E-posta kimlik doğrulama: SPF, DKIM ve DMARC

Alan adınızdan gönderilen e-postanın gerçekten size ait olduğunu alıcı sunuculara kanıtlamak için üç DNS tabanlı mekanizma kullanılır: SPF, DKIM ve DMARC. Hiçbiri e-postanın gelen kutusuna düşeceğini garanti etmez, ancak eksik olmaları durumunda iletiler spam olarak işaretlenme veya reddedilme riskiyle karşılaşır. Büyük posta sağlayıcıları toplu gönderimde bu kayıtları artık fiilen bekler.

DNS kayıt türleri için DNS kayıt türleri makalesine bakın. Aşağıdaki kayıtlar TXT kaydıdır ve örnekler belgeleme amaçlıdır.

SPF: hangi sunucular gönderebilir

SPF, alan adınız adına posta göndermeye yetkili sunucuları listeler. Kök alan adına şuna benzer tek bir TXT kaydı eklenir:

ornek.com.  TXT  "v=spf1 ip4:203.0.113.10 include:_spf.posta-saglayici.example ~all"

ip4: ve ip6: belirli adresleri yetkilendirir.
include: başka bir sağlayıcının SPF kaydını dahil eder (transaktif e-posta servisi gibi).
Sonundaki ~all (softfail) listede olmayanları şüpheli sayar; -all (fail) reddedilmesini ister. Önce ~all ile başlayıp raporları izleyerek -all değerine geçmek yaygın yaklaşımdır.
Bir alan adında yalnızca bir v=spf1 kaydı olmalıdır. SPF değerlendirmesinde DNS sorgusu gerektiren mekanizma sayısı (include, a, mx vb.) en çok 10 ile sınırlıdır.

DKIM: iletinin imzalanması

DKIM ile gönderen sunucu, iletinin belirli başlıklarını ve gövdesini özel anahtarla imzalar; alıcı, imzayı DNS'teki açık anahtarla doğrular. Anahtar çiftini genellikle posta sunucusu ya da e-posta servisi üretir; size yalnızca yayınlanacak açık anahtar kaydı verilir:

secici1._domainkey.ornek.com.  TXT  "v=DKIM1; k=rsa; p=ACIK_ANAHTAR_DEGERI"

secici1 seçicidir (selector); birden fazla servis veya anahtar dönüşümü için farklı seçiciler kullanılabilir. Özel anahtarı hiçbir yerde yayınlamayın.

DMARC: politika ve raporlama

DMARC, SPF veya DKIM sonucunun From başlığındaki alan adıyla uyumlu (aligned) olmasını ister ve doğrulama başarısız olursa alıcının ne yapacağını bildirir. Kayıt _dmarc adına konur:

_dmarc.ornek.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc-rapor@ornek.com"

p politikası üç değer alır:

Değer	Anlamı
`none`	Yalnızca raporla, bir işlem yapma
`quarantine`	Şüpheli say (genellikle spam klasörü)
`reject`	Reddet

Güvenli bir başlangıç, p=none ile toplanan toplu raporları (rua) birkaç hafta incelemek, meşru gönderenlerin hepsi SPF/DKIM ile geçtikten sonra quarantine ve ardından reject değerine geçmektir.

Sınama

dig +short TXT ornek.com
dig +short TXT secici1._domainkey.ornek.com
dig +short TXT _dmarc.ornek.com

Gerçek bir ileti göndererek başlıklarda Authentication-Results satırına bakın; spf=pass, dkim=pass ve dmarc=pass görmelisiniz.

Sık hatalar

Birden fazla SPF kaydı yazmak (geçersiz sayılır). Tek kayıtta birleştirin.
DKIM değerini panelin kesmesi ya da fazladan boşluk eklemesi.
Üçüncü taraf servisi (bülten, CRM) kullanıp SPF/DKIM'e eklememek.
DMARC'ı doğrudan p=reject ile başlatıp meşru iletileri kaybetmek.

Bu makale genel bilgi verir; sürümler ve dağıtımlar arasında komutlar değişebilir. Üretim sunucusunda uygulamadan önce kendi ortamınızda deneyin.