SPF, DKIM ve DMARC Nedir, Nasıl Kurulur? Alan Adınızı Sahte Maillere Karşı Koruma Rehberi

SPF, DKIM ve DMARC, alıcı sunucunun bir mailin gerçekten sizin alan adınızdan gelip gelmediğini doğrulamasını sağlayan üç DNS kaydıdır. SPF yetkili gönderici sunucuları listeler, DKIM her maili kriptografik olarak imzalar, DMARC ise iki sonucu görünen gönderen adresiyle eşleştirip doğrulamayı geçemeyen maile ne yapılacağını söyler. Üçü birlikte sahteciliği zorlaştırır ve spama düşmeyi azaltır.

Kısaca

• SPF hangi sunucuların sizin adınıza mail gönderebileceğini, DKIM mailin yolda değişmediğini, DMARC ise doğrulanamayan maile ne olacağını belirler.
• Google 1 Şubat 2024'ten, Microsoft 5 Mayıs 2025'ten beri günde 5.000'den fazla mail gönderen alan adlarından SPF, DKIM ve DMARC istiyor.
• EasyDMARC'ın 2026 raporuna göre alan adlarının %52,1'inde DMARC kaydı var, ama yalnızca yaklaşık %23'ü karantina ya da reddetme uyguluyor.
• Güvenli yol, DMARC'ı p=none ile başlatıp raporlarla meşru göndericileri düzelttikten sonra kademeli olarak p=reject seviyesine geçmektir.
• DMARC yalnızca sizin alan adınızı korur; benzer alan adından gelen sahte mail için gelen tarafta ayrı denetim gerekir.

SPF, DKIM ve DMARC neden artık zorunlu?

E-posta protokolü 1980'lerde, göndericinin kim olduğunu kanıtlamasını gerektirmeyen bir güven ortamı için tasarlandı. Bu yüzden e-postanın "Kimden" satırına herkes istediği adresi yazabilir. SPF, DKIM ve DMARC bu açığı kapatmak için sonradan eklenen doğrulama katmanlarıdır. Sahte göndericinin kullanıcı tarafında nasıl fark edileceğini oltalama maili nasıl anlaşılır rehberimizde anlattık.

Uzun süre "iyi olur" diye görülen bu kayıtlar 2026 itibarıyla teslim edilebilirliğin ön şartı. Google'ın gönderici kurallarına göre 1 Şubat 2024'ten itibaren Gmail hesaplarına günde 5.000'den fazla ileti gönderenlerin SPF, DKIM ve DMARC kurması zorunlu; spam oranının da %0,30'un altında kalması gerekiyor. Microsoft da 5 Mayıs 2025'ten itibaren Outlook.com, Hotmail ve Live adreslerine günde 5.000'den fazla e-posta gönderen alan adlarından SPF, DKIM ve en az p=none politikalı DMARC şartı arıyor.

Günde birkaç yüz mail gönderen bir KOBİ bu eşiklerin altında kalabilir. Ama büyük e-posta sağlayıcıları kimlik doğrulaması eksik mailleri daha şüpheli değerlendirir; teklifiniz müşterinin spam klasöründe kalabilir. Maillerinizin spama düştüğünü şimdiden görüyorsanız spama düşen mailleri adım adım teşhis etmek için ayrı bir rehberimiz var.

SPF, DKIM ve DMARC kurulmazsa ne olur?

Kimlik doğrulaması olmayan bir alan adı, dolandırıcılar için hazır bir kimliktir. Saldırgan sizin adınıza müşterilerinize "yeni hesap numaramız" maili gönderebilir; zarar gören sizin itibarınız olur. Bu senaryonun navlun ödemelerindeki karşılığını lojistik e-posta dolandırıcılığı yazısında anlattık; ihaleye giren firmalarda sizin adınıza sahte teklif ya da yazışma gönderilmesi de aynı açığa dayanır (ihale teklif e-posta güvenliği).

FBI İnternet Suçları Şikâyet Merkezi'ne (IC3) 2025'te en çok şikâyet edilen suç türü 191.561 şikâyetle oltalama/sahte gönderici (phishing/spoofing) oldu. (FBI IC3 2025 Internet Crime Report)

DNS kayıtlarının varlığı da tek başına yetmiyor. EasyDMARC'ın 1,8 milyon alan adını tarayan 2026 DMARC Adoption Report'una göre alan adlarının %52,1'inde DMARC kaydı var, ancak yalnızca yaklaşık %23'ü karantina ya da reddetme politikası uyguluyor. Aynı rapora göre alan adlarının yalnızca yaklaşık %9'u uygulama politikasını raporlamayla birlikte kullanıyor. Yani pek çok şirket DMARC'ı kurmuş ama "izle" modunda bırakmış; alan adlarını taklit eden sahte mailler hâlâ teslim ediliyor.

SPF, DKIM ve DMARC farkı nedir? Kısa karşılaştırma

SPF (Sender Policy Framework) nedir?

SPF kaydı, alan adınız adına mail gönderebilecek sunucuları ve hizmetleri listeler: kendi mail sunucunuz, bülten aracınız, CRM'iniz, fatura gönderen muhasebe yazılımınız. Alıcı sunucu, maili getiren sunucunun bu listede olup olmadığına bakar. SPF'te dikkat edilecek iki nokta var: SPF, görünen "Kimden" adresini değil zarf göndericisini (Return-Path) kontrol eder ve kayıt en fazla 10 DNS sorgusu içerebilir (RFC 7208). Her yeni hizmeti include: ile ekledikçe bu sınıra yaklaşırsınız.

DKIM (DomainKeys Identified Mail) nedir?

DKIM'de gönderen sunucu her maili özel bir anahtarla imzalar; alıcı sunucu, DNS'te yayımlanan açık anahtarla imzayı doğrular. DKIM imzası geçerliyse mail yolda değiştirilmemiştir ve imzayı atan alan adı bellidir. DKIM, yönlendirilen maillerde SPF'e göre daha dayanıklıdır; bu yüzden mail gönderen her hizmetin kendi alan adınızla DKIM imzası atması önemlidir.

DMARC (Domain-based Message Authentication, Reporting and Conformance) nedir?

DMARC iki iş yapar. Birincisi uyum (alignment) kontrolüdür: SPF ya da DKIM'in geçmesi yetmez, doğrulanan alan adının görünen "Kimden" adresindeki alan adıyla uyumlu olması gerekir. İkincisi politikadır: p=none (yalnızca izle), p=quarantine (spama at) ya da p=reject (reddet). Ayrıca rua adresine gönderilen toplu DMARC raporları sayesinde alan adınız adına kimin mail gönderdiğini görürsünüz.

SPF, DKIM ve DMARC nasıl kurulur? 8 adımlık yol haritası

1. Gönderici envanteri çıkarın. Alan adınızla mail gönderen her şeyi listeleyin: mail sunucusu, web sitesi formları, bülten aracı, ERP, fatura sistemi, destek yazılımı. En sık unutulan, müşteriye bildirim maili atan e-fatura entegratörüdür; bu akışı e-fatura entegrasyonu yazısında anlattık.
2. SPF'i tek kayıtta toplayın. Birden fazla SPF kaydı geçersizdir. Tüm yetkili göndericileri tek kayıtta birleştirin, 10 sorgu sınırını kontrol edin, envanter tamamlanınca -all ile bitirin.
3. Her göndericide DKIM'i açın. Her hizmet için ayrı seçici (selector) kullanın; anahtar uzunluğunu ve anahtar değişim takvimini belirleyin.
4. DMARC'ı p=none ile başlatın. Raporları (rua) bir adrese ya da rapor analiz aracına yönlendirin. İlk haftalarda unutulmuş göndericiler ortaya çıkar.
5. Raporları okuyup düzeltin. Meşru olup doğrulamayı geçemeyen kaynakları SPF/DKIM'e ekleyin. XML raporlarını satır satır yorumlamak için DMARC raporu nasıl okunur rehberine bakın.
6. Politikayı kademeli sıkılaştırın. Meşru trafiğin tamamı doğrulandığında önce p=quarantine, ardından p=reject seviyesine geçin. Alt alan adları için sp= etiketini unutmayın.
7. Kullanılmayan alan adlarını da kilitleyin. Mail göndermeyen alan adlarınızda v=spf1 -all ve p=reject kaydı, bu adların sahtecilikte kullanılmasını engeller.
8. İzlemeyi süreklileştirin. Yeni bir SaaS aracı devreye alındığında SPF/DKIM güncellemesi değişiklik sürecinin parçası olsun. Bu kontrolü, KOBİ siber güvenlik kontrol listesi kapsamındaki düzenli gözden geçirmenin bir parçası yapın.

DMARC neyi engelleyemez?

DMARC'ta p=reject politikası sizin alan adınızı korur; ama saldırgan firmaniz.com.tr yerine firrnaniz.com.tr gibi benzer bir alan adı kaydedip onun SPF, DKIM ve DMARC kayıtlarını eksiksiz kurarsa, o mail tüm kontrollerden geçer. Bu nedenle gelen tarafta benzer alan adı ve görünen ad taklidi ayrıca denetlenmelidir. Bu senaryonun ödeme dolandırıcılığındaki karşılığını IBAN değişikliği maili dolandırıcılığı rehberimizde, ayrıntısını da benzer alan adı saldırıları yazımızda anlatıyoruz.

Alan adınızla e-postayı sıfırdan kuruyorsanız SPF, DKIM ve DMARC kayıtlarının hangi sırayla ekleneceğini alan adlı e-posta kurulumu rehberinde gösterdik. Sunucular arası bağlantıyı MTA-STS ile şifreli olmaya zorlamak için e-posta şifreleme yazısına bakın.

Digital Bridge SPF, DKIM ve DMARC geçişini nasıl yürütür?

SPF, DKIM ve DMARC kayıtlarını yayımlamak birkaç satırlık iş gibi görünür; zor olan, hiçbir meşru maili kırmadan p=reject seviyesine ulaşmaktır. Digital Bridge, siber güvenlik danışmanlığı kapsamında bu süreci şöyle yürütür:

• Mevcut durum denetimi: Alan adlarınızın SPF, DKIM, DMARC ve PTR kayıtlarını inceliyor, eksikleri ve 10 sorgu sınırı gibi teknik riskleri raporluyoruz.
• Gönderici envanteri: ERP, CRM, e-fatura ve bülten gibi mail gönderen sistemleri ekiplerinizle birlikte çıkarıyoruz. Entegre sistemlerde değişiklik gerekirse sistem entegrasyonları ekibimiz devreye girer.
• Kademeli geçiş: DMARC raporlarını okuyarak politikayı none'dan reject'e taşıyan bir takvim hazırlıyor ve uyguluyoruz.
• Altyapı kararları: Mail altyapınızı taşımayı düşünüyorsanız bulut geçiş ve altyapı danışmanlığı ile DNS geçişini kesintisiz planlıyoruz.

Hazır paket satmıyoruz; ihtiyaç analizinin ardından kapsamı, aşamaları ve bedeli yazılı teklifle netleştiriyoruz.

SmartMail'de SPF, DKIM ve DMARC nasıl yönetilir?

Digital Bridge'in Smart360 ailesindeki SmartMail kurumsal e-posta hizmeti, SPF, DKIM ve DMARC konusunun iki tarafını da ele alır:

• Giden taraf, kendi alan adınız: Smart360 ekibi MX, SPF, DKIM, DMARC, MTA-STS ve TLS-RPT kayıtlarını hazırlar, doğrular ve alan adını etkinleştirir; siz durumu panelden izlersiniz. DMARC raporları SmartMail'in toplayıcı adresine gelir, okunabilir biçime çevrilir ve ay ay arşivlenir.
• Gelen taraf, muhataplarınız: SmartMail, gelen her mailin SPF, DKIM, DMARC ve PTR sonucunu yolda başka bir sunucunun yazdığı sonuca güvenmeden kendisi yeniden hesaplar. Bunun yanında benzer alan adı ve uluslararası karakterle taklit, görünen ad ve marka taklidi, Reply-To ve bağlantı uyuşmazlıkları ile ödeme bilgisi değişikliği işaretleri de değerlendirilir. Böylece DMARC'tan geçen ama benzer alan adından gelen bir mail de işaretlenir.
• Gerekçeli karantina: Her mailde bulgular okunabilir bir gerekçeyle gösterilir. Karantina eşiğini şirket yöneticisi belirler; yeni eşiğin etkileyeceği mailler kaydetmeden önce listelenir.
• Yapay zekadan bağımsız kontroller: SPF, DKIM, DMARC ve benzer alan adı kontrolleri kod tabanlıdır; aylık yapay zeka hakkı dolsa bile koruma sürer.

SmartMail'i satın almak için SmartMail.com.tr satın alma sayfasını kullanabilirsiniz.

Sonraki adım: alan adınızın DMARC kaydını kontrol edin

Bugün alan adınızın _dmarc kaydına bakın. DMARC kaydı yoksa ya da p=none'da aylardır bekliyorsa, bu rehberdeki 8 adımlık yol haritasının ilk adımından, gönderici envanterinden başlayın. Kurumsal e-posta hizmetinizi yeniden değerlendiriyorsanız kurumsal e-posta nasıl seçilir rehberimiz karar kriterlerini sıralıyor. Alan adınızın durumunu birlikte incelemek ve p=reject seviyesine giden takvimi çıkarmak için bizimle iletişime geçin. E-posta güvenliğinin diğer başlıkları Kurumsal E-posta ve Belge rehberimizde bir arada.