Kurumsal E-postalarınız Neden Spam Klasörüne Düşüyor? SPF, DKIM ve DMARC Rehberi

Müşterinize gönderdiğiniz teklif, fatura ya da bilgilendirme e-postası karşı tarafın gelen kutusu yerine spam klasörüne düşüyorsa sorun çoğu zaman yazdığınız metinde değil, alan adınızın kimlik bilgilerindedir. Gmail, Outlook ve Yandex gibi büyük posta sağlayıcıları, bir iletinin gerçekten sizin alan adınızdan gelip gelmediğini üç kayıtla doğrular: SPF, DKIM ve DMARC. Bu rehberde üç kaydın ne işe yaradığını, nasıl kurulduğunu ve kurulum sonrası nasıl kontrol edileceğini sade bir dille anlatıyoruz.

E-postalar neden spam klasörüne düşer?

Alıcı sunucu her iletiyi bir puanlamadan geçirir. Bu puanı en çok etkileyen başlıklar şunlardır:

• Kimlik doğrulama eksikliği: SPF, DKIM veya DMARC kaydı yoksa ya da hatalıysa ileti "kimliği belirsiz" sayılır.
• Gönderen IP adresinin itibarı: Paylaşımlı bir sunucuda başka bir hesabın toplu spam göndermesi, aynı IP'den çıkan sizin iletilerinizi de etkileyebilir.
• İçerik ve biçim: Yalnızca görselden oluşan iletiler, kısaltılmış bağlantılar, aşırı büyük harf ve ünlem kullanımı puanı düşürür.
• Alıcı davranışı: Açılmayan, silinen veya "spam" olarak işaretlenen iletiler zamanla alan adınızın itibarını zayıflatır.

Bu başlıkların ilki tamamen sizin kontrolünüzdedir ve çoğu zaman en hızlı sonucu veren adımdır.

SPF: Bu alan adı adına kim e-posta gönderebilir?

SPF (Sender Policy Framework), alan adınızın DNS'ine eklenen bir TXT kaydıdır ve "bu alan adı adına yalnızca şu sunucular e-posta gönderebilir" der. Alıcı sunucu, gelen iletinin çıktığı IP adresini bu listeyle karşılaştırır.

Örnek bir SPF kaydı şöyle görünür:

v=spf1 include:_spf.saglayici.com ip4:203.0.113.10 -all

• include: kullandığınız e-posta hizmetinin gönderim sunucularını ekler.
• ip4: web sitenizin form bildirimlerini gönderen sunucu gibi ek IP adreslerini tanımlar.
• -all listede olmayan her kaynağın reddedilmesini ister; geçiş döneminde ~all (yumuşak ret) kullanmak daha güvenlidir.

Sık yapılan hata: Bir alan adında yalnızca bir SPF kaydı olabilir. Farklı hizmetler için ikinci bir v=spf1 kaydı eklemek yerine mevcut kaydın içine include: eklenmelidir. Ayrıca SPF, en fazla 10 DNS sorgusuna izin verir; çok sayıda include kullanmak kaydı geçersiz kılabilir.

DKIM: İleti yolda değiştirildi mi?

DKIM (DomainKeys Identified Mail), giden her iletiye görünmeyen bir dijital imza ekler. İmzanın açık anahtarı DNS'te yayınlanır; alıcı sunucu bu anahtarla imzayı kontrol ederek iletinin sizin sunucunuzdan çıktığını ve yolda değiştirilmediğini doğrular.

DKIM kaydı, e-posta hizmetiniz tarafından üretilir ve genellikle seçici._domainkey.alanadiniz.com biçimindeki bir TXT kaydıdır. Anahtar uzunluğu olarak 2048 bit tercih edilmelidir. Hizmet sağlayıcı değiştirdiğinizde DKIM anahtarı da değişir; eski kaydı silmeyi unutmayın.

DMARC: Doğrulama başarısız olursa ne yapılsın?

DMARC, SPF ve DKIM'i birbirine bağlayan politikadır. Alıcı sunucuya "SPF veya DKIM doğrulaması geçmeyen ve gönderen adresiyle uyuşmayan iletilere şunu yap" talimatını verir ve size rapor gönderilmesini sağlar.

v=DMARC1; p=none; rua=mailto:[email protected]; adkim=s; aspf=s

DMARC'ı üç aşamada devreye almanızı öneririz:

1. p=none (izleme): Hiçbir ileti engellenmez; yalnızca raporlar toplanır. İki-dört hafta boyunca hangi kaynakların sizin adınıza gönderim yaptığını görürsünüz.
2. p=quarantine (karantina): Doğrulamayı geçemeyen iletiler alıcının spam klasörüne yönlendirilir.
3. p=reject (ret): Sahte iletiler tamamen reddedilir. Alan adınızın kimlik avı saldırılarında kullanılmasını büyük ölçüde engeller.

Google ve Yahoo, 2024'ten itibaren toplu gönderim yapan alan adlarından SPF, DKIM ve DMARC kayıtlarının üçünü birden bekliyor. Bu kayıtlar artık "olsa iyi olur" değil, gelen kutusuna ulaşmanın ön koşulu.

Kurulumdan sonra nasıl kontrol edilir?

• Kendinize bir Gmail adresine test iletisi gönderin, iletiyi açıp "Orijinali göster" seçeneğine tıklayın. SPF, DKIM ve DMARC satırlarında PASS görmelisiniz.
• DNS değişikliklerinin tüm dünyada yayılması birkaç saati bulabilir; ilk testte sonuç alamazsanız bir süre sonra tekrar deneyin.
• DMARC raporlarını düzenli inceleyin; tanımadığınız bir gönderim kaynağı, alan adınızın kötüye kullanıldığının işareti olabilir.

Kayıtlar doğru ama iletiler hâlâ spam'e düşüyorsa

Kimlik doğrulama tamam olduğu hâlde sorun sürüyorsa gönderim yapılan IP adresinin itibarına bakmak gerekir. Paylaşımlı hosting sunucularında web sitesi ile e-postanın aynı IP'yi kullanması, başka bir kullanıcının hatasının size yansımasına yol açabilir. Kurumsal yazışmalarda e-postayı web barındırmadan ayırmak, yalnızca e-posta için işletilen ve itibarı düzenli izlenen sunucular kullanmak en kalıcı çözümdür.

Pixron Enterprise Mail, temiz IP havuzu ve çift katmanlı spam ve virüs filtresi ile çalışır; SPF, DKIM ve DMARC kayıtları kurulum sırasında sizin için hazırlanır.

Sık sorulan sorular

SPF kaydı olmadan e-posta gönderebilir miyim?

Gönderebilirsiniz, ancak iletilerinizin önemli bir kısmı spam klasörüne düşer veya reddedilir. Büyük sağlayıcılar kimliği doğrulanmamış iletilere giderek daha az tolerans gösteriyor.

DMARC'ı doğrudan "reject" ile başlatmak sakıncalı mı?

Evet. Web sitenizin iletişim formu veya fatura sistemi gibi unuttuğunuz bir gönderim kaynağı varsa bu iletiler de reddedilir. Önce p=none ile birkaç hafta izleyip tüm kaynakları SPF ve DKIM'e eklemek gerekir.

Bu kayıtları kim ekler?

Kayıtlar alan adınızın DNS yönetiminden eklenir. Pixron müşterileri için DNS kayıtları destek ekibimiz tarafından ücretsiz olarak düzenlenir; bunun için bir destek talebi açmanız yeterlidir.