SPF, DKIM ve DMARC: e-postalarınızı adım adım doğrulayın

23 Eylül 2026 tarihinde güncellendi

Bu üç DNS kaydı olmadan alan adınızdan gönderilen mesajlar Gmail, Outlook veya Yahoo gözünde şüphelidir ve herkes sizin kılığınıza girebilir. Hiçbir şeyi bozmadan nasıl kuracağınızı anlatıyoruz.

Bu üç mekanizma ne işe yarar

Mekanizma	Neyi kanıtlar	Nerede bulunur
SPF	Gönderen sunucunun bu alan adı adına gönderme yetkisi vardır	Alan adının kökünde TXT kaydı
DKIM	Mesaj değiştirilmemiştir ve onu imzalayan alan adından gelir	`secici._domainkey.alanadi` TXT kaydı
DMARC	SPF ve DKIM başarısız olursa alıcının ne yapacağı ve raporların nereye gideceği	`_dmarc.alanadi` TXT kaydı

2024'ten beri Gmail ve Yahoo toplu gönderenlerden SPF, DKIM ve DMARC istiyor ve bunları giderek herkese daha sıkı uyguluyor. Doğrulaması olmayan bir alan adının teslim oranı düşer.

1. adım: SPF

SPF kaydı izinli sunucuları listeler. Bir e-posta sağlayıcısı ve bir bülten aracıyla gönderen alan adı için örnek:

v=spf1 include:_spf.saglayici.com include:gonderim.bulten.com ~all

Uyulması gereken kurallar:

alan adı başına tek bir SPF kaydı: iki v=spf1 kaydı SPF'yi geçersiz kılar. include girdilerini birleştirin.
en fazla on DNS sorgusu: her include, a veya mx sayılır. Bu sınır aşılırsa SPF başarısız olur.
**başta ~all** (yumuşak hata) ile bitirin, tüm gönderenleri listelediğinizden emin olunca -all kullanın.
hiç e-posta göndermeyen bir alan adı v=spf1 -all yayımlayabilir: kimse onu taklit edemez.

2. adım: DKIM

DKIM her mesajı özel bir anahtarla imzalar; ortak anahtar DNS'te yayımlanır. Anahtar çiftini gönderim sağlayıcınız üretir: size kaydın adını (örneğin s1._domainkey.ornek.com) ve değerini ya da oluşturmanız gereken bir CNAME'i verir.

sizin adınıza gönderen her hizmette DKIM'i açın: e-posta kutusu, bülten, faturalama, mağaza;
2048 bit anahtarları tercih edin;
kayıt yayımlandıktan sonra sağlayıcının panelinden imzalamayı etkinleştirin, kendinize bir mesaj gönderin ve DKIM-Signature başlığını ve dkim=pass sonucunu kontrol edin.

3. adım: üç aşamada DMARC

DMARC, SPF ve DKIM'i «Kimden» alanında görünen alan adına bağlar. Gözlem modunda başlayın:

v=DMARC1; p=none; rua=mailto:dmarc@ornek.com

**p=none** iki ila dört hafta: hiçbir şey engellenmez, ama sizin adınıza gönderen tüm sunucuları listeleyen raporlar alırsınız. Çoğu zaman unutulmuş bir hizmet ortaya çıkar.
**p=quarantine**: doğrulamayı geçemeyen mesajlar spama gider. pct=25, sonra 50, sonra 100 ile kademeli ilerleyebilirsiniz.
**p=reject**: sahte mesajlar reddedilir. Tam koruma budur.

Raporlar okunması zor XML dosyalarıdır: küçük hacimler için çoğu zaman ücretsiz olan bir DMARC analiz aracı bunları tabloda özetler.

Yapılandırmanızı kontrol edin

DNS sorgulama aracımızla alan adının, _dmarc.alanadi ve secici._domainkey.alanadi kayıtlarının TXT değerlerini sorgulayın. Ardından bir Gmail veya Outlook kutusuna mesaj gönderip orijinalini görüntüleyin: Authentication-Results satırında spf=pass, dkim=pass ve dmarc=pass yazmalıdır.

En sık yapılan hatalar

Yeni bir hizmet eklendikten sonra iki SPF kaydı.
include girdileri biriktirildiği için SPF'de ondan fazla DNS sorgusu.
DKIM'in e-posta kutusunda açık, bülten aracında unutulmuş olması.
Gözlem dönemi olmadan doğrudan p=reject'e geçmek: meşru mesajlar engellenir.
DMARC kaydını _dmarc.alanadi yerine alan adının kendisinde oluşturmak.

NetCheck araçlarını açın

Sık sorulan sorular

DKIM olmadan SPF yeterli mi?

Hayır. Otomatik yönlendirmede SPF bozulur, çünkü yönlendiren sunucu listenizde değildir. DKIM yönlendirmeden sağ çıkar. DMARC için ikisinden birinin alan adınızla uyumlu olması yeter, ama ikisi birlikte doğrulamayı güvenilir kılar.

Değişikliklerin etkili olması ne kadar sürer?

Kayıtların TTL süresi dolana kadar, genellikle birkaç dakikadan bir saate kadar. DMARC raporları genelde günde bir kez gelir.

Alan adım e-posta göndermiyorsa DMARC gerekir mi?

Evet: v=spf1 -all ve v=DMARC1; p=reject yayımlayın. Dolandırıcılar, adına oltalama göndermek için tam da korumasız alan adlarını hedefler.