1. DMARC, DKIM ve SPF Nedir? E-Posta Kimlik Doğrulamasının Temelleri
Geleneksel e-posta mimarisi (SMTP), gönderen adresin doğruluğunu sorgulamaz. Kötü niyetli bir saldırgan alan adınızı "ceo@sirketiniz.com" gibi göstererek çalışanlarınıza veya müşterilerinize sahte fatura gönderebilir. İşte bu zaafı gidermek için üç katmanlı bir savunma kalkanı kullanılır:
SPF (RFC 7208) — Yetkili Sunucu Listesi
Alan adınızın DNS kaydına hangi sunucu ve IP adreslerinin sizin adınıza posta göndermeye yetkili olduğunu tanımlar.
DKIM (RFC 6376) — Kriptografik İmza
E-postanın sunucudan çıkarken özel anahtarla imzalanmasını ve iletinin yolda değiştirilmediğini alıcıya kanıtlar.
DMARC (RFC 7489) — Karar ve Politika Motoru
SPF ve DKIM testlerini geçemeyen maillere ne uygulanacağını (none, quarantine, reject) alıcı sunucuya bildirir ve ayrıntılı XML raporları toplar.
2. Google ve Yahoo 2024-2026 Zorunlulukları: Neler Değişti?
Google ve Yahoo tarafından yürürlüğe konan Toplu Gönderici Kuralları (Bulk Sender Guidelines), günde 5.000 veya daha fazla e-posta gönderen tüm alan adları için DMARC kaydını mecburi hale getirdi. Bu kurala uymayan alan adları artık doğrudan geçici hata (421) veya kalıcı ret (550) ile karşılaşmaktadır.
Google & Yahoo bulk sender kriteri
Postmaster Tools kritik eşik değeri
Tek tıkla abonelik iptali mecburiyeti
Önemli kural: DMARC kaydınızda bir raporlama adresi (rua=mailto:...) belirtilmemişse, Google DMARC kaydınızı geçersiz sayabilir. Doğrulama raporlarının düzenli analiz edilmesi sistem sağlığı açısından mecburidir.
3. Vaka Analizi: Bir Fintech Alan Adında Phishing Krizini Çözüp Açılma Oranını %26.8’e Nasıl Çıkardık?
Danışmanlığını yürüttüğüm bir fintech müşterimizin alan adı, taklit edilerek sahte IBAN ve fatura e-postaları yayılması nedeniyle uluslararası kara listelere (Spamhaus, Barracuda) girmişti. Şirketin meşru bültenleri dahi doğrudan spam klasörüne düşüyordu. Uyguladığımız 6 haftalık aşamalı eylem planı ve sonuçları:
| Aşama & DMARC Seviyesi | Uygulanan Politika | Sahte Gönderim Engeli | Gelen Kutusu Görünümü | Benzersiz Açılma |
|---|---|---|---|---|
| Aşama 1: Gözlem | v=DMARC1; p=none; rua=... | %0 (Yalnızca Raporlama) | Varsayılan Gri Avatar | %16.4 |
| Aşama 2: Karantina | v=DMARC1; p=quarantine; pct=50 | %88 Karantinaya Alındı | Varsayılan Gri Avatar | %21.1 |
| Aşama 3: Katı Ret & BIMI | v=DMARC1; p=reject; pct=100 + BIMI | %100 Tam Engelleme | Resmi Logo + Mavi Tik | %26.8 |
4. BIMI Nedir ve Gelen Kutusunda Doğrulanmış Mavi Tik Nasıl Alınır?
BIMI yalnızca görsel bir pazarlama süsü değildir. Kullanıcının gelen kutusunda tescilli bir logoyla karşılaşması, tıklama korkusunu ortadan kaldırır. Ancak BIMI kaydı oluşturmadan önce karşılanması gereken 4 katı şart vardır:
1. DMARC Koruması (En Az p=quarantine veya p=reject)
Alan adınızda DMARC politikası p=none iken BIMI logoları asla gösterilmez. pct parametresi %100 olmalıdır.
2. SVG Tiny 1.2 Formatında Logo
Vektörel logonuz SVG Tiny P/S standartlarına göre hazırlanmalı, kare oranında ve şeffaf değil düz zeminli olmalıdır.
3. Tescilli Ticari Marka ve VMC / CMC Sertifikası
Gmail ve Apple Mail mavi tik için logonuzun resmi patent ofisinde tescilli olmasını ve DigiCert veya Entrust gibi onaylı sertifika otoritelerinden alınan VMC (Verified Mark Certificate) ile mühürlenmesini ister.
4. DNS BIMI TXT Kaydı Tanımı
default._bimi.alanadiniz.com adresi altına logo ve sertifika URL'lerini içeren DNS kaydı eklenmelidir.
5. Adım Adım DMARC ve BIMI Kurulumu: Örnek DNS Kayıtları
Alan adınızı doğrulamak ve koruma altına almak için DNS yönetim panelinizde (Cloudflare, Route53, GoDaddy vb.) oluşturmanız gereken örnek kayıtlar:
Adım 1: SPF Kaydınızı Tanımlayın
TXT @ "v=spf1 include:_spf.tracemailer.com ~all"Not: Asla aynı alan adında birden fazla SPF TXT kaydı oluşturmayın; tüm sağlayıcıları tek bir v=spf1 kaydı içinde toplayın.
Adım 2: DKIM Anahtarını Ekleyin
TXT tm._domainkey "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC3..."Not: TraceMailer yönetim panelinizden aldığınız seçici (selector) adını ve 2048-bit açık anahtarı girin.
Adım 3: DMARC Politikasını Kademeli Olarak Yayına Alın
TXT _dmarc "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc-rua@tracemailer.com; pct=100; aspf=r; adkim=r"Not: Başlangıçta p=none ile başlayıp raporları analiz edin. Doğrulama başarısızlıkları çözüldükten sonra p=quarantine ve nihayetinde p=reject moduna geçin.
Adım 4: BIMI DNS Kaydını Yayınlayın
TXT default._bimi "v=BIMI1; l=https://cdn.alanadiniz.com/bimi/logo.svg; a=https://cdn.alanadiniz.com/bimi/cert.pem"Not: l parametresi logonuzun SVG Tiny 1.2 adresini, a parametresi ise VMC PEM sertifikanızın genel bağlantısını içerir.
"E-postada kimlik doğrulama artık bir IT lüksü değil, ticari varoluş şartıdır. Gönderici itibarını inşa etmeyen markalar, gelen kutusunda sessizce yok olmaya mahkumdur."
RFC 7489 E-Posta Güvenlik Çalışma Grubu
Pazarlama gurusu Neil Patel’in vurguladığı gibi:
"Tüketici gelen kutusuna baktığında milisaniyeler içinde güven testi yapar. Doğrulanmış bir marka logosu görmek, tıklama tereddütünü anında ortadan kaldırır."
Red Sift ve Entrust araştırmaları, BIMI logosuna ve mavi tike sahip e-postaların açılma oranlarında ortalama %21 ile %39 arasında bir artış sağladığını ve marka bilinirliğini güçlendirdiğini ortaya koymaktadır.
6. DMARC ve BIMI Kurulumunda En Sık Yapılan 5 Kritik Hata
Birden Fazla SPF Kaydı Bulunması (PermError)
DNS'te iki ayrı SPF kaydı tanımlandığında ISP'ler SPF PermError hatası verir ve DMARC doğrulaması tamamen çöker.
Zarf Kimliği (Return-Path) ile Başlık Göndereni Uyuşmazlığı
Mail gönderen arayüzün Header From adresi ile SMTP Mail From adresi hizalanmadığında (Alignment mismatch) DMARC geçersiz sayılır.
Raporları (RUA) İncelemeden Doğrudan p=reject Uygulamak
Şirket içindeki CRM veya muhasebe yazılımlarını DKIM ile imzalamadan p=reject'e geçerseniz, meşru şirket e-postalarınız da engellenecektir.
BIMI için Standart SVG Kullanmak
BIMI; standart SVG 1.1 formatını reddeder. Mutlaka SVG Tiny 1.2 profiline ve baseProfile="tiny-ps" parametresine uygun olmalıdır.
Spam Şikayetlerini Takip Etmemek
DMARC ve BIMI mükemmel olsa bile, kullanıcı spam şikayet oranınız %0.3'ü aştığında Google gelen kutusu ayrıcalıklarınızı iptal eder.
7. Sıkça Sorulan Sorular
DMARC politikam p=none iken BIMI logosu ve mavi tik alabilir miyim?
Kesinlikle hayır. Google, Yahoo ve Apple, BIMI standartları gereğince alan adının en az p=quarantine (%100 kapsama) veya p=reject politikasında olmasını zorunlu tutar. p=none yalnızca gözlem modudur ve güven kanıtı sayılmaz.
VMC sertifikası olmadan BIMI kullanılabilir mi?
Yahoo ve bazı bölgesel servisler VMC sertifikası olmadan (a parametresi boş bırakılarak) logo gösterebilir. Ancak Gmail ve Apple Mail'de logo ve mavi tik rozetinin görünmesi için DigiCert veya Entrust tarafından verilen resmi bir VMC şarttır.
DMARC RUA raporlarını nasıl okuyabilirim?
RUA raporları her gün binlerce satırdan oluşan ham XML dosyaları şeklinde e-posta adresinize gönderilir. Bu ham veriyi manuel okumak imkansızdır. TraceMailer gibi telemetri platformları XML raporlarını otomatik ayrıştırarak anlaşılır güvenlik panolarına dönüştürür.