SPF, DKIM ve DMARC: E-postalarınız neden spam klasörüne düşüyor?

Teklifleriniz, faturalarınız ya da bültenleriniz spam klasörüne mi düşüyor? Sebep çoğu zaman metin değildir; alan adınızın üç ayarıdır: SPF, DKIM ve DMARC. Bu ayarlar, alıcı sunucuya e-postanın gerçekten sizden geldiğini gösterir. 2024'ten beri Gmail ve Yahoo bunların doğru olmasını şart koşuyor, 2025'ten beri de Microsoft aynısını Outlook ve Hotmail adresleri için istiyor.

Sizden e-posta alan her sunucu üç kontrol yapar. E-postanızın gelen kutusuna mı, spam klasörüne mi gideceğine, yoksa hiç ulaşmayacağına bu üç kontrol birlikte karar verir.

• SPF (Sender Policy Framework), alan adınızın DNS kayıtlarında, sizin adınıza e-posta gönderebilecek sunucuların listesidir. Muhasebe programınız ya da e-ticaret siteniz de sizin adresinizden e-posta gönderiyorsa, onun sunucusu da bu listede olmalıdır.
• DKIM (DomainKeys Identified Mail), her e-postaya atılan dijital bir imzadır. Alıcı, DNS'inizdeki bir anahtarla e-postanın gerçekten sizin alan adınızdan geldiğini ve yolda değiştirilmediğini kontrol eder.
• DMARC, bu ikisinin üstündeki kuraldır. SPF ya da DKIM kontrolünden geçemeyen e-postayla ne yapılacağını söyler: hiçbir şey, spam klasörüne taşıma ya da reddetme. Ayrıca sizin alan adınızla kimin e-posta gönderdiğine dair size raporlar yollar.

Gmail ve Yahoo her gönderenden en az SPF ya da DKIM, geçerli DNS kayıtları ve az sayıda spam şikâyeti (e-postalarınızın yüzde 0,3'ünden az) istiyor.

Günde 5.000'den fazla e-posta gönderenlerden daha fazlası isteniyor:

• hem SPF hem DKIM;
• bir DMARC kaydı (en az p=none) ve gönderen adresinizdeki alan adının SPF ya da DKIM'in alan adıyla eşleşmesi;
• bültenlerde ve diğer toplu e-postalarda tek tıkla abonelikten çıkma.

Microsoft da Mayıs 2025'ten beri Outlook.com, Hotmail ve Live adreslerine günde 5.000'den fazla e-posta gönderenlerden aynısını istiyor.

Daha az mı gönderiyorsunuz? O zaman en sıkı kurallar sizin için geçerli değil, ama e-posta sunucuları bu kontrollere yine de bakar. SPF, DKIM ve DMARC'si olmayan e-postalar daha kolay spam sayılır. DMARC yoksa herkes sizin alan adınızı gönderen olarak kullanıp e-posta atabilir; örneğin müşterilerinize sahte bir fatura.

1. İki SPF kaydı. Bir alan adının yalnızca bir SPF kaydı olabilir. İki tane varsa SPF geçersiz olur.
2. Unutulan bir gönderen. Bülten hizmetiniz, muhasebe programınız, e-ticaret siteniz ya da CRM'iniz sizin alan adınızla e-posta gönderir, ama SPF'de yer almaz ve DKIM imzası atmaz.
3. Fazla sorgu. Bir SPF kaydı başka kayıtlara en fazla on kez başvurabilir. Çok sayıda hizmet kullanıyorsanız bu sınır çabuk aşılır ve SPF başarısız olur.
4. DMARC'yi p=none'da bırakıp bir daha bakmamak. p=none ile sahte e-postalara hiçbir şey olmaz. Bu ayar bir başlangıçtır; önce rapor toplamak içindir.
5. Ziyaretçinin adresiyle gönderen bir iletişim formu. Sitenizdeki form, e-postayı ziyaretçinin adresini gönderen olarak yazıp yolluyorsa SPF ve DMARC kontrolünden geçemez. Doğrusu: kendi alan adınızdan gönderin ve ziyaretçinin adresini "Yanıtla" (Reply-To) alanına yazın.

• Internet.nl'nin e-posta testi. Internet.nl, internet topluluğunun ve Hollanda hükümetinin bir girişimidir ve her alan adıyla çalışır. E-posta adresinizi ya da alan adınızı girin; DMARC, DKIM ve SPF'nin düzgün olup olmadığını görürsünüz.
• Gmail. Bir Gmail adresine e-posta gönderin, açın ve "Orijinali göster"i seçin. SPF, DKIM ve DMARC'nin yanında "PASS" ya da "FAIL" yazar.
• Gönderenlerinizin listesi. Alan adınızla e-posta gönderen her şeyi yazın: e-posta sağlayıcınız (Microsoft 365 ya da Google Workspace gibi), bülteniniz, muhasebeniz, web siteniz ve CRM'iniz.

1. Alan adınızla e-posta gönderen her şeyi listeleyin.
2. Bu hizmetlerin hepsini içeren ve ~all ya da -all ile biten tek bir SPF kaydı oluşturun.
3. Her hizmette DKIM'i açın. Çoğu size DNS'e eklemeniz için bir anahtar ya da birkaç kayıt verir.
4. DMARC'ye p=none ile başlayın ve raporların size gönderilmesini sağlayın. Birkaç hafta izleyin, başarısız olanları düzeltin, sonra p=quarantine'e ve ardından p=reject'e geçin.

Kendiniz uğraşmak istemiyor musunuz? E-postanın yerine ulaşması hizmetimizde SPF, DKIM ve DMARC'yi sizin için kuruyor, raporları da takip ediyoruz.

Evet, tavsiye edilir. En sıkı şartlar büyük gönderenler için geçerli, ama her e-posta sunucusu bu kontrollere bakar. Ayrıca p=quarantine ya da p=reject ile kimse artık sizin alan adınızla rahatça e-posta gönderemez.

Hayır. Yalnızca e-postalarınızın ulaştığını fark ederler.

SPF ve DKIM de değişmelidir; yoksa geçişten sonra e-postalarınız spam'e düşer. Bu yüzden e-posta taşıma işlerinde bu kayıtları her zaman kontrol ediyoruz.

Evet. Microsoft 365'te DKIM'i her alan adı için ayrı açarsınız; SPF ve DMARC ise alan adınızın DNS'ine girilir. Henüz kendi alan adınızla kurumsal e-posta kullanmıyor musunuz? O zaman en baştan doğru kurmanın tam zamanı.