SPF Kaydı Nedir? Sender Policy Framework Nasıl Çalışır?

SPF (Sender Policy Framework) kaydı, bir alan adı adına e-posta göndermeye yetkili sunucuları listeleyen bir DNS TXT kaydıdır. E-posta alan sunucu, iletiyi gönderen IP adresinin bu listede olup olmadığını kontrol eder; listede yoksa iletinin sahte olabileceğine karar verir. SPF, DMARC'nin iki temel bileşeninden biridir.

SPF neden gerekli?

E-postanın temel protokolü SMTP, gönderen sunucunun gerçekten iddia ettiği alan adına ait olup olmadığını doğrulamaz. Bu yüzden herhangi bir sunucu, başka bir alan adı adına ileti göndermeyi deneyebilir. SPF, alan adı sahibine "benim adıma yalnızca şu sunucular gönderebilir" deme imkânı vererek bu boşluğu daraltır.

SPF ayrıca e-posta teslim edilebilirliği açısından da önemlidir. Büyük e-posta sağlayıcıları, gönderen alan adlarının SPF veya DKIM ile kimlik doğrulaması yapmasını bekler; kimliği doğrulanmamış iletiler spam olarak işaretlenebilir veya reddedilebilir.

SPF nasıl çalışır?

RFC 7208'e göre işleyiş şöyledir:

1. Gönderen sunucu, SMTP oturumunda MAIL FROM komutuyla zarf göndericisi adresini bildirir (ör. [email protected]).
2. Alıcı sunucu bu adresteki alan adının (ornek.com.tr) SPF kaydını DNS'ten sorgular.
3. Kayıttaki mekanizmalar soldan sağa değerlendirilir.
4. Gönderen IP adresi bir mekanizmayla eşleşirse o mekanizmanın niteleyicisine göre sonuç belirlenir.
5. Hiçbiri eşleşmezse kaydın sonundaki all ifadesi uygulanır.

Örnek kayıt

v=spf1 include:_spf.google.com ip4:203.0.113.10 ~all

Bu örnek, Google Workspace sunucularının ve 203.0.113.10 IP adresinin (belgelendirme için ayrılmış örnek adres) yetkili olduğunu, diğer kaynakların şüpheli (softfail) sayılması gerektiğini söyler.

SPF sonuçları

Önemli kurallar ve sınırlar

• Tek kayıt: Bir alan adında yalnızca bir v=spf1 kaydı bulunmalıdır.
• 10 DNS sorgusu sınırı: include, a, mx, ptr, exists ve redirect ifadelerinin toplamı 10'u geçmemelidir; iç içe dahil edilen kayıtlar da sayılır.
• 255 karakter: Tek bir TXT dizesi en fazla 255 karakter olabilir; uzun kayıtlar birden fazla dizeye bölünür.
• ptr kullanmayın: RFC 7208 bu mekanizmanın kullanılmamasını önerir.

SPF'nin sınırları

• E-posta yönlendirildiğinde, yönlendiren sunucunun IP adresi asıl alan adının SPF kaydında olmadığından SPF başarısız olabilir.
• SPF ileti içeriğinin değiştirilmediğini garanti etmez; bunu DKIM imzası sağlar.

SPF, DKIM ve DMARC birlikte nasıl çalışır?

Üç mekanizma farklı soruları yanıtlar ve birbirini tamamlar:

Örneğin bir bülten hizmeti iletinizi kendi zarf göndericisi alan adıyla gönderiyorsa SPF başarılı olsa bile sizin alan adınızla hizalı olmaz. Bu durumda DMARC'den geçmek için hizmetin iletiyi sizin alan adınızla DKIM imzalaması veya özel bir Return-Path alt alan adı kullanması gerekir. Bu yüzden yeni bir gönderim hizmeti eklerken yalnızca SPF'ye include eklemek yetmez; DKIM ve hizalamayı da kontrol etmek gerekir.

Sık yapılan hatalar

• Yeni bir hizmet eklerken ikinci bir SPF kaydı oluşturmak.
• +all kullanarak tüm dünyayı yetkili kılmak.
• Kullanılmayan eski hizmetlerin include ifadelerini bırakıp sorgu sınırını aşmak.
• E-posta göndermeyen alan adlarına v=spf1 -all kaydı eklemeyi unutmak.

Nasıl kontrol ederim?

SPF kontrol aracımız kaydınızın sözdizimini ve DNS sorgu sayısını denetler. Alan adınızın e-posta sunucularını MX kaydı sorgulama ile, SPF, DKIM ve DMARC'nin bütününü e-posta güvenlik analizi ile görebilirsiniz. Kayıt oluşturma adımları için SPF kaydı nasıl oluşturulur rehberimize bakın.

Sık sorulan sorular

SPF tek başına sahte e-postaları engeller mi?

Hayır. SPF yalnızca zarf göndericisi (Return-Path) alan adını kontrol eder; kullanıcının gördüğü Kimden adresini korumaz. Kimden adresinin taklit edilmesini engellemek için SPF'nin DKIM ve DMARC ile birlikte kullanılması gerekir.

SPF sonucu softfail ne anlama gelir?

Softfail, gönderen IP adresinin SPF kaydında listelenmediğini ancak alan adı sahibinin bunu kesin bir ret sebebi olarak işaretlemediğini, yani ~all kullandığını gösterir. Alıcı sunucu iletiyi genellikle kabul eder ama şüpheli olarak değerlendirebilir.

E-posta yönlendirildiğinde SPF neden başarısız olur?

Yönlendiren sunucu iletiyi kendi IP adresinden gönderdiği için bu adres asıl alan adının SPF kaydında yer almaz. Bu nedenle yönlendirme senaryolarında DKIM imzası, DMARC'den geçmek için daha güvenilir bir yoldur.

Sık sorulan sorular

Kaynaklar

1. RFC 7208 — Sender Policy Framework (SPF)
2. RFC 7489 — DMARC
3. Google Workspace Yönetici Yardımı — SPF kaydı tanımlama

#dmarc #spf #e-posta #dns