Sayılarla ne demek?
E-postanın en eski zayıflığı, gönderen adresinin kolayca taklit edilebilmesidir. Herhangi biri, herhangi bir markanın adresini gönderen olarak yazabilir. Kimlik doğrulama bu açığı kapatır: alan adının sahibi, kimin kendi adına e-posta gönderebileceğini DNS kayıtlarıyla ilan eder.
Üç kayıt birlikte çalışır. SPF, alan adı adına gönderim yapabilecek sunucuları listeler. DKIM, e-postaya dijital bir imza ekler. DMARC, bu iki kontrolden geçemeyen e-postalara ne yapılacağını belirler ve rapor gönderir.
Bu kayıtlar artık isteğe bağlı değil. Gmail ve Yahoo, 2024'ten itibaren toplu gönderen işletmelerden üçünü de şart koşuyor. Eksik kimlik doğrulamayla gönderilen e-postalar spam klasörüne düşüyor ya da tamamen reddediliyor.
Üç kaydın görevleri
| Kayıt | Sorduğu soru | Yöntem |
|---|---|---|
| SPF | Bu sunucu gönderim yapmaya yetkili mi? | İzinli sunucu listesi |
| DKIM | E-posta yolda değişti mi, gerçekten bu alan adından mı? | Kriptografik imza |
| DMARC | Kontrolden geçemeyene ne yapılsın? | Politika ve raporlama |
DMARC'ın ek bir şartı var: hizalama. SPF ya da DKIM kontrolünün yalnızca geçmesi yetmiyor; kontrol edilen alan adının, alıcının gördüğü gönderen adresiyle uyumlu olması gerekiyor. Gönderim platformunun kendi alan adıyla imzalanan e-postalar bu yüzden DMARC'tan geçemeyebiliyor.
Kurulum sırası
- Gönderim yapan bütün hizmetleri listeleyin. Pazarlama, işlemsel, destek.
- Her biri için SPF ve DKIM'i kurun. Platformun verdiği kayıtlarla.
- DMARC'ı izleme modunda başlatın. Raporları toplayın.
- Raporları inceleyin. Bilinmeyen gönderenleri bulun.
- Politikayı kademeli sıkılaştırın. Karantina, sonra ret.
Uygulamada ne oluyor?
En sık bulgu, gönderim yapan hizmetlerin unutulması. Pazarlama platformu doğru kurulmuş ama fatura sistemi, destek aracı ya da anket hizmeti de markanın adına e-posta gönderiyor ve bunlar kimlik doğrulamasız kalıyor.
İkinci gözlem, DKIM'in platformun kendi alan adıyla bırakılması. Kurulum tamamlanmamış platformlar e-postaları kendi alan adlarıyla imzalıyor; kontrol geçiyor ama DMARC hizalaması başarısız oluyor.
Üçüncüsü, DMARC'ın doğrudan ret politikasıyla başlatılması. Hangi hizmetlerin gönderim yaptığı bilinmeden ret politikası uygulandığında, meşru e-postalar da reddediliyor.
Dördüncüsü, taklit saldırılarının fark edilmesi. DMARC raporları incelendiğinde, markanın adına hiç tanımadığı sunuculardan e-posta gönderildiği görülebiliyor; bu, müşterileri hedef alan oltalama girişimleri olabiliyor.
Beşincisi, alt alan adlarının ayrı değerlendirilmemesi. Pazarlama için ayrı bir alt alan adı kullanıldığında onun da kendi kayıtları gerekiyor; ana alan adının kayıtları her durumu kapsamıyor.
Altıncısı, DNS erişiminin bilinmemesi. Kayıtları eklemek için alan adı yönetim paneline erişim gerekiyor; bu erişimin kimde olduğu bilinmediğinde kurulum haftalarca gecikiyor.
Yedincisi, kurulumdan sonra test yapılmaması. Bir test e-postasının başlık bilgileri incelendiğinde üç kontrolün de "geçti" sonucunu verdiği doğrulanmalı.
Sekizincisi, yeni hizmet eklendiğinde kayıtların güncellenmemesi. Yeni bir e-posta aracı başladığında SPF ve DKIM kayıtları eklenmezse o araçtan giden e-postalar başarısız oluyor.
Dokuzuncusu, kimlik doğrulamanın teslim edilebilirliği garanti ettiği sanılması. Kayıtlar kapıyı açıyor ama gelen kutusuna ulaşmak için itibar ve liste kalitesi de gerekiyor.
Onuncusu, marka güvenliği boyutunun görülmemesi. Kimlik doğrulama yalnızca teslim edilebilirlik için değil, müşterilerin sahte e-postalardan korunması için de önemli.
On birincisi, sorumluluğun belirsiz olması. Pazarlama kayıtları bilmiyor, bilgi işlem e-posta pazarlamasını bilmiyor; iki ekip arasında net bir sahiplik tanımlanmalı.
On ikincisi, raporların hiç okunmaması. DMARC raporları toplanıyor ama incelenmiyor; yeni gönderim kaynakları ve saldırı girişimleri görünmüyor.
Neyi çözmez?
Kimlik doğrulama, kötü bir gönderici itibarını ya da kirli bir listeyi düzeltmez. E-postanın kimden geldiğini kanıtlar; istenip istenmediğini değil.
Sıkça sorulan sorular
Zorunlu mu?
Büyük sağlayıcılar toplu göndericiler için üç kaydı da şart koşuyor.
Hizalama nedir?
Kontrol edilen alan adının, alıcının gördüğü gönderen adresiyle uyumlu olması.
DMARC hangi politikayla başlamalı?
İzleme modunda; raporlar incelendikten sonra kademeli sıkılaştırılmalı. Aynı süreçte karşınıza çıkabilecek Alphanumeric Sender ID, SMS'in gönderici alanında numara yerine marka adının (örn. MARKAM) görünmesini sağlayan gönderici kimliğidir.
Bu kavramın bütün resim içindeki yerini Retention Pazarlama Rehberi içinde ayrıntılı anlattım.
GA4, GTM, Meta Pixel, CAPI, Google Ads dönüşüm, TikTok Pixel ve event doğrulama ile sağlam ölçümleme altyapısı.
