DMARC kaydı, alan adınızın DNS bölgesine _dmarc alt adıyla eklenen bir TXT kaydıdır. Doğru sıralama şudur: önce SPF ve DKIM'i kurarsınız, ardından p=none politikasıyla raporları birkaç hafta izler, meşru tüm gönderim kaynaklarınızı doğrular ve kademeli olarak quarantine ve reject politikasına geçersiniz.
DMARC nedir ve neden önemlidir?
DMARC (Domain-based Message Authentication, Reporting and Conformance), RFC 7489 ile tanımlanmış bir e-posta kimlik doğrulama standardıdır. SPF ve DKIM sonuçlarını, kullanıcının e-posta istemcisinde gördüğü From (Kimden) adresindeki alan adıyla ilişkilendirir. Bu ilişkiye hizalama (alignment) denir.
DMARC'nin üç temel işlevi vardır:
- Politika bildirmek: Alıcı sunucuya, kimlik doğrulamadan geçemeyen iletilere ne yapacağını söyler (hiçbir şey yapma, karantinaya al veya reddet).
- Raporlama: Alan adınız adına gönderilen iletilerin kimlik doğrulama sonuçlarını size düzenli olarak raporlar.
- Sahteciliği zorlaştırmak: Saldırganların doğrudan sizin alan adınızı Kimden adresinde kullanarak oltalama yapmasını engeller.
Ayrıca Google ve Yahoo gibi büyük sağlayıcılar, toplu gönderim yapan alan adları için SPF, DKIM ve DMARC kaydını zorunlu hâle getirmiştir. DMARC'siz bir alan adının iletileri spam klasörüne düşebilir veya reddedilebilir.
Başlamadan önce: ön koşullar
- Alan adınız adına e-posta gönderen tüm hizmetleri listeleyin: kurumsal e-posta (Google Workspace, Microsoft 365 vb.), bülten aracı, CRM, fatura sistemi, web sitesi iletişim formu.
- Her biri için SPF kaydına gerekli
includeifadelerini ekleyin. - Destekleyen her hizmette DKIM imzalamayı etkinleştirin ve ilgili DNS kayıtlarını yayımlayın.
Adım adım DMARC kaydı oluşturma
1. İzleme modunda ilk kayıt
DNS yönetim panelinizde yeni bir TXT kaydı oluşturun:
| Alan | Değer |
|---|---|
| Tür | TXT |
| Ad (host) | _dmarc |
| Değer | v=DMARC1; p=none; rua=mailto:[email protected] |
Buradaki ornek.com.tr bir örnektir; kendi alan adınızı yazın. Rapor adresi farklı bir alan adındaysa, o alan adının da raporları kabul ettiğini belirten bir doğrulama kaydı yayımlaması gerekir.
2. Etiketleri anlayın
| Etiket | Anlamı |
|---|---|
v=DMARC1 | Sürüm; kaydın ilk etiketi olmalıdır |
p= | Politika: none, quarantine veya reject |
rua= | Toplu (aggregate) raporların gönderileceği adres |
ruf= | Hata (forensic) raporları; birçok sağlayıcı göndermez |
sp= | Alt alan adları için politika |
pct= | Politikanın uygulanacağı ileti yüzdesi (varsayılan 100) |
adkim= / aspf= | DKIM ve SPF hizalama modu: r (esnek) veya s (katı) |
3. Raporları izleyin
En az iki ila dört hafta boyunca gelen raporları inceleyin. Raporlarda tanımadığınız ancak meşru olan bir gönderim kaynağı görürseniz SPF ve DKIM yapılandırmasına ekleyin. Tanımadığınız ve sizin olmayan kaynaklar, alan adınızı taklit etme girişimleri olabilir.
4. Kademeli olarak sıkılaştırın
v=DMARC1; p=quarantine; pct=25; rua=mailto:[email protected]
v=DMARC1; p=quarantine; rua=mailto:[email protected]
v=DMARC1; p=reject; rua=mailto:[email protected]pct değerini aşamalı olarak artırarak riskli bir geçişi kontrol altında tutabilirsiniz. Nihai hedef p=reject olmalıdır.
v=DMARC1; p=reject; kaydı ve v=spf1 -all SPF kaydı yayımlayın; böylece bu alan adları da sahtecilikte kullanılamaz.Sık yapılan hatalar
- Birden fazla DMARC kaydı yayımlamak: Aynı ad altında birden fazla DMARC TXT kaydı olursa alıcılar kaydı geçersiz sayar.
- Yanlış ad alanı: Kayıt kök alan adına değil,
_dmarcalt adına eklenmelidir. - Sonsuza kadar p=none'da kalmak: İzleme modu koruma sağlamaz; yalnızca geçiş aşamasıdır.
- Üçüncü taraf göndericileri unutmak: Bülten veya fatura sistemi DKIM ile imzalamıyorsa
rejectsonrasında bu iletiler teslim edilmez. - Sözdizimi hataları: Etiketler noktalı virgülle ayrılır;
v=DMARC1her zaman ilk sırada yer almalıdır.
Nasıl doğrularım?
Kaydı yayımladıktan sonra DNS yayılımı için kısa bir süre bekleyin ve DMARC kontrol aracımızla kaydın doğru okunduğunu doğrulayın. SPF ve DKIM tarafını SPF kontrol ve DKIM kontrol araçlarıyla, tüm tabloyu ise e-posta güvenlik testi ile görebilirsiniz. Ayrıca Gmail'de bir iletinin "Orijinali göster" ekranında SPF, DKIM ve DMARC sonuçlarının PASS olduğunu kontrol edin.
Sık sorulan sorular
DMARC kaydı olmadan e-posta gönderebilir miyim?
Teknik olarak evet, ancak alan adınız sahte e-postalara karşı korumasız kalır ve büyük e-posta sağlayıcıları toplu gönderimler için DMARC kaydını zorunlu tutmaktadır. Bu nedenle en azından p=none politikalı bir kayıtla başlamanız önerilir.
p=none politikası beni korur mu?
Hayır. p=none yalnızca izleme modudur; alıcı sunucuya başarısız iletiler için herhangi bir işlem yapmamasını söyler. Koruma, raporları inceledikten sonra quarantine veya reject politikasına geçtiğinizde başlar.
DMARC raporlarını nasıl okurum?
rua etiketiyle belirttiğiniz adrese alıcı sunucular günlük XML biçiminde toplu raporlar gönderir. Bu raporları elle okumak zordur; bir rapor ayrıştırma aracı veya hizmeti kullanarak hangi IP adreslerinin alan adınız adına gönderim yaptığını ve SPF/DKIM sonuçlarını görebilirsiniz.
Alt alan adları için ayrı DMARC kaydı gerekir mi?
Gerekmez. Ana alan adındaki kayıt alt alan adlarına da uygulanır; alt alan adları için farklı bir politika istiyorsanız sp etiketini kullanabilir veya ilgili alt alan adına ayrı bir _dmarc kaydı ekleyebilirsiniz.
Sık sorulan sorular
DMARC kaydı olmadan e-posta gönderebilir miyim?
Teknik olarak evet, ancak alan adınız sahte e-postalara karşı korumasız kalır ve büyük e-posta sağlayıcıları toplu gönderimler için DMARC kaydını zorunlu tutmaktadır. Bu nedenle en azından p=none politikalı bir kayıtla başlamanız önerilir.
p=none politikası beni korur mu?
Hayır. p=none yalnızca izleme modudur; alıcı sunucuya başarısız iletiler için herhangi bir işlem yapmamasını söyler. Koruma, raporları inceledikten sonra quarantine veya reject politikasına geçtiğinizde başlar.
DMARC raporlarını nasıl okurum?
rua etiketiyle belirttiğiniz adrese alıcı sunucular günlük XML biçiminde toplu raporlar gönderir. Bu raporları elle okumak zordur; bir rapor ayrıştırma aracı veya hizmeti kullanarak hangi IP adreslerinin alan adınız adına gönderim yaptığını ve SPF/DKIM sonuçlarını görebilirsiniz.
Alt alan adları için ayrı DMARC kaydı gerekir mi?
Gerekmez. Ana alan adındaki kayıt alt alan adlarına da uygulanır; alt alan adları için farklı bir politika istiyorsanız sp etiketini kullanabilir veya ilgili alt alan adına ayrı bir _dmarc kaydı ekleyebilirsiniz.
Kaynaklar
İlgili içerikler
DMARC Nedir? E-posta Sahteciliğine Karşı Nasıl Korur?
DMARC, SPF ve DKIM sonuçlarını iletideki Kimden (From) alan adıyla eşleştiren ve doğrulamadan geçemeyen iletilere ne ya…
SPF Kaydı Nedir? Sender Policy Framework Nasıl Çalışır?
SPF kaydı, bir alan adı adına e-posta göndermeye yetkili sunucuları listeleyen DNS TXT kaydıdır. Alıcı sunucu, iletiyi…
SPF Kaydı Nasıl Oluşturulur ve 10 DNS Sorgusu Sınırı Nasıl Aşılmaz?
SPF kaydı, alan adınız adına e-posta göndermeye yetkili sunucuları listeleyen tek bir TXT kaydıdır. Tüm gönderim hizmet…
Oltalama (Phishing) E-postası Nasıl Anlaşılır? Kontrol Listesi
Oltalama e-postası genellikle aciliyet yaratır, gönderen adresi veya bağlantı alan adı gerçek kurumla uyuşmaz ve sizden…