Gönderdiğim e-postalar neden spam'e düşüyor? SPF, DKIM ve DMARC'ı düzgün kurmak

E-posta, kim olduğunu kanıtlamayı ilk tasarlandığında hiç düşünmemiş bir sistemdir. "Kimden" alanına istediğiniz adresi yazabilirsiniz. Spam ve sahtecilik bu boşluktan beslenir. Gmail, Outlook ve diğer büyük sağlayıcılar da bu yüzden bir e-postayı kabul etmeden önce gönderenin kimliğini sorgular.

2024'ten itibaren Google ve Yahoo, yüksek hacimli göndericilerden SPF, DKIM ve DMARC'ın üçünü birden şart koşuyor. Küçük göndericiler için de en azından SPF ya da DKIM zorunlu. Bu kayıtlar eksikse e-postalarınız spam'e düşer ya da hiç teslim edilmez.

SPF: Kim gönderebilir?

SPF, alan adınız adına hangi sunucuların e-posta gönderebileceğini listeleyen bir TXT kaydıdır:

ornek.com.  TXT  "v=spf1 mx a include:_spf.google.com ~all"

• mx, a: Alan adınızın MX ve A kayıtlarındaki sunucular.
• include:: Başka bir servisin (Google Workspace, bülten aracı, fatura yazılımı) kendi listesi.
• ~all: Listede olmayanları "şüpheli" say. -all ise "reddet" anlamına gelir.

SPF'te en sık yapılan hatalar:

• İki ayrı SPF kaydı. Alan adında yalnızca bir v=spf1 kaydı olabilir. İkinci bir servis eklerken yeni kayıt açmak yerine mevcut kaydın içine include: ekleyin.
• 10 DNS sorgusu sınırı. Her include, a, mx bir sorgu sayılır ve iç içe include'lar da bu sayıya eklenir. Sınır aşılırsa SPF permerror verir. Kullanmadığınız servisleri listeden temizleyin.
• Web sunucusunu unutmak. Sitenizin iletişim formu PHP'nin mail() fonksiyonuyla doğrudan web sunucusundan gönderiyorsa, o sunucunun IP'si de listede olmalıdır. Daha iyisi, formu SMTP ile gerçek posta sunucunuz üzerinden göndermektir.

DKIM: Bu e-posta yolda değişti mi?

DKIM, gönderilen her e-postaya kriptografik bir imza ekler. Alıcı, imzayı doğrulamak için gereken genel anahtarı DNS'te bulur:

selector1._domainkey.ornek.com.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."

selector1 kısmı, gönderen sistemin seçtiği bir addır. Böylece farklı servisler farklı anahtarlar kullanabilir. Anahtarı siz üretmezsiniz; e-posta servisiniz ya da hosting paneliniz üretir ve size DNS'e eklemeniz gereken kaydı verir. Siz yalnızca bu kaydı eksiksiz kopyalarsınız. Uzun anahtarların bir kısmının kopyalanırken kesilmesi, DKIM'in sessizce başarısız olmasının en yaygın sebebidir.

DMARC: Geçemeyenlere ne yapılsın?

DMARC iki iş yapar. Birincisi, SPF ya da DKIM'den geçen alan adının, e-postanın "Kimden" alanındaki alan adıyla eşleşmesini (alignment) şart koşar. İkincisi, geçemeyen e-postalara ne yapılacağını söyler ve size rapor gönderilmesini sağlar.

_dmarc.ornek.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@ornek.com"

Kademeli ilerleyin:

1. p=none ile başlayın. Hiçbir e-posta engellenmez ama alıcı sağlayıcılar size günlük raporlar gönderir. Bu raporlar, sizin adınıza kimlerin e-posta gönderdiğini gösterir. Bazen unuttuğunuz bir fatura sistemini, bazen de sahtecileri ortaya çıkarır.
2. Bütün meşru göndericileri SPF ve DKIM'e ekledikten sonra p=quarantine seviyesine geçin. Geçemeyen e-postalar spam klasörüne gider.
3. Birkaç hafta sorun çıkmazsa p=reject. Artık kimse sizin adınıza sahte e-posta gönderemez.

Raporlar XML biçiminde gelir ve okunması zordur. Ücretsiz DMARC rapor analiz servisleri bunları anlaşılır tablolara çevirir.

Kendi sunucunuzdan gönderiyorsanız

Üç kayda ek olarak şunlar da önemlidir:

• PTR (ters DNS): Sunucunuzun IP'si bir ada çözülmeli ve o ad da aynı IP'ye dönmelidir. Bu ayar sunucu sağlayıcınızın panelinden yapılır.
• Kara listeler: IP'niz daha önce başkası tarafından spam için kullanılmış olabilir. MXToolbox gibi araçlarla kontrol edin.
• TLS: Modern posta sunucuları şifrelenmemiş bağlantıya giderek daha az tolerans gösteriyor.

Kontrol

Kendinize bir e-posta gönderin ve Gmail'de "Orijinali göster" seçeneğine tıklayın. Şu üç satırı görmelisiniz:

SPF:   PASS
DKIM:  PASS
DMARC: PASS

Üçü de geçiyorsa ve e-postalarınız hâlâ spam'e düşüyorsa, o zaman içeriğe, gönderim hacmine ve alıcıların e-postalarınızla nasıl etkileşime girdiğine bakma zamanı gelmiştir. Ama tecrübeme göre sorunların büyük kısmı bu üç kayıtta çözülüyor.