SPF, DKIM ve DMARC nedir? Alan adınızın sahte e-postalarla kullanılmasını engelleyin

01Sorun: e-postanın kendi içinde bir kimlik kontrolü yok

Klasik e-posta sistemi, göndericinin "Kimden" satırına istediği adresi yazmasına izin verir. Saldırganlar bunu, şirketinizden geliyormuş gibi görünen sahte fatura, parola sıfırlama ve "acil" taleplerde kullanır. Mesajlar sunucularınızdan çalınmaz, yalnızca taklit edilir.

Üç DNS kaydı bu açığı kapatır. Bunları DNS sağlayıcınızda bir kez eklersiniz, Gmail ve Outlook gibi alıcı sunucular her mesajda bu kayıtlara bakar.

02SPF: sizin adınıza kimler gönderebilir

SPF, alan adınız adına e-posta göndermesine izin verilen sunucuların listesidir. Alan adının kendisinde tek bir TXT kaydıdır.

v=spf1 include:_spf.mx.cloudflare.net -all

Soldan sağa okuyun: SPF sürüm 1 kullan, include ile belirtilene güven, -all ise "geri kalan herkesi reddet" demektir. ~all daha yumuşak sürümdür, diğer postaları reddetmek yerine şüpheli olarak işaretler.

03DKIM: her mesajda bir imza

DKIM ile e-posta sağlayıcınız giden her mesajı özel bir anahtarla imzalar. Eşleşen genel anahtar DNS'inizde durur, böylece alıcı mesajın değişmediğini ve gerçekten sağlayıcınızdan geçtiğini doğrulayabilir. Bu kaydı genelde kendiniz yazmazsınız: sağlayıcınız yapıştıracağınız adı ve değeri verir.

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A...

04DMARC: hepsini birbirine bağlayan politika

DMARC, görünen "Kimden" alan adıyla uyumlu SPF ve DKIM kontrollerinden geçemeyen mesajlara ne yapılacağını ve bununla ilgili raporların nereye gönderileceğini alıcılara söyler.

v=DMARC1; p=none; rua=mailto:reports@example.com

• p=none: yalnızca izle ve rapor gönder. Hiçbir şey engellenmez.
• p=quarantine: şüpheli posta spam klasörüne gider.
• p=reject: sahte posta tamamen reddedilir.

05Kendi alan adınızı kontrol edin

Aşağıya alan adınızı yazın. Kontrol, tarayıcınızda herkese açık DNS üzerinden çalışır, hiçbir şey saklanmaz.

06Güvenli bir uygulama planı

1. SPF kaydınızı ~all ile ekleyin veya düzeltin.
2. E-posta sağlayıcınızda DKIM'i açın ve verdiği kaydı yayınlayın.
3. DMARC'ı p=none ve okuyacağınız bir rapor adresiyle ekleyin.
4. İki dört hafta temiz rapor geldikten sonra p=quarantine yapın.
5. Emin olunca p=reject yapın ve SPF'yi -all olarak değiştirin.