Sayılarla ne demek?
Bir e-posta geldiğinde alıcı sunucu şunu sorar: bu mesajı gönderen sunucu, bu alan adı adına gönderim yapmaya yetkili mi? Cevabı bulmak için gönderenin alan adındaki SPF kaydına bakar. Gönderen sunucu listede varsa kontrol geçer; yoksa başarısız olur.
Kayıt bir liste gibi çalışır. Markanın kendi sunucuları, e-posta pazarlama platformu, işlemsel e-posta hizmeti, kurumsal e-posta sağlayıcısı — alan adı adına gönderim yapan her kaynak bu listeye eklenmelidir. Eksik bir kaynak, o kaynaktan giden e-postaların kontrolden geçememesi demektir.
Kaydın sonundaki ifade, listede olmayan sunuculara ne yapılacağını söyler. ~all "şüpheli say", -all "reddet" anlamına gelir. Asıl yaptırım ise genelde DMARC politikasıyla belirlenir.
SPF'in sınırları
| Sınır | Sonucu |
|---|---|
| En fazla 10 DNS araması | Aşılırsa kontrol hata verir |
| Alan adı başına tek kayıt | İki ayrı kayıt geçersizdir |
| Yönlendirmede bozulur | İletilen e-postalarda başarısız olabilir |
| Görünen adresi kontrol etmez | Tek başına taklidi önlemez |
İlk satır en sık teknik sorun. Her "include" ifadesi bir ya da daha fazla DNS araması yapıyor; birçok hizmet eklendikçe on arama sınırı aşılıyor ve kayıt bütünüyle geçersiz sayılıyor. Kullanılmayan hizmetleri kayıttan çıkarmak bu sorunu çoğu zaman çözüyor.
Doğru kurulum
- Bütün gönderim kaynaklarını listeleyin. Unutulan araç kalmasın.
- Tek bir kayıtta birleştirin. İkinci kayıt açmayın.
- Arama sayısını kontrol edin. Ondan az olmalı.
- Kullanılmayanları çıkarın. Eski hizmetler.
- DKIM ve DMARC ile tamamlayın. SPF tek başına yetmez.
Uygulamada ne oluyor?
En sık hata, alan adında iki ayrı SPF kaydı bulunması. Her yeni hizmet eklendiğinde ayrı bir kayıt açılıyor; iki kayıt olduğunda kontrol tamamen geçersiz sayılıyor.
İkinci gözlem, on arama sınırının aşılması. Kurumsal e-posta, iki pazarlama aracı, bir destek aracı ve bir fatura sistemi eklendiğinde sınır kolayca aşılıyor ve bütün e-postalar SPF'ten kalıyor.
Üçüncüsü, yıllar önce bırakılmış hizmetlerin kayıtta kalması. Artık kullanılmayan bir araç hem arama sayısını tüketiyor hem de o hizmetin sunucularına gereksiz yetki vermeye devam ediyor.
Dördüncüsü, gönderim platformunun kendi alan adını kullanması. Birçok pazarlama platformunda SPF kontrolü, markanın değil platformun "dönüş adresi" alan adında yapılıyor; bu durumda DMARC hizalaması için DKIM kritik hale geliyor.
Beşincisi, iletilen e-postalarda SPF'in bozulması. Bir alıcı e-postayı başka bir adrese otomatik ilettiğinde, ileten sunucu SPF listesinde olmadığı için kontrol başarısız oluyor; DKIM imzası ise çoğu zaman korunuyor.
Altıncısı, alt alan adlarının unutulması. Pazarlama için kullanılan bir alt alan adının kendi SPF kaydı olmadığında, oradan giden e-postalar doğrulanamıyor.
Yedincisi, "+all" gibi çok gevşek ayarlar. Bu ifade her sunucuya izin veriyor ve kaydı anlamsız hale getiriyor; bazen deneme amaçlı eklenip unutuluyor.
Sekizincisi, değişiklik sonrası test yapılmaması. Kayıttaki küçük bir yazım hatası bütün kaydı geçersiz kılabiliyor; ücretsiz kontrol araçlarıyla her değişiklik doğrulanmalı.
Dokuzuncusu, DNS değişikliklerinin yayılma süresinin hesaba katılmaması. Kayıt güncellemesi hemen her yerde görünmeyebiliyor; önemli bir kampanyadan hemen önce değişiklik yapmak risk taşıyor.
Onuncusu, SPF'in taklidi önlediğinin sanılması. SPF, alıcının gördüğü gönderen adresini değil, teknik dönüş adresini kontrol ediyor; taklide karşı asıl koruma DMARC.
On birincisi, e-posta göndermeyen alan adlarının korunmaması. Markanın kullanmadığı yan alan adları taklit için kullanılabiliyor; bu alan adlarına "hiçbir sunucu yetkili değil" diyen bir kayıt eklemek koruyucu.
On ikincisi, kaydın belgelenmemesi. Hangi "include" ifadesinin hangi hizmete ait olduğu yazılı olmadığında, temizlik yapmak isteyen kişi neyi silebileceğini bilemiyor.
Neyi çözmez?
SPF tek başına, alıcının gördüğü gönderen adresinin taklit edilmesini önlemez. Bu koruma DMARC hizalamasıyla sağlanır.
Sıkça sorulan sorular
Birden fazla SPF kaydı olabilir mi?
Hayır; alan adı başına tek kayıt olmalı.
On arama sınırı nedir?
Kaydın değerlendirilmesi sırasında yapılabilecek en fazla DNS araması; aşılırsa kontrol hata verir.
~all mı -all mı?
İkisi de kullanılabilir; asıl yaptırımı genelde DMARC politikası belirler.
Bu kavramın bütün resim içindeki yerini Retention Pazarlama Rehberi içinde ayrıntılı anlattım.
GA4, GTM, Meta Pixel, CAPI, Google Ads dönüşüm, TikTok Pixel ve event doğrulama ile sağlam ölçümleme altyapısı.
