SPF, DKIM ve DMARC: E-posta Kimlik Doğrulama Rehberi

E-posta sahtecilik (spoofing) ve phishing saldırılarına karşı SPF, DKIM ve DMARC üçlüsü, modern e-posta güvenliğinin temelini oluşturur.

E-posta Kimlik Doğrulama Neden Önemli?

Sorun: Herkes "from: ceo@buyukweb.com" adresiyle e-posta gönderebilir
Çözüm: SPF + DKIM + DMARC ile gönderici doğrulama

Olmadan:
❌ E-postalar spam'e düşer
❌ Kötü aktörler şirket adına e-posta gönderebilir
❌ Brand reputation zarar görür

Olduğunda:
✓ E-postalar güvenilir gönderim kanallarından gönderilir
✓ Doğrulanmış gönderenler spam filtresini daha kolay geçer
✓ DMARC raporları ile kimlik hırsızlığını takip edin

SPF (Sender Policy Framework)

SPF, hangi mail sunucularının alan adınız adına e-posta gönderebileceğini belirtir.

SPF Sözdizimi

# Temel format
v=spf1 [mekanizmalar] [yeterlik]

# Mekanizmalar:
ip4:195.85.100.50       → Belirli IPv4 adresi
ip4:195.85.100.0/24     → IPv4 alt ağı
ip6:2001:db8::1         → IPv6 adresi
a:buyukweb.com          → Alan adının A kaydı
mx:buyukweb.com         → Alan adının MX kayıtları
include:spf.google.com  → Başka alan adının SPF'ini dahil et
all                     → Geri kalan her şey

# Yeterlik:
+all    → Hepsini kabul et (tehlikeli, kullanma!)
~all    → Başarısız olanları "yumuşak" işaretle (SoftFail)
-all    → Başarısız olanları reddet (HardFail)
?all    → Nötr

SPF Örnekleri

# Basit: Sadece kendi sunucu
v=spf1 ip4:195.85.100.50 -all

# Google Workspace kullananlar
v=spf1 include:_spf.google.com ~all

# Hem kendi sunucu hem Google
v=spf1 ip4:195.85.100.50 include:_spf.google.com ~all

# SendGrid ile
v=spf1 include:sendgrid.net ~all

# Çoklu servis
v=spf1 ip4:195.85.100.50 include:_spf.google.com include:sendgrid.net include:mailchimp.com ~all

# DNS TXT kaydı olarak ekle:
buyukweb.com. IN TXT "v=spf1 ip4:195.85.100.50 ~all"

SPF Sınırlamaları

- Maksimum 10 DNS sorgusu (include, a, mx sayılır)
- SPF yönlendirme (forward) senaryolarında çalışmaz
- "From" başlığını değil "envelope from"u doğrular
→ Bu nedenle DKIM ve DMARC de gereklidir

DKIM (DomainKeys Identified Mail)

DKIM, e-postaya dijital imza ekler. Alıcı sunucu imzayı DNS'teki ortak anahtarla doğrular.

DKIM Anahtar Çifti Oluşturma

# OpenSSL ile 2048-bit RSA anahtar çifti
openssl genrsa -out dkim_private.key 2048
openssl rsa -in dkim_private.key -pubout -out dkim_public.key

# Base64 kodlu ortak anahtar
openssl rsa -in dkim_private.key -pubout | grep -v "PUBLIC KEY" | tr -d '
'

DKIM DNS Kaydı

# Format: selector._domainkey.alan_adi. IN TXT "v=DKIM1; k=rsa; p=ORTAK_ANAHTAR"
# selector: Keyid (ör: mail, default, 2026)

mail._domainkey.buyukweb.com. IN TXT (
  "v=DKIM1; k=rsa; p="
  "MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA"
  "... ortak anahtar devamı ..."
)

# Doğrulama
dig TXT mail._domainkey.buyukweb.com

Postfix/Dovecot ile OpenDKIM

# OpenDKIM kurulumu
apt install opendkim opendkim-tools -y

# /etc/opendkim.conf
Domain                  buyukweb.com
KeyFile                 /etc/opendkim/keys/buyukweb.com/mail.private
Selector                mail
Socket                  inet:8891@localhost
UserID                  opendkim
UMask                   022
Syslog                  yes
LogWhy                  yes
Canonicalization        relaxed/simple
Mode                    sv
SubDomains              No
AutoRestart             yes
AutoRestartRate         10/1M

# Anahtar dizini oluştur
mkdir -p /etc/opendkim/keys/buyukweb.com
opendkim-genkey -b 2048 -d buyukweb.com -D /etc/opendkim/keys/buyukweb.com -s mail -v

# Postfix entegrasyonu
# /etc/postfix/main.cf
milter_default_action = accept
milter_protocol = 6
smtpd_milters = inet:localhost:8891
non_smtpd_milters = inet:localhost:8891

systemctl enable opendkim
systemctl restart opendkim postfix

DMARC (Domain-based Message Authentication)

DMARC, SPF ve DKIM doğrulama sonuçlarına göre ne yapılacağını belirtir ve raporlama sağlar.

DMARC Politikaları

# Format: _dmarc.alan_adi. IN TXT "v=DMARC1; p=POLİTİKA; ..."

Politikalar:
p=none       → Sadece izle, işlem yapma (başlangıç için)
p=quarantine → Başarısız olanları spam'e gönder
p=reject     → Başarısız olanları reddet (en güçlü)

# Aşamalı uygulama (önerilen):
Ay 1: p=none   → Raporları incele
Ay 2: p=quarantine; pct=25  → %25'ine uygula
Ay 3: p=quarantine; pct=100 → Tümüne uygula
Ay 4: p=reject → Reddet

DMARC DNS Kaydı

# Temel DMARC kaydı
_dmarc.buyukweb.com. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@buyukweb.com"

# Tam özellikli
_dmarc.buyukweb.com. IN TXT (
  "v=DMARC1;"
  " p=quarantine;"       # Politika
  " sp=none;"           # Alt alan adı politikası
  " pct=100;"           # Uygulanacak yüzde
  " adkim=r;"           # DKIM hizalaması (r=relaxed, s=strict)
  " aspf=r;"            # SPF hizalaması
  " rua=mailto:dmarc-rua@buyukweb.com;"  # Agrega rapor adresi
  " ruf=mailto:dmarc-ruf@buyukweb.com;"  # Adli rapor adresi
  " fo=1"               # Rapor kriterleri (1=hata olduğunda)
)

Doğrulama ve Test

# SPF testi
dig TXT buyukweb.com | grep spf
# Online test: mail-tester.com, mxtoolbox.com/spf

# DKIM testi
dig TXT mail._domainkey.buyukweb.com
# Test e-postası: check-auth2@verifier.port25.com adresine e-posta gönder

# DMARC testi
dig TXT _dmarc.buyukweb.com
# Online test: dmarcian.com, dmarc.postmarkapp.com

# Genel e-posta doğrulama
# mail-tester.com → e-posta gönder, puan al
# mxtoolbox.com → kapsamlı e-posta kontrolleri

# E-posta başlıklarını kontrol et
# Gmail: e-postayı aç → "..." → "Orijinali göster"
# "Authentication-Results:" satırına bak:
# spf=pass dkim=pass dmarc=pass

Sonuç

SPF, DKIM ve DMARC birlikte e-posta güvenlik zırhı oluşturur. Google ve Yahoo, 2026'ten itibaren toplu e-posta göndericileri için bu kayıtları zorunlu kılmıştır. Buyukweb mail hosting hizmetimizle bu kayıtlar kolayca yönetilebilir.

---

Domain ve DNS Yonetimi

Domain Secimi

Kisa, akilda kalici domain secin. .com en guclu. .com.tr yerel SEO avantaji. Benzer domainleri de alin.

DNS Kayit Tipleri

A: IPv4 yonlendirme. AAAA: IPv6. CNAME: Alias. MX: E-posta sunucusu. TXT: SPF/DKIM/DMARC. NS: Yetkili DNS. SRV: Servis kesfetme. CAA: SSL kisitlama.

DNSSEC

DNS spoofing koruması. Dijital imza ile orijinallik dogrulama.

DNS Gecisi

TTL dusurme, kayitlari guncelleme, 24-48 saat propagasyon. Her iki sunucu gecis sirasinda aktif.

Subdomain

blog., shop., api. ile hizmetleri ayirin. Wildcard DNS ile toplu yonlendirme.

Domain Guvenligi

Transfer kilidi aktif tutun. Whois gizliligi kullanin. Kayit yenilemeyi otomatiklestirin.

Sik Sorulan Sorular

Transfer nasil yapilir?

EPP kodu alin, kilidi acin, transfer baslatin, onaylayin. 5-7 gun surer.

Whois gizliligi neden onemli?

Kisisel bilgilerinizi spam ve dolandiriciliga karsi korur.

Sonuc

Domain ve DNS dijital varliginizin temelidir. Dogru yapilandirma ile tum hizmetleriniz sorunsuz calisir.

DNS Propagasyon Sureci

TTL Nasil Calisir?

Her DNS kaydi bir TTL degerine sahiptir. TTL 86400 ise degisiklik 24 saate kadar eski degerle gosterilir.

Hizli Propagasyon

1. 24-48 saat once TTL'i 300'e dusurrun
2. Degisikligi yapin
3. Propagasyon sonrasi TTL'i normale cekin

Kontrol

whatsmydns.net ile propagasyon durumunu kontrol edin.

Domain Uzanti Rehberi

Uzanti	Kullanim	Avantaj
.com	Global	En guvenilir
.com.tr	Turkiye	Yerel SEO
.net	Teknoloji	Alternatif
.org	Kuruluslar	Non-profit
.io	Startup	Modern
.dev	Gelistirici	HTTPS zorunlu
.store	E-ticaret	Magaza icin

Ucretsiz DNS Saglayicilari

• Cloudflare DNS: Hizli, guvenli, ucretsiz CDN
• Google Cloud DNS: Guvenilir
• Hurricane Electric: IPv6 destegi mukemmel

Hosting ve Sunucu Terimleri Sozlugu

Terim	Aciklama
VDS	Virtual Dedicated Server - Sanal ozel sunucu
NVMe SSD	Non-Volatile Memory Express - En hizli disk teknolojisi
LiteSpeed	Yuksek performansli web sunucu yazilimi
CloudLinux	Paylasimli hosting icin kaynak izolasyon isletim sistemi
cPanel	Populer web hosting kontrol paneli
Plesk	Web hosting ve sunucu yonetim paneli
KVM	Kernel-based Virtual Machine - Tam sanallastirma teknolojisi
DDoS	Distributed Denial of Service - Dagitik hizmet engelleme saldirisi
SSL/TLS	Veri iletisimini sifreleyen guvenlik protokolu
TTFB	Time to First Byte - Sunucu yanit suresi
CDN	Content Delivery Network - Icerik dagitim agi
WAF	Web Application Firewall - Web uygulama guvenligi duvari
IOPS	Input/Output Operations Per Second - Disk performans olcusu
Uptime	Sunucunun kesintisiz calisma suresi yuzdesi
Bandwidth	Veri transfer kapasitesi

Bu terimleri anlamak, hosting ve sunucu hizmetlerini daha bilinçli secmenize yardimci olur. Detayli bilgi icin Buyukweb blog yazilarini takip edin veya teknik destek ekibimize danisIn.