SPF, DKIM, DMARC Nedir? E-posta Sahteciliğini Önleme

E-posta Sahteciliği Neden Bu Kadar Yaygın?

Bir saldırganın şirketinizin adını taşıyan bir e-posta göndermesi, teknik olarak göründüğünden çok daha kolaydır. E-posta protokolü (SMTP) tasarlandığında kimlik doğrulama düşünülmemiştir; yani "Kimden" alanına istediğiniz adresi yazıp gönderebilirsiniz. Bu boşluk, phishing (oltalama) ve CEO dolandırıcılığı gibi saldırıların temelini oluşturur.

KOBİ'ler için bu risk özellikle kritiktir. Müşterileriniz veya iş ortaklarınız, sizin domaininizden geliyormuş gibi görünen sahte bir fatura veya ödeme talebi e-postasına kolayca kanabilir. SPF, DKIM ve DMARC; tam olarak bu tür sahte e-postaların engellenmesi için geliştirilmiş, DNS üzerinde tanımlanan üç kimlik doğrulama standardıdır.

SPF Nedir ve Nasıl Çalışır?

SPF (Sender Policy Framework), domaininiz adına hangi mail sunucularının e-posta göndermeye yetkili olduğunu belirten bir DNS TXT kaydıdır. Alıcı sunucu, gelen e-postanın gerçekten sizin belirttiğiniz sunuculardan gelip gelmediğini bu kayda bakarak kontrol eder.

Örnek bir SPF kaydı şöyle görünür: v=spf1 include:_spf.google.com ~all. Bu kayıt, e-postaların Google'ın sunucularından gönderilmesine izin verir; farklı bir sunucudan gelen e-postalar ise şüpheli olarak işaretlenir.

SPF'nin önemli bir sınırlaması vardır: yalnızca zarf gönderici adresini (envelope-from) kontrol eder, kullanıcının gördüğü "Kimden" alanını doğrulamaz. Bu yüzden SPF tek başına yeterli bir koruma sağlamaz.

DKIM Nedir ve Nasıl Çalışır?

DKIM (DomainKeys Identified Mail), gönderilen her e-postaya dijital bir imza ekleyen bir doğrulama yöntemidir. Gönderen sunucu, e-postayı özel bir anahtarla imzalar; alıcı sunucu ise sizin DNS'inizde yayınladığınız açık anahtarla bu imzayı doğrular.

Bu mekanizma sayesinde e-postanın içeriği yolda değiştirilmemişse ve gerçekten sizin sunucunuzdan gönderilmişse doğrulama başarılı olur. DKIM, SPF'den farklı olarak e-postanın gövdesinin ve başlıklarının bütünlüğünü kontrol eder; bu da onu sahtecilik girişimlerine karşı daha güçlü kılar.

DKIM kurulumunda mail sağlayıcınızın (Google Workspace, Microsoft 365, kendi SMTP sunucunuz vb.) verdiği anahtarı DNS'inize TXT kaydı olarak eklemeniz gerekir. Anahtarların düzenli olarak yenilenmesi de güvenlik açısından önemlidir.

DMARC Nedir ve Bu Üçlüyü Nasıl Tamamlar?

DMARC (Domain-based Message Authentication, Reporting and Conformance), SPF ve DKIM sonuçlarını birleştirip alıcı sunuculara ne yapılması gerektiğini söyleyen politika katmanıdır. SPF veya DKIM doğrulaması başarısız olan e-postalara ne olacağını (kabul et, karantinaya al, reddet) DMARC belirler.

Bir DMARC kaydı şöyle olabilir: v=DMARC1; p=quarantine; rua=mailto:raporlar@sirketiniz.com. Buradaki p=quarantine ifadesi, doğrulamadan geçemeyen e-postaların spam klasörüne yönlendirilmesini ister; p=reject ise bu e-postaların tamamen engellenmesini sağlar.

DMARC'ın büyük bir avantajı raporlama özelliğidir. rua etiketiyle tanımladığınız adrese, domaininiz adına gönderilen tüm e-postaların özet raporları düzenli olarak gelir. Bu raporlar sayesinde biri sizin adınıza sahte e-posta göndermeye çalışıyorsa bunu fark edebilirsiniz.

SPF, DKIM, DMARC Birlikte Nasıl Çalışır?

Bu üç kayıt tek başına değil, birlikte anlam kazanır. SPF gönderen sunucuyu doğrular, DKIM içerik bütünlüğünü garanti eder, DMARC ise ikisinin sonucuna göre bir eylem politikası uygular ve size görünürlük sağlar.

Doğru yapılandırılmış bir sistemde süreç şu şekilde işler:

1. Alıcı sunucu gelen e-postayı alır.
2. SPF kaydına bakarak gönderen IP adresinin yetkili olup olmadığını kontrol eder.
3. DKIM imzasını gönderenin açık anahtarıyla doğrular.
4. DMARC politikasına göre e-postayı kabul eder, karantinaya alır veya reddeder.
5. Sonucu rapor olarak domain sahibine gönderir.

Bu zincirdeki herhangi bir halka eksikse, sahtecilik riski önemli ölçüde artar.

Bu Kayıtları Kurarken Sık Yapılan Hatalar

SPF, DKIM ve DMARC kurulumu teknik olarak basit görünse de pratikte sık hatalar yapılır:

• Birden fazla SPF kaydı eklemek: Bir domain için tek bir SPF kaydı olmalıdır; birden fazlası doğrulamayı bozar.
• DMARC politikasını hemen reject yapmak: Önce p=none ile izleme yapıp raporları analiz etmeden sıkı politikaya geçmek, meşru e-postaların da engellenmesine yol açabilir.
• Üçüncü taraf e-posta servislerini (pazarlama araçları, CRM sistemleri) SPF/DKIM'e dahil etmemek: Bu araçlardan gönderilen e-postalar doğrulamadan geçemeyip spam'e düşebilir.
• DMARC raporlarını hiç incelememek: Kurulum yapılıp raporlar takip edilmezse, devam eden sahtecilik girişimleri fark edilmez.

E-posta Güvenliği Sürekli Bir Süreçtir

SPF, DKIM, DMARC kayıtlarını bir kez doğru kurmak önemli bir adımdır, ancak bu tek seferlik bir görev değildir. Yeni bir e-posta servisi eklediğinizde, mail sağlayıcı değiştirdiğinizde veya DNS altyapınızda değişiklik yaptığınızda bu kayıtların da güncellenmesi gerekir. Aksi halde ya meşru e-postalarınız engellenir ya da yeni açılan bir boşluk sahtecilik riskini geri getirir.

Domain ve DNS güvenliği, web sitenizin genel güvenlik duruşunun bir parçasıdır. Yetkilendirilmiş güvenlik testleri ve düzenli tarama, e-posta kimlik doğrulama kayıtlarındaki yanlış yapılandırmalar dahil olmak üzere birçok riski erken aşamada görünür kılmaya yardımcı olur. Siperon'un ücretsiz web güvenlik taraması ile domaininizin genel güvenlik açıklarını kontrol edebilir, DeepScan ile daha kapsamlı bir analiz yapabilirsiniz.

Güvenlik, tek seferlik bir kurulum değil sürekli izlenmesi gereken bir süreçtir. Şirket büyüdükçe, yeni servisler entegre oldukça riskler de değişir; bu yüzden düzenli takip ve raporlama alışkanlık haline getirilmelidir. İhtiyacınıza uygun sürekli izleme planlarını fiyatlandırma sayfamızdan inceleyebilirsiniz.

Sık Sorulan Sorular

SPF, DKIM, DMARC kurmak zorunlu mu?

Yasal bir zorunluluk değildir ancak günümüzde birçok büyük e-posta sağlayıcı (Gmail, Outlook gibi) bu kayıtları olmayan domainlerden gelen e-postaları spam'e düşürebilir veya reddedebilir. Bu nedenle özellikle kurumsal iletişim ve pazarlama e-postaları için pratikte zorunlu hale gelmiştir.

DMARC olmadan SPF ve DKIM yeterli mi?

SPF ve DKIM tek başına doğrulama yapar ama başarısız durumlarda ne yapılacağına dair bir politika sunmaz. DMARC olmadan, doğrulamadan geçemeyen sahte e-postaların ne olacağı alıcı sunucunun kendi kararına bırakılır; bu da tutarsız ve öngörülemez sonuçlara yol açar.

SPF, DKIM, DMARC kayıtlarını kim kurar?

Genellikle DNS yönetimine erişimi olan kişi (domain sağlayıcı panelinden veya IT ekibi üzerinden) bu kayıtları ekler. Mail sağlayıcınızın (Google Workspace, Microsoft 365 vb.) belgelerinde size özel kayıt değerleri verilir, siz bunları DNS'inize TXT kaydı olarak eklersiniz.

DMARC raporları neyi gösterir?

DMARC raporları, domaininiz adına hangi sunuculardan e-posta gönderildiğini, bunların SPF ve DKIM doğrulamasından geçip geçmediğini gösterir. Bu sayede biri domaininizi taklit etmeye çalışıyorsa bunu erken fark edebilirsiniz.

Bu kayıtlar web sitesi güvenliğiyle nasıl ilişkili?

SPF, DKIM, DMARC doğrudan e-posta güvenliğine yöneliktir ama DNS yapılandırma hatalarının genellikle web sitesi ve altyapı güvenliğindeki daha büyük sorunlarla birlikte görüldüğü sıkça karşılaşılan bir durumdur. Düzenli güvenlik taramaları, hem e-posta hem web tarafındaki yapılandırma zafiyetlerini birlikte görünür kılmaya yardımcı olur.