SPF, DKIM ve DMARC, bir e-postanın gerçekten alan adınızdan gönderildiğini kanıtlayan üç DNS kaydıdır. SPF hangi sunucuların gönderebileceğini listeler, DKIM iletiyi dijital olarak imzalar, DMARC ise bu iki kontrol başarısız olursa alıcı sunucunun ne yapacağını söyler. Gmail 1 Şubat 2024'ten, Outlook 5 Mayıs 2025'ten beri bu kayıtları istiyor; eksiklerse e-postalar spama düşer veya reddedilir.
Bu sayfada
SPF, DKIM ve DMARC nedir?
SPF DKIM DMARC nedir sorusunu bir kargo benzetmesiyle anlatabiliriz. SPF, alan adınız adına kargo gönderebilecek şubelerin listesidir. DKIM, paketin üzerindeki mühürdür; yolda açılıp değiştirilmediğini gösterir. DMARC ise liste ve mühür tutmazsa alıcı şubeye verdiğiniz talimattır: "kabul et", "karantinaya al" veya "geri çevir".
| Kayıt | Ne yapar? | Standart | DNS'teki yeri |
|---|---|---|---|
| SPF | Alan adı adına e-posta gönderebilecek sunucuları listeler | RFC 7208 | alanadiniz.com TXT kaydı |
| DKIM | E-postayı özel anahtarla imzalar, alıcı açık anahtarla doğrular | RFC 6376 | seçici._domainkey.alanadiniz.com TXT kaydı |
| DMARC | SPF/DKIM sonucunu From adresiyle eşler, politika ve rapor adresi belirler | RFC 9989 (Mayıs 2026) | _dmarc.alanadiniz.com TXT kaydı |
E-postalar neden spama düşer?
Alıcı sunucu, gelen e-postanın gerçekten sizden gelip gelmediğini bu üç kayıtla kontrol eder. Kayıtlar yoksa veya çelişiyorsa, sizin adınıza sahte e-posta gönderen biriyle sizi ayırt edemez ve iletiyi şüpheli sayar. En sık karşılaşılan nedenler şunlar:
- SPF kaydı hiç yok ya da web sitesinin sunucusu, e-posta servisi ve bülten aracı için ayrı ayrı iki SPF kaydı açılmış.
- Bülten veya CRM aracı kendi alan adıyla imzalıyor; DKIM sizin alan adınızla eşleşmiyor.
- DMARC kaydı yok; Gmail ve Outlook'un toplu gönderici kuralını karşılamıyorsunuz.
- Sunucunun IP adresi için ters DNS (PTR) kaydı tanımlı değil.
- Alıcıların spam olarak işaretleme oranı yüksek.
SPF kaydı nasıl yazılır?
SPF, alan adının kendisine eklenen bir TXT kaydıdır. Bir alan adında yalnızca bir SPF kaydı olmalıdır; birden fazla gönderici varsa aynı kayda eklenir.
| Senaryo | Örnek SPF kaydı |
|---|---|
| Yalnızca Google Workspace | v=spf1 include:_spf.google.com ~all |
| Yalnızca Microsoft 365 | v=spf1 include:spf.protection.outlook.com -all |
| Google Workspace + kendi sunucunuz | v=spf1 ip4:203.0.113.10 include:_spf.google.com ~all |
RFC 7208, SPF kontrolü sırasında yapılan DNS sorgusu gerektiren mekanizmaların (include, a, mx gibi) toplamını 10 ile sınırlar. Her yeni araç için bir include eklemek bu sınırı aşar ve SPF "permerror" verir. Sonundaki ~all listede olmayanları şüpheli, -all ise reddedilmesi gereken olarak işaretler.
DKIM nasıl kurulur?
DKIM'de e-posta sağlayıcınız bir anahtar çifti üretir. Özel anahtar sağlayıcıda kalır ve her giden iletiyi imzalar; açık anahtarı siz DNS'e TXT kaydı olarak eklersiniz. Kaydın adı bir seçici (selector) içerir: örneğin Google Workspace'te genellikle google._domainkey.
- Kayıt adı örneği:
google._domainkey.alanadiniz.com - Kayıt değeri örneği:
v=DKIM1; k=rsa; p=MIIBIjANBgkqh...(sağlayıcının verdiği uzun anahtar) - Bülten aracı, CRM da e-posta gönderiyorsa her biri için ayrı seçiciyle ayrı DKIM kaydı eklenir.
DNS'e kaydı ekledikten sonra sağlayıcının panelinde imzalamayı ayrıca başlatmanız gerekir. Kayıt eklenip imzalama açılmazsa DKIM çalışmaz.
DMARC kaydı nasıl yazılır, hangi politikayla başlanır?
DMARC, _dmarc adlı bir TXT kaydıdır. En önemli etiket p= politikasıdır. Kademeli ilerlemek gerekir, çünkü doğrudan reddetmeye geçmek, fark etmediğiniz meşru bir göndericinin (fatura sistemi, form bildirimi) e-postalarını da kaybettirebilir.
| Aşama | Örnek DMARC kaydı | Etkisi |
|---|---|---|
| 1. İzleme | v=DMARC1; p=none; rua=mailto:dmarc@alanadiniz.com | Hiçbir e-posta etkilenmez, günlük raporlar gelir |
| 2. Karantina | v=DMARC1; p=quarantine; rua=mailto:dmarc@alanadiniz.com | Doğrulanamayan e-postalar spam klasörüne gider |
| 3. Reddetme | v=DMARC1; p=reject; rua=mailto:dmarc@alanadiniz.com | Doğrulanamayan e-postalar teslim edilmez |
DMARC standardı Mayıs 2026'da yenilendi: RFC 9989 (çekirdek protokol) ile raporlamaya dair RFC 9990 ve RFC 9991 yayımlandı ve 2015 tarihli RFC 7489'un yerini aldı. Kayıtlarınız v=DMARC1 ile başlamaya devam ediyor. Değişikliklerden ikisi pratikte önemli: kısmi uygulama için kullanılan pct etiketi kaldırıldı, test için t=y etiketi geldi. Mevcut kayıtlarda pct varsa temizlemeniz önerilir.
Gmail ve Outlook göndericilerden ne istiyor?
| Kural | Gmail: tüm göndericiler | Gmail: günde 5.000+ ileti | Outlook.com: günde 5.000+ ileti |
|---|---|---|---|
| Başlangıç tarihi | 1 Şubat 2024 | 1 Şubat 2024 | 5 Mayıs 2025 |
| SPF | SPF veya DKIM | Zorunlu | Zorunlu |
| DKIM | SPF veya DKIM | Zorunlu | Zorunlu |
| DMARC | — | Zorunlu, hizalama ile | En az p=none, SPF veya DKIM ile hizalı |
| Diğer | Geçerli PTR, TLS, spam oranı %0,3 altı | Tek tıkla abonelikten çıkma | Uymayan ileti reddedilir (550 5.7.15) |
Günde 5.000 ileti göndermeyen küçük bir işletme için bile bu tablo önemli: Gmail'in tüm göndericilere uyguladığı temel kurallar herkes için geçerli ve DMARC olmadan alan adınız sahte e-postalara karşı korumasız kalıyor.
Kurulum hangi sırayla yapılmalı?
- Tek SPF kaydı oluşturunTüm göndericileri tek kayıtta toplayın ve DNS sorgu sayısının 10'u aşmadığını kontrol edin.
- Her gönderici için DKIM açınHer aracın panelinden alan adınızla imzalamayı başlatın ve verdiği kaydı DNS'e ekleyin.
- DMARC'ı p=none ile yayınlayınRapor adresi ekleyin ve 2-4 hafta boyunca gelen raporlarda bilmediğiniz göndericileri arayın.
- Politikayı sıkılaştırınTüm meşru göndericiler geçtiğinde p=quarantine, sonra p=reject aşamasına geçin.
- Test edinGmail'de bir iletiyi açıp Orijinali göster menüsünden SPF, DKIM ve DMARC satırlarında PASS gördüğünüzü doğrulayın.
Kurulum için destek alabilir misiniz?
DNS kayıtları birkaç satırdan ibaret ama hatalı bir SPF veya erken bir p=reject faturalarınızın müşteriye ulaşmamasına yol açabilir. Kurumsal e-posta hizmetimizde Google Workspace veya Microsoft 365 kurulumunu bu üç kayıtla birlikte teslim ediyoruz. Kendi sunucunuzdan e-posta gönderiyorsanız PTR ve TLS ayarları için sunucu yönetimi, alan adınız adına sahte e-posta gönderildiğinden şüpheleniyorsanız site hacklendi ne yapmalı yazımızdaki ilk kontrol listesi yol gösterir.
Sık sorulan sorular
SPF, DKIM ve DMARC'ın üçü de şart mı?
Gmail'e günde 5.000'den fazla ileti gönderiyorsanız üçü de zorunlu. Daha az gönderen için Gmail en az SPF veya DKIM istiyor. Yine de üçünü birlikte kurmak en güvenli yol; DMARC olmadan alan adınız adına sahte e-posta gönderilmesini engelleyemezsiniz.
Birden fazla SPF kaydı olursa ne olur?
RFC 7208'e göre bir alan adında birden fazla SPF kaydı bulunması hata kabul edilir ve SPF kontrolü kalıcı hata (permerror) verir. Farklı göndericileri tek bir v=spf1 kaydı içinde include veya ip4 mekanizmalarıyla birleştirin.
DMARC kaydında p=none yeterli mi?
Başlangıç için evet; Outlook'un toplu gönderici kuralı da en az p=none istiyor. Ancak p=none hiçbir sahte e-postayı durdurmaz, yalnızca rapor toplar. Raporlarda tüm meşru göndericileri doğruladıktan sonra quarantine ve reject politikasına geçmeniz önerilir.
DKIM anahtarı kaç bit olmalı?
Günümüzde e-posta sağlayıcılarının çoğu 2048 bit RSA anahtarını varsayılan veya önerilen seçenek olarak sunuyor. Bazı eski DNS panelleri uzun TXT kayıtlarını bölmenizi gerektirebilir. Sağlayıcınız 2048 bit seçeneği sunuyorsa onu kullanın.
SPF DKIM DMARC kaydı ne kadar sürede etkin olur?
DNS değişiklikleri kaydın TTL süresine göre genellikle birkaç dakika ile birkaç saat içinde yayılır. DKIM için kayıt yayıldıktan sonra sağlayıcı panelinde imzalamayı başlatmanız gerekir. DMARC raporları ise genellikle günlük olarak gelir, bu yüzden izleme aşamasını birkaç hafta tutun.
Yeni DMARC standardı mevcut kaydımı bozar mı?
Hayır. RFC 9989 ile gelen yeni standartta kayıtlar yine v=DMARC1 ile başlıyor ve p, rua gibi temel etiketler aynı kalıyor. Kaldırılan pct etiketinin yeni standartta bir anlamı kalmadı; kaydınızda varsa silmeniz yeterli.
Projenizi konuşalım
İhtiyacınızı WhatsApp'tan kısaca yazın; kapsamı netleştirip aynı gün içinde size dönüş yapalım.
İlgili sayfalar
- Kurumsal E-posta: Alan Adınızla, Spama Düşmedenad@firmaniz.com.tr adreslerinizi kuruyor, SPF, DKIM ve DMARC kayıtlarını doğru yazıyor, eski e-postalarınızı kaybetmeden taşıyoruz. Gmail ve
- Linux Sunucu Yönetimi: Kurulum, Güvenlik, Yedek ve İzlemeVPS ya da fiziksel sunucunuzu sıfırdan kuruyor, güvenliğini sıkılaştırıyor, yedeklerini düzenli alıp geri yüklemeyi test ediyoruz. Güncellem
- Web Sitesi Bakım Hizmeti: Siteniz Sessizce BozulmasınWeb siteleri çoğu zaman bir gecede değil, yavaş yavaş bozulur: güncellenmeyen bir eklenti, süresi dolan bir sertifika, alınmayan bir yedek.
- Site Hacklendi Ne Yapmalı? İlk 1 Saatlik Kontrol ListesiSitenizde tanımadığınız bir sayfa, kumar sitesine yönlendirme ya da Chrome'da kırmızı bir uyarı mı var? Panikle dosya silmeden önce ilk bir
- Site Hacklendi: Temizlik, Açığın Kapatılması ve Google Uyarısının KaldSitenize yabancı içerik eklendiyse, ziyaretçiler başka sitelere yönleniyorsa ya da Google "bu site saldırıya uğramış olabilir" diyorsa: zara