E-posta, kurumsal iletişimin belkemiği; ama aynı zamanda oltalama ve alan adı taklidi (spoofing) saldırılarının bir numaralı hedefi. Alan adınız adına sahte e-posta gönderilmesini engellemek için üç kayıt bir arada çalışır: SPF, DKIM ve DMARC. Bu yazıda bu kayıtların ne işe yaradığını, MTA-STS gibi daha yeni katmanları ve hepsini tek tıkla nasıl ölçebileceğinizi anlatıyoruz.
Kayıtlarınızın durumunu hemen görmek isterseniz E-posta Güvenliği aracıyla alan adınızı sorgulayın: SPF, DKIM, DMARC, MTA-STS, TLS-RPT ve BIMI kontrol edilir ve A–F arası bir not verilir.
SPF, DKIM ve DMARC Kısaca
SPF (Sender Policy Framework)
Hangi sunucuların alan adınız adına e-posta gönderebileceğini bir DNS TXT kaydında listeler. Alıcı sunucu, gönderen IP’yi bu listeyle karşılaştırır. En kritik nokta kaydın -all (hard fail) ile bitmesidir; ~all (soft fail) daha gevşektir ve ?all neredeyse hiç koruma sağlamaz.
v=spf1 include:_spf.google.com -allSPF’in gizli bir tuzağı vardır: kayıt içindeki include ve mekanizmalar toplamda 10 DNS sorgusunu aşarsa kayıt geçersiz sayılır (permerror). Aracımız bu limiti de sayar.
DKIM (DomainKeys Identified Mail)
Giden her e-postaya, özel anahtarla oluşturulmuş bir kriptografik imza ekler. Alıcı, imzayı seçici._domainkey.alanadi altındaki genel anahtarla doğrular. Böylece iletinin yolda değiştirilmediği ve gerçekten sizden geldiği kanıtlanır. Seçici (selector) adları sağlayıcıya göre değişir (google, selector1, k1, default…); test aracı en yaygın seçicileri otomatik dener.
DMARC (Domain-based Message Authentication)
SPF ve DKIM’i birbirine bağlar ve başarısız olan e-postaya ne yapılacağını siz belirlersiniz. Politika üç kademelidir:
p=none— yalnızca izler/raporlar, sahte e-postayı engellemez. Başlangıç için iyidir ama nihai hedef değildir.p=quarantine— şüpheli iletiyi spam’e düşürür.p=reject— sahte iletiyi tamamen reddeder. En güçlü koruma budur.
v=DMARC1; p=reject; rua=mailto:dmarc@alanadi.com; adkim=s; aspf=srua adresi ekleyerek toplu raporları toplamanız, yayına geçmeden önce meşru gönderenlerinizi görmeniz açısından çok önemlidir.
Daha Yeni Katmanlar: MTA-STS, TLS-RPT ve BIMI
SPF/DKIM/DMARC gönderen kimliğini korur; ancak sunucular arası bağlantının şifreli kalmasını garantilemez. İşte burada devreye girenler:
- MTA-STS: Gönderen sunucuları, size e-posta iletirken TLS kullanmaya zorlar ve STARTTLS düşürme (stripping) saldırılarını engeller.
- TLS-RPT: TLS ile teslim edilemeyen iletiler hakkında rapor alırsınız.
- BIMI: DMARC
reject/quarantinezorunluluğuyla birlikte, gelen kutusunda logonuzun görünmesini sağlar; hem güven hem marka değeri.
Karnenizi Nasıl Okumalısınız?
En sık karşılaşılan ve puanı düşüren bulgular şunlardır:
- DMARC yok veya p=none — en kritik eksik. Alan adınız adına sahte e-posta serbestçe gönderilebilir.
- SPF
~all/?allile bitiyor — koruma gevşek; mümkünse-all‘a geçin. - DKIM imzası bulunamadı — sağlayıcınızın önerdiği seçiciyi DNS’e ekleyin.
- MTA-STS yok — sunucular arası şifreleme zorlanmıyor.
Doğru sıralama genellikle şudur: önce SPF ve DKIM’i düzgün kurun, DMARC’ı p=none + rua ile başlatıp raporları izleyin, meşru gönderenleri doğruladıktan sonra kademeli olarak quarantine ve reject‘e yükseltin.
Sürekli İzleme
Bu kayıtlar zamanla bozulabilir: bir çalışan DMARC’ı gevşetir, SPF include limitini aşar ya da bir seçici kaldırılır. SecRadar üye panelinde alan adınızı ekleyerek e-posta güvenliğini sürekli izleyebilir, DMARC politikası zayıfladığında veya SPF/DKIM bozulduğunda e-posta ya da Telegram ile anında uyarı alabilirsiniz.
Ayrıntılı temel bilgi için SPF, DKIM ve DMARC ile E-posta Güvenliği yazımıza, oltalamaya karşı korunma için Oltalama (Phishing) rehberimize göz atın. Hemen ölçmek için E-posta Güvenliği testini çalıştırın.