DMARC Nasıl Kurulur? Adım Adım DMARC Kaydı Oluşturma

DMARC kurmak için alan adınızın DNS'ine _dmarc adında, v=DMARC1 ile başlayan bir TXT kaydı eklersiniz. En güvenli başlangıç v=DMARC1; p=none; rua=mailto:dmarc@alanadiniz.com kaydıdır: bu kayıt hiçbir e-postayı engellemez, yalnız rapor toplar. Raporlar alan adınız adına gönderim yapan bütün servislerin SPF ve DKIM'den geçtiğini gösterdiğinde politikayı önce quarantine, sonra reject seviyesine yükseltirsiniz.

Aşağıda DMARC'ın ne işe yaradığını, kurulumdan önce hazırlanması gerekenleri, kaydın kendisini ve güvenli geçiş planını adım adım anlatıyoruz.

DMARC ne işe yarar?

E-posta protokolü, "kimden" satırına herkesin istediği adresi yazmasına izin verir. Biri sizin alan adınızla müşterilerinize sahte fatura gönderebilir. DMARC, alıcı sunuculara şunu söyler: "Benim alan adımla gelen bir e-posta SPF ve DKIM doğrulamasından geçemezse onu şöyle işle."

Üç kayıt birlikte çalışır:

• SPF: Alan adınız adına hangi sunucuların e-posta gönderebileceğini listeler.
• DKIM: Gönderilen e-postaya, alan adınıza ait bir anahtarla dijital imza ekler.
• DMARC: SPF veya DKIM'den en az birinin geçip geçmediğine ve "kimden" adresindeki alan adıyla uyuşup uyuşmadığına bakar; uyuşmazsa ne yapılacağını söyler ve size rapor gönderilmesini sağlar.

Bu kayıtların DNS'teki yeri için DNS kayıtları rehberimize bakabilirsiniz.

Gmail ve Yahoo, 2024'ten beri çok sayıda e-posta gönderen alan adlarından DMARC kaydı istiyor. Az gönderim yapıyor olsanız bile DMARC'ı olmayan alan adlarından gelen postalar spam'e düşmeye daha yatkındır.

Kurulumdan önce: SPF ve DKIM hazır mı?

DMARC tek başına çalışmaz; SPF ve DKIM'e dayanır. Kayda başlamadan önce alan adınız adına e-posta gönderen her şeyi listeleyin:

• Kurumsal e-posta (Google Workspace, Microsoft 365, hosting firmasının posta sunucusu)
• Web sitesinin gönderdiği e-postalar (iletişim formu, sipariş bildirimi)
• Bülten ve pazarlama servisleri
• Fatura, CRM veya destek yazılımları

Her biri için SPF'e ilgili include: ifadesinin eklendiğinden ve mümkünse DKIM imzasının açıldığından emin olun. Mevcut kayıtlarınızı şu komutlarla görebilirsiniz:

dig alanadiniz.com TXT +short
dig _dmarc.alanadiniz.com TXT +short

SPF'te sık yapılan hata, birden fazla SPF kaydı eklemektir. Alan adında yalnız bir tane v=spf1 ile başlayan TXT kaydı olmalıdır; iki kayıt varsa alıcılar SPF'i geçersiz sayar. Yeni bir servis eklerken yeni kayıt açmayın, mevcut kayda include: ekleyin.

DMARC kaydı nasıl oluşturulur?

DNS panelinizde (kayıt firması, hosting veya Cloudflare gibi DNS sağlayıcısı) şu kaydı ekleyin:

Bazı paneller ada alan adını kendisi ekler, bazıları tam ad ister (_dmarc.alanadiniz.com). Panel "alanadiniz.com" ekini otomatik yapıyorsa yalnız _dmarc yazın; aksi hâlde kayıt _dmarc.alanadiniz.com.alanadiniz.com gibi yanlış bir isme düşer.

Kayıttaki etiketler

Başlangıç için v, p ve rua yeterlidir. Diğer etiketler varsayılan değerleriyle çoğu işletmeye uyar.

p=none'dan p=reject'e güvenli geçiş

Doğrudan p=reject ile başlamak, unuttuğunuz bir servisin (örneğin iletişim formunun) e-postalarının sessizce reddedilmesine yol açabilir. Aşamalı ilerleyin:

1. İzleme (p=none), 2-4 hafta: Hiçbir e-posta etkilenmez. Gelen raporlarda alan adınız adına gönderim yapan tüm kaynakları görürsünüz.
2. Eksikleri kapatın: Raporlarda doğrulamadan geçemeyen ama size ait olan kaynaklar varsa SPF'e ekleyin veya DKIM'i açın.
3. Karantina (p=quarantine): Doğrulamadan geçemeyen postalar spam klasörüne gider. İsterseniz pct=25 ile başlayıp yüzdeyi kademeli artırın.
4. Reddet (p=reject): Sahte e-postalar alıcıya hiç ulaşmaz. Alan adınızın taklit edilmesine karşı gerçek koruma bu seviyededir.

p=none bir başlangıç noktasıdır, varış noktası değildir. Bu politika sahte e-postaları durdurmaz; yalnız size haber verir. DMARC kaydı yıllarca p=none'da kalmış alan adları çok yaygındır ve bunlar pratikte korumasızdır.

DMARC raporları nasıl okunur?

rua adresine her gün, e-posta alan büyük servislerden (Google, Microsoft, Yahoo vb.) sıkıştırılmış XML dosyaları gelir. Her raporda şunlar yazar:

• Alan adınız adına hangi IP adreslerinden kaç e-posta gönderildiği
• Bu e-postaların SPF ve DKIM sonucunun ne olduğu
• Alıcı sunucunun e-postaya ne yaptığı

XML'i elle okumak zordur. Raporları okunaklı tabloya çeviren araçlar vardır; ücretsiz seçenekler az miktardaki alan adı için genellikle yeterlidir. Rapor adresi olarak kişisel posta kutunuzu değil, bu iş için ayrılmış bir adresi kullanın; günde onlarca rapor gelebilir.

Rapor adresi başka bir alan adındaysa (ör. rua=mailto:rapor@baskaalan.com), o alan adının da bu raporları kabul ettiğini DNS'te beyan etmesi gerekir. En kolayı, raporları kendi alan adınızdaki bir adrese almaktır.

Sık yapılan DMARC hataları

• Kaydı yanlış isme eklemek: Kayıt ana alan adına değil, _dmarc ismine eklenir.
• Birden fazla DMARC kaydı: Aynı isimde iki v=DMARC1 kaydı varsa alıcılar ikisini de yok sayabilir.
• v=DMARC1'in ilk sırada olmaması: Kayıt tam olarak bu ifadeyle başlamalıdır.
• Doğrudan p=reject: Unutulan bir gönderim kaynağı varsa o e-postalar kaybolur.
• p=none'da unutmak: Kayıt var ama koruma yok.
• Nameserver değişikliğinde kaybetmek: DNS başka bir sağlayıcıya taşınırken _dmarc ve SPF kayıtları sıklıkla geride kalır. Taşıma sonrası e-posta sorunları için kurumsal e-posta çalışmıyor rehberine bakın.

DMARC kaydınızı kurduktan sonra

DMARC bir kere kurulup unutulan bir ayar gibi görünse de kayıtlar sonradan kaybolabilir: DNS sağlayıcısı değişir, biri paneli "temizler", yeni bir hosting paketi kayıtların üzerine yazar. Bunu genellikle ancak e-postalar spam'e düşmeye başladığında fark edersiniz.

Bulut Domain, alan adlarınızın MX, SPF ve DMARC kayıtlarını ücretsiz olarak düzenli kontrol eder. DMARC kaydınız yoksa, p=none'da kalmışsa veya birden fazla SPF kaydınız varsa bunu Mail izleme ekranında ve haftalık özette gösterir. MX, SPF ya da DMARC kaydınız kaybolursa da uyarı gönderir. DKIM kaydı dışarıdan güvenilir biçimde keşfedilemediği için ölçülmüş gibi gösterilmez.

Sık sorulan sorular

DMARC kurmak e-postalarımı etkiler mi?

p=none ile başlarsanız hayır; bu politika yalnız rapor toplar. Etki, quarantine veya reject'e geçtiğinizde başlar. Bu yüzden önce raporları inceleyip bütün gönderim kaynaklarınızı doğrulamanız gerekir.

DKIM olmadan DMARC çalışır mı?

Çalışır, çünkü DMARC için SPF veya DKIM'den birinin uyuşması yeterlidir. Ancak e-posta yönlendirildiğinde SPF genellikle bozulur; DKIM imzası ise yönlendirmede korunur. Bu yüzden DKIM'i de açmak reject politikasını çok daha güvenli hâle getirir.

DMARC kaydının yayılması ne kadar sürer?

Yeni eklenen kayıt çoğunlukla dakikalar içinde görünür; önbellekler nedeniyle birkaç saat sürebilir. dig _dmarc.alanadiniz.com TXT +short komutuyla kontrol edebilirsiniz.

Alt alan adları için ayrı DMARC kaydı gerekir mi?

Gerekmez. Ana alan adındaki kayıt, alt alan adlarına da uygulanır. Alt alan adları için farklı bir politika isterseniz sp etiketini kullanın.

E-posta kayıtlarınızın sessizce kaybolmasını, müşterileriniz postalarınızı spam'de bulduğunda öğrenmeyin. Ücretsiz hesap oluşturun, alan adlarınızı ekleyin ve MX, SPF, DMARC değişikliklerinden haberdar olun.