz:
- Keşif ve envanter. Kullanılan tüm adresleri, ortak kutuları ve mevcut imza varyasyonlarını çıkarıyoruz; tescilli unvan, merkez adresi ve sicil bilgisinin nerede eksik ya da eski olduğunu listeliyoruz.
- Standart ve sahiplik. Pazarlama, hukuk ve BT ile birlikte tek şablonu, ortak kutu imzalarını ve güncelleme sorumluluğunu yazıya döküyoruz. İmzada hangi kişisel verinin yer alacağını KVKK uyum danışmanlığı kapsamında değerlendiriyoruz.
- Tek kaynaktan veri. Unvan ve departman bilgisinin İK kaydıyla aynı kalması için gerekirse İK ve personel yönetimi yazılımınızı kullanıcı yönetimiyle sistem entegrasyonu üzerinden bağlıyoruz. Yeni bir sistem seçiyorsanız bu ihtiyacı İK yazılımı seçim kriterlerine ekleyin.
- Güvenlik gözden geçirmesi. İmzadaki riskli alanları temizlerken alan adınızın kimlik doğrulama kayıtlarını ve gönderen taklidine karşı önlemleri siber güvenlik danışmanlığı kapsamında kontrol ediyoruz.
- Pilot ve yaygınlaştırma. Standardı önce bir departman ve bir ortak kutuda deniyor, farklı istemcilerde görünümü test ediyor, ardından tüm kuruma açıyoruz.
Smart360 ve SmartMail ile imza ve kimlik düzeni
Kendi geliştirdiğimiz Smart360 ailesinde kullanıcılar, departmanlar, ürün erişimleri ve alan adları/DNS tek yönetim panelinden yönetilir; çalışanlar tek kimlikle (SmartID) giriş yapar. Departman değişince erişim tüm ürünlerde değişir, ayrılan çalışanın erişimi tek işlemle kapanır. Böylece kutunun imzasını kimin adına kullanabileceği, yani kutuya kimin erişebildiği, tek yönetim düzeninden kontrol edilir.
SmartMail kurumsal e-posta hizmetinde imza kutu başına tanımlanır. Somut bir senaryo: ihracat ekibinin export@ kutusuna dört kişi dokuz ayrı izinden yalnızca kendilerine verilenlerle erişir; müşteriye giden her cevap kutunun ortak imzasını taşır, kim yazmış olursa olsun alıcı aynı unvanı, adresi ve iletişim bilgisini görür. Departmandan ayrılan kişinin kutu erişimi otomatik kalkar, her mesajdaki işlem dökümü kimin cevap verdiğini gösterir. Gelen maillerde uzak görseller izin verilene kadar yüklenmez; bu da imzanızı neden görsele değil düz metne dayandırmanız gerektiğinin bir başka hatırlatıcısıdır.
Kurum adına çıkacak önemli mesajlar gönderilmeden önce onaya sunulabilir; onay, gerekçeli revizyon ya da ret her adımda tarih-saatle kayda geçer. Gelen tarafta ise SmartMail her maili 12 sinyalle değerlendirir; görünen ad ve marka taklidi, benzer alan adı ve Reply-To uyuşmazlığı bunların arasındadır. Yani imzası birebir kopyalanmış bir mail, imzasına değil göndereninin gerçekliğine göre değerlendirilir ve gerekçesi yazılı raporla gösterilir.
Sonraki adım
İlk adım için bugün beş farklı çalışanınızın ve iki ortak kutunuzun son gönderdiği maillerin imzalarını yan yana koyun; unvan, adres, sicil bilgisi ve logo tutarlı mı, bakın. Ardından iletişim sayfamızdan bize ulaşın; imza standardınızı, ortak kutu düzeninizi ve alan adı kayıtlarınızı birlikte gözden geçirelim. Alternatifleri değerlendiriyorsanız kurumsal e-posta seçim kriterlerimize, diğer konular için Kurumsal E-posta ve Belge rehberimize göz atabilirsiniz.