SPF, DKIM ve DMARC Nedir, Nasıl Kurulur? E-Postada 10/10 Test Puanı
E-postalarınızın spam klasörüne düşmemesi için gereken üç DNS kaydını adım adım kuruyoruz: SPF, DKIM ve DMARC'ın ne yaptığı, Google Workspace ve bülten servisleriyle kurulumu, DMARC politikalarını kademeli sıkılaştırma ve 10/10 test puanının gerçek anlamı.
E-postanız ne kadar iyi yazılmış olursa olsun, alıcının sunucusu önce tek bir soruya cevap arar: Bu ileti gerçekten göründüğü yerden mi geliyor? Bu sorunun cevabını üç DNS kaydı verir: SPF, DKIM ve DMARC. Eksik ya da hatalı olduklarında en özenli bülteniniz bile spam klasörüne düşebilir.
İngilizce kaynak derste bu konu "biraz sıkıcı ama bir kez yapılır, sonra biter" diye anlatılıyor. Ders, kayıtları kurduktan sonra ücretsiz test araçlarıyla 10 üzerinden 10 puan almayı hedefliyor. Biz de aynı hedefi koyuyoruz, ama her kaydın ne işe yaradığını ve derste atlanan önemli ayrıntıları da ekliyoruz.
Bu rehberde SPF, DKIM ve DMARC kayıtlarının ne olduğunu, Google Workspace örneğiyle nasıl kurulduğunu, bülten servislerinin bu kayıtlarla nasıl çalıştığını ve kurulumu hangi araçlarla test edeceğinizi adım adım anlatıyoruz.
Bu yazı, İnternetten Para Kazanma ve E-Posta Pazarlaması Rehberi serimizin yedinci bölümüdür. Bir önceki bölümde alan adıyla e-posta hesabı açmayı ve gönderim altyapısının temelini anlatmıştık.
Kısaca:
- SPF, alan adınız adına hangi sunucuların e-posta gönderebileceğini; DKIM, iletinin yolda değişmediğini; DMARC ise bu kontrolleri geçemeyen iletilere ne yapılacağını söyler.
- Gmail, her gönderenden en az SPF ya da DKIM; günde 5.000'den fazla ileti gönderenlerden üçünü birden ister.
- Bir alan adında yalnızca bir SPF kaydı olmalıdır. Birden fazla servis kullanıyorsanız hepsini aynı kayda ekleyin.
- DMARC'a "none" politikasıyla ve rapor adresiyle başlayın; raporlar temiz çıktıktan sonra "quarantine" ve "reject" politikasına geçin.
- Test araçlarında 10/10 almak ayarların doğru olduğunu gösterir; gelen kutusuna ulaşmayı tek başına garanti etmez.
Bu rehberde neler var?
- SPF, DKIM ve DMARC neden gerekli?
- SPF kaydı nasıl kurulur?
- DKIM nasıl kurulur?
- DMARC nasıl kurulur?
- Kurulum nasıl test edilir? 10/10 puan
- Örnek DNS tablosu
- Sık yapılan hatalar
- Sonuç ve serinin sonraki bölümü
SPF, DKIM ve DMARC neden gerekli?
E-posta ilk tasarlandığında gönderenin kimliğini doğrulayan bir yöntem yoktu; isteyen herkes başka birinin adresinden ileti gönderebiliyordu. Bu üç kayıt, bu açığı kapatmak için geliştirildi. Bir benzetmeyle anlatalım:
- SPF, kapıdaki yetkili postacı listesidir: Alan adınız adına yalnızca listedeki sunucular e-posta gönderebilir.
- DKIM, zarfın üzerindeki mühürdür: İletinin sizin tarafınızdan gönderildiğini ve yolda değiştirilmediğini kanıtlar.
- DMARC, kapıdaki görevliye verilen talimattır: Listede olmayan ya da mührü bozuk bir ileti gelirse ne yapılacağını söyler ve size rapor gönderir.
Google'ın gönderen yönergelerine göre her gönderen en az SPF ya da DKIM kullanmalı; Gmail hesaplarına günde 5.000 ve üzeri ileti gönderenler ise SPF, DKIM ve DMARC'ın üçünü birden kurmalıdır. Gönderim hacminiz küçük olsa bile üçünü kurmak, e-postalarınızın güvenilir görünmesini sağlar.
| Kayıt | Ne yapar? | DNS'teki yeri | Örnek değer |
|---|---|---|---|
| SPF | Yetkili gönderen sunucuları listeler | Alan adının kendisi (@), TXT | v=spf1 include:_spf.google.com ~all |
| DKIM | İletiyi dijital olarak imzalar | önek._domainkey, TXT ya da CNAME | v=DKIM1; k=rsa; p=... (sağlayıcı üretir) |
| DMARC | Politika belirler ve rapor ister | _dmarc, TXT | v=DMARC1; p=none; rua=mailto:dmarc@alanadiniz.com |
SPF kaydı nasıl kurulur?
SPF kaydı, alan adınızın DNS ayarlarına eklenen bir TXT kaydıdır. Google Workspace'in SPF rehberine göre yalnızca Google Workspace ile e-posta gönderiyorsanız kayıt şöyledir:
v=spf1 include:_spf.google.com ~all
Kayıttaki "include" bölümü yetkili gönderen sunucuları gösterir. Sondaki "~all" ise listede olmayan sunuculardan gelen iletilerin şüpheli sayılmasını söyler; Google bu ayarı öneriyor. Daha katı olan "-all", listede olmayan iletilerin doğrudan reddedilmesini ister.
Birden fazla servis kullanıyorsanız
Kurumsal e-postanız Google Workspace'te, bülteniniz ayrı bir serviste, faturalarınız da muhasebe yazılımından gidiyor olabilir. Bu durumda yeni bir SPF kaydı eklemezsiniz; mevcut kaydı genişletirsiniz. Google'ın örneklerinden biri, Google Workspace ile Mailchimp'i birlikte kullananlar içindir:
v=spf1 include:_spf.google.com include:servers.mcsv.net ~all
İki kurala dikkat edin:
- Bir alan adında yalnızca bir SPF kaydı olmalıdır. İki ayrı "v=spf1" kaydı olduğunda alıcı sunucular SPF'yi geçersiz sayar.
- SPF en fazla 10 DNS sorgusuna izin verir. Her "include" ek sorgu doğurur; çok fazla servis eklediğinizde kayıt sınırı aşabilir ve SPF hata verir.
Bazı bülten servisleri, geri dönen e-postaları kendi alan adları üzerinden yönettiği için SPF kontrolünü kendi alanlarında yapar. Bu durumda DMARC'ı DKIM imzanızla geçersiniz. Servisinizin alan adı doğrulama ekranındaki talimatları izleyin.
DKIM nasıl kurulur?
DKIM, bir anahtar çiftiyle çalışır. Gizli anahtar sağlayıcınızın sunucusunda kalır ve giden her iletiyi imzalar. Herkese açık anahtar ise DNS'inizde yayımlanır; alıcı sunucular imzayı bu anahtarla kontrol eder.
Google Workspace'te DKIM
Google'ın DKIM rehberine göre adımlar şöyledir:
- Yönetici Konsolu'nda e-posta kimlik doğrulaması ayarlarına gidin ve alan adınızı seçin.
- Anahtar uzunluğunu seçin: Alan adı sağlayıcınız destekliyorsa 2048 bit, desteklemiyorsa 1024 bit.
- Oluşturulan TXT kaydının adını (önek seçici ve "._domainkey") ve "v=DKIM1; k=rsa; p=..." biçimindeki değerini kopyalayın.
- Bu kaydı alan adınızın DNS ayarlarına ekleyin.
- Kayıt yayıldıktan sonra Yönetici Konsolu'na dönüp DKIM imzalamayı başlatın.
Bülten servisinde DKIM
MailerLite, Brevo ya da Mailchimp'te gönderen alan adınızı eklediğinizde servis size kendi DKIM kayıtlarını verir; bunlar çoğu zaman CNAME kaydıdır. Bu kayıtları da eklediğinizde bültenleriniz kendi alan adınız adına imzalanır. Bir alan adında farklı önek seçicilerle birden fazla DKIM kaydı bulunabilir; SPF'deki tek kayıt kuralı DKIM için geçerli değildir.
Hangi önek seçicinin kullanıldığını görmek için kendinize bir test e-postası gönderin ve ileti kaynağındaki "DKIM-Signature" satırında "s=" değerine bakın.
DMARC nasıl kurulur?
DMARC kaydı, "_dmarc" adıyla eklenen bir TXT kaydıdır. En basit başlangıç kaydı şöyledir:
v=DMARC1; p=none; rua=mailto:dmarc@alanadiniz.com
- p (politika): "none" hiçbir işlem yapmaz ve yalnızca rapor ister. "quarantine" doğrulamayı geçemeyen iletileri spam klasörüne gönderir. "reject" bu iletilerin reddedilmesini ister.
- rua: Günlük toplu raporların gönderileceği adres. Google, bu etiketi her zaman eklemenizi öneriyor.
- pct: Politikanın iletilerin yüzde kaçına uygulanacağını belirtir; politikayı kademeli sıkılaştırırken işe yarar.
Derste atlanan ayrıntı: raporlar
Derste DMARC kaydı bir kayıt oluşturucuyla "none" politikasıyla hazırlanıyor ve rapor kısmı önemsenmiyor. Oysa DMARC'ın asıl değeri raporlardadır: Alan adınız adına hangi sunucuların e-posta gönderdiğini, hangilerinin doğrulamayı geçemediğini ve alan adınızı taklit etmeye çalışan biri olup olmadığını bu raporlardan öğrenirsiniz. Raporlar XML biçiminde gelir; MxToolbox ve mail-tester gibi sitelerin rapor okuma araçlarıyla anlaşılır hale getirebilirsiniz.
Politikayı kademeli sıkılaştırın
| Aşama | Kayıt | Ne zaman geçilir? |
|---|---|---|
| 1. İzleme | p=none ve rua | Kurulumdan hemen sonra |
| 2. Kısmi karantina | p=quarantine; pct=25 | Raporlarda bütün meşru gönderim kaynakları doğrulamayı geçiyorsa |
| 3. Tam karantina | p=quarantine | Kısmi aşamada sorun çıkmadıysa |
| 4. Ret | p=reject | Uzun süre sorunsuz çalıştıysa ve alan adınızı taklide karşı tam korumak istiyorsanız |
Kısa not: "reject" politikasına geçmeden önce alan adınız adına e-posta gönderen her şeyi listeleyin: kurumsal e-posta, bülten servisi, muhasebe ve fatura yazılımı, web sitesinin form bildirimleri, CRM. Bunlardan biri doğrulamayı geçemiyorsa meşru e-postalarınız da reddedilir.
SPF, DKIM ve DMARC kayıtlarınızı biz kuralım
Alan adınıza özel e-posta adresleri, doğru kurulmuş SPF, DKIM ve DMARC kayıtları, cihaz kurulumu ve eski postaların taşınması. E-postalarınız gelen kutusuna ulaşsın.
Kurulum nasıl test edilir? 10/10 puanın anlamı
Kayıtları ekledikten sonra birkaç ücretsiz araçla her şeyin doğru çalıştığını kontrol edin. DNS değişikliklerinin her yere yayılması 48 saate kadar sürebilir; test başarısız olursa bir süre sonra tekrar deneyin.
- AppMailDev DKIM testi: Size bir test adresi verir; o adrese e-posta gönderdiğinizde SPF, DKIM, DMARC, ters DNS ve kara liste sonuçlarını içeren bir rapor oluşturur.
- MxToolbox: Alan adınızın SPF, DKIM ve DMARC kayıtlarını sorgular, sunucunuzun kara listelerde olup olmadığını kontrol eder. Derste kullanılan DMARC kayıt oluşturucu da bu sitededir.
- mail-tester: Size bir adres verir; o adrese gerçek bir e-postanızı gönderdiğinizde ayarlarınızı ve içeriğinizi 10 üzerinden puanlar. Türkçe arayüzü de var.
- Gmail'de "Orijinali göster": Kendi Gmail adresinize gönderdiğiniz iletide SPF, DKIM ve DMARC satırlarında "PASS" görmelisiniz.
- Google Postmaster Tools: Gmail'e düzenli gönderim yapıyorsanız alan adınızın spam şikayeti oranını buradan izleyebilirsiniz.
10/10 ne anlama gelir, ne anlama gelmez?
Derste mail-tester'da 10/10 alınıyor ve içerikle ilgili uyarılar "önemli değil" diye geçiliyor. 10/10, teknik ayarlarınızın doğru olduğunu gösterir; ama e-postanızın gelen kutusuna ulaşacağını garanti etmez. Sağlayıcılar teslim kararını verirken listenizin kalitesine, abonelerin e-postalarınızla etkileşimine ve şikayet oranına da bakar. İçerik uyarılarını da ciddiye alın: kırık bağlantılar, yalnızca görselden oluşan e-postalar ve abartılı satış dili puanınızı düşürür.
Örnek DNS tablosu
Google Workspace ile kurumsal e-posta kullanan, bültenini ayrı bir e-posta pazarlama servisiyle gönderen ornekmarka.com için kayıtlar kabaca şöyle görünür:
| Tür | Ad | Değer | Amaç |
|---|---|---|---|
| MX | @ | Google Workspace'in verdiği MX değeri | Gelen e-posta |
| TXT | @ | v=spf1 include:_spf.google.com include:(bülten servisinin değeri) ~all | SPF |
| TXT | google._domainkey | v=DKIM1; k=rsa; p=(Yönetici Konsolu'ndan) | Workspace DKIM |
| CNAME | Servisin verdiği ad | Servisin verdiği değer | Bülten DKIM |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@ornekmarka.com | DMARC |
Değerleri her zaman kendi sağlayıcınızın panelinden kopyalayın; buradaki tablo yalnızca düzeni göstermek içindir.
Temsili bir örnek: Faturalar neden kayboldu?
Bu hikaye yöntemi göstermek için kurgulanmıştır; isim ve rakamlar örnektir.
Derya, küçük bir kozmetik markasının e-postalarını yönetiyordu. Kurumsal e-posta ve bülten için SPF ile DKIM'i kurdu, test aracında 10/10 aldı ve DMARC politikasını doğrudan "reject" yaptı.
İki gün sonra müşterilerden "fatura gelmedi" mesajları başladı. Faturalar, muhasebe yazılımı tarafından marka adına gönderiliyordu ve bu yazılım ne SPF kaydında ne de DKIM ayarlarında vardı. Yeni politika, bu meşru e-postaların reddedilmesine neden oldu.
Derya politikayı "none" seviyesine geri aldı ve rapor adresini ekledi. Raporlarda muhasebe yazılımını gördü, yazılımın kendi DKIM kaydını ekledi ve SPF kaydını güncelledi. Bir ay boyunca raporlar temiz çıkınca önce "quarantine", ardından yeniden "reject" politikasına geçti; bu kez hiçbir fatura kaybolmadı.
Sık yapılan hatalar
- Her yeni servis için ayrı bir SPF kaydı eklemek
- SPF kaydına çok fazla "include" ekleyip 10 sorgu sınırını aşmak
- DKIM kaydını DNS'e ekleyip sağlayıcı panelinde imzalamayı başlatmayı unutmak
- DMARC'ı rapor adresi olmadan kurmak
- Bütün gönderim kaynaklarını kontrol etmeden "reject" politikasına geçmek
- 10/10 puanı aldıktan sonra içerik uyarılarını görmezden gelmek
İlgili sayfalar ve bağlantılar
Sonuç: Üç kayıt, bir kez doğru kurulum
SPF yetkili sunucuları, DKIM iletinin bütünlüğünü, DMARC ise kurallara uymayan iletilere ne yapılacağını belirler. Üçünü doğru kurduğunuzda alan adınız taklitçilere karşı korunur ve e-postalarınızın gelen kutusuna ulaşma ihtimali artar. Tek SPF kaydı kuralını unutmayın, DKIM'i her gönderim servisi için ayrı ayrı kurun ve DMARC'ı raporları okuyarak kademeli sıkılaştırın.
Serinin sekizinci bölümünde neler var?
Teknik altyapı hazır olduğunda sıra, yeni alan adınızın itibarını kademeli olarak kazanmaya gelir. Bir sonraki bölümde e-posta ısıtma (warm-up) sürecini, gönderim hacmini nasıl artıracağınızı ve derste anlatılan bazı kısa yolların neden işe yaramadığını anlatacağız. Diğer yazılarımız için TurkWebsite blogunu takip edebilirsiniz.
Serinin sonraki bölümü: 8. bölüm: E-Posta Isıtma (Warm-Up) Nedir?
Siteniz, e-postanız ve DNS ayarlarınız tek elden
Web sitenizi, kurumsal e-postanızı ve DNS kayıtlarınızı birlikte kuralım. TurkWebsite ile ekonomik web tasarım yaptırın; siteniz bizim sunucumuzda kaldığı sürece hosting ücreti ödemezsiniz. Alan adı sizin adınıza kaydedilir, ücreti size aittir.
Not: Sağlayıcıların ekranları ve önerileri zamanla değişebilir; kayıtları eklerken her zaman sağlayıcınızın güncel talimatlarını izleyin. Son güncelleme: 3 Kasım 2026.
