SPF, DKIM və DMARC Nədir? Spama Düşməmə Bələdçisi

Təklif göndərdiniz, müştəriniz "e-poçt gəlmədi" deyir. Bir az axtardıqda məktubun spam qovluğunda gözlədiyi ortaya çıxır. Bu ssenarinin ən yayğın səbəbi domen adınızın e-poçt kimlik doğrulama qeydlərinin əskik və ya xətalı olmasıdır. Alıcı serverlər hər gələn məktuba "bu e-poçt həqiqətən bu domen adından gəlirmi?" sualını verir və cavabı DNS-də axtarır. Bu cavabı verən üç əsas mexanizm SPF, DKIM və DMARC-dır.

Bu bələdçidə hər üç qeydin nə işə yaradığını, nümunə DNS TXT qeydləri ilə necə konfiqurasiya ediləcəyini, DMARC siyasətini təhlükəsiz şəkildə necə sərtləşdirəcəyinizi və quraşdırmadan sonra necə test edəcəyinizi addım-addım izah edirik.

Niyə bu qədər vacibdir?

E-poçt protokolu (SMTP) ilk layihələndirildikdə göndərənin kimliyini doğrulayan bir mexanizm ehtiva etmirdi. Hər kəs hər hansı bir ünvanı "From" sahəsinə yaza bilirdi. Fişinq (phishing) və saxta faktura hücumlarının böyük hissəsi bu boşluqdan istifadə edir. SPF, DKIM və DMARC bu boşluğu bağlamaq üçün hazırlanmış standartlardır.

2024-cü ildən bəri böyük e-poçt təminatçıları, xüsusən yüksək həcmli göndərənlərdən SPF, DKIM və DMARC qeydlərini məcburi olaraq axtarmağa başladı. Az sayıda e-poçt göndərən KOB-lar üçün də bu qeydlər artıq de-fakto standartdır: əskik olduqda məktublarınız spam olaraq işarələnə bilər, hətta tamamilə rədd edilə bilər.

SPF nədir və necə yazılır?

SPF (Sender Policy Framework) domen adınızın kök qeydinə əlavə edilən bir TXT qeydidir. Alıcı server məktubu göndərən IP ünvanının bu siyahıda olub-olmadığını nəzarət edir. Aşağıda öz mail serveri və bir e-poçt xidməti istifadə edən nümunə bir firmanın SPF qeydini görürsünüz. Nümunələrdəki ornekfirma.com.tr, IP ünvanları və include dəyəri nümayiş məqsədlidir; öz təminatçınızın panelində verilən dəyərləri istifadə edin.

ornekfirma.com.tr.   3600  IN  TXT  "v=spf1 mx ip4:203.0.113.25 include:_spf.saglayici.example ~all"

SPF mexanizmləri

SPF yazarkən diqqət edilməli məqamlar

• Tək qeyd qaydası: Bir domen adında yalnız bir SPF qeydi ola bilər. İki ayrı v=spf1 qeydi varsa, SPF nəzarəti "permerror" ilə nəticələnir. Yeni bir xidmət əlavə etdikdə mövcud qeydə include əlavə edin.
• 10 DNS sorğusu limiti: include, a, mx, exists və redirect hər biri DNS sorğusu sayılır və iç-içə include-lar da bu saya əlavə olunur. Ümumi 10-u keçərsə, SPF etibarsız olur.
• Bütün göndəriş mənbələrini sadalayın: Veb-saytınızın əlaqə forması, CRM, faktura sistemi və ya bülleten aləti sizin adınızdan e-poçt göndərirsə, hamısı SPF-də yer almalıdır.
• +all istifadə etməyin: Bu ifadə bütün dünyaya sizin adınızdan göndərmə icazəsi verir və SPF-i mənasız edir.

DKIM nədir və necə çalışır?

DKIM (DomainKeys Identified Mail) gedən hər e-poçta göndərən server tərəfindən xüsusi açarla rəqəmsal bir imzanın əlavə edilməsidir. İmza ilə üst-üstə düşən açıq açar DNS-də yayımlanır. Alıcı server məktubun başlığındakı DKIM-Signature sahəsindən seçicini (selector) və domen adını oxuyur, açıq açarı DNS-dən çəkir və imzanı doğrulayır. İmza etibarlıdırsa, məktub yolda dəyişdirilməyib və həqiqətən o domen adının səlahiyyətli serverindən çıxıb deməkdir.

Nümunə bir DKIM qeydi belə görünür (açar qısaldılmışdır):

mail2026._domainkey.ornekfirma.com.tr.  3600  IN  TXT  (
  "v=DKIM1; k=rsa; "
  "p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAu3X...qısaldıldı..."
  "...QIDAQAB" )

DKIM üçün praktiki tövsiyələr

• Açar uzunluğu: 2048 bit RSA açarı günümüzün tövsiyə olunan dəyəridir; 1024 bit artıq zəif qəbul edilir.
• 255 simvol limiti: DNS-də tək bir TXT sətri ən çox 255 simvol ola bilər. 2048 bit açarlar yuxarıdakı kimi birdən çox dırnaqlı hissəyə bölünür; əksər DNS panelləri bunu avtomatik edir.
• Seçici adı: mail2026 kimi tarix ehtiva edən seçicilər açar fırlanması (rotation) zamanı köhnə və yeni açarı eyni anda yayımlamağınızı asanlaşdırır.
• Hər göndəriş mənbəyi üçün ayrı imza: Bülleten alətiniz və ya CRM-iniz də sizin domen adınızla imzalamalıdır; əks halda DMARC uyğunluğu təmin edilə bilməz.

DKIM-in SPF-ə görə vacib bir üstünlüyü e-poçt yönləndirildikdə (forward) adətən pozulmamasıdır. SPF məktubu son təslim edən IP-ni nəzarət etdiyi üçün yönləndirmələrdə uğursuz ola bilər; DKIM imzası isə məktub məzmunu dəyişdirilmədiyi müddətcə etibarlı qalır.

DMARC nədir? Siyasət və hesabatlıq

DMARC (Domain-based Message Authentication, Reporting and Conformance) SPF və DKIM-i bir üst qatda birləşdirir. İki kritik funksiyası var:

1. Düzlənmə (alignment): SPF və ya DKIM-in keçməsi tək başına yetmir; doğrulanan domen adının istifadəçinin gördüyü "From" ünvanındakı domen adı ilə uyğun olması lazımdır. DMARC-ın keçməsi üçün SPF və ya DKIM-dən ən azı birinin həm keçməsi, həm də düzlənməsi lazımdır.
2. Siyasət və hesabat: Nəzarətdən keçə bilməyən məktublara nə ediləcəyini (none, quarantine, reject) bildirir və alıcı serverlərdən sizə toplu hesabatlar göndərilməsini təmin edir.

İlk mərhələ üçün tövsiyə olunan DMARC qeydi:

_dmarc.ornekfirma.com.tr.  3600  IN  TXT  "v=DMARC1; p=none; rua=mailto:[email protected]; fo=1"

DMARC etiketləri

Addım-addım təhlükəsiz DMARC keçid planı

Birbaşa p=reject ilə başlamaq unutduğunuz bir göndəriş mənbəyinin (məs. mühasibatlıq proqramı) bütün məktublarının rədd edilməsinə yol aça bilər. Buna görə mərhələli irəliləməyinizi tövsiyə edirik:

1. 1-2-ci həftə – İzləmə: p=none ilə başlayın və hesabatları toplayın. Hesabatlarda adınıza göndəriş edən bütün IP-ləri və xidmətləri müəyyən edin.
2. 3-4-cü həftə – Düzəliş: Hesabatlarda görünən qanuni mənbələri SPF-ə əlavə edin və DKIM imzalamalarını aktivləşdirin.
3. 5-6-cı həftə – Hissəvi karantin: p=quarantine; pct=25 ilə uğursuz məktubların bir hissəsini spam qovluğuna yönləndirin, ardından nisbəti mərhələli artırın.
4. 7-ci həftə və sonrası – Tam qoruma: Hesabatlarda qanuni uğursuzluq qalmadıqda p=reject-ə keçin.

; Ara mərhələ
_dmarc.ornekfirma.com.tr.  IN  TXT  "v=DMARC1; p=quarantine; pct=25; rua=mailto:[email protected]"

; Hədəf siyasəti
_dmarc.ornekfirma.com.tr.  IN  TXT  "v=DMARC1; p=reject; sp=reject; adkim=r; aspf=r; rua=mailto:[email protected]"

Quraşdırma yoxlama siyahısı

• MX qeydləri düzgün e-poçt serverini göstərir.
• Domen adında tək bir SPF qeydi var və bütün qanuni göndəriş mənbələrini ehtiva edir.
• SPF qeydi 10 DNS sorğusu limitinin altındadır.
• DKIM imzalaması aktivdir və açıq açar DNS-də yayımlanıb.
• DMARC qeydi _dmarc alt domenində yayımlanıb və hesabat ünvanı işləyir.
• Göndərən serverin tərs DNS (PTR) qeydi serverin əsas komputer adı ilə üst-üstə düşür.
• Veb formaları və tətbiqlər kimlik doğrulamalı SMTP ilə göndəriş edir.

Qeydləri necə test edirsiniz?

DNS dəyişikliklərinin yayılması TTL dəyərindən asılı olaraq bir neçə dəqiqədən bir neçə saatadək çəkə bilər. Ardından terminaldan qeydləri sorğulaya bilərsiniz:

# SPF
dig +short TXT ornekfirma.com.tr

# DKIM (seçici adını öz dəyərinizlə dəyişdirin)
dig +short TXT mail2026._domainkey.ornekfirma.com.tr

# DMARC
dig +short TXT _dmarc.ornekfirma.com.tr

# Windows istifadə edirsinizsə
nslookup -type=TXT _dmarc.ornekfirma.com.tr

Ən etibarlı test real bir e-poçt göndərməkdir. Özünüzə aid fərqli bir təminatçıdakı ünvana məktub göndərin və "orijinalı göstər" / "mənbəni görüntülə" seçimi ilə başlıqları açın. Authentication-Results sətrində bu üç nəticəni görməlisiniz:

Authentication-Results: mx.alici.example;
  spf=pass smtp.mailfrom=ornekfirma.com.tr;
  dkim=pass header.d=ornekfirma.com.tr;
  dmarc=pass header.from=ornekfirma.com.tr

Qeydlər düzgün olduğu halda spama düşürsə

SPF, DKIM və DMARC lazımdır, lakin tək başına kifayət deyildir. Qeydləriniz düzgündürsə və problem davam edirsə, bu məqamları nəzarət edin:

• IP nüfuzu: Göndərən IP qara siyahıda (RBL) ola bilər. Paylaşımlı bir serverdən göndəriş edirsinizsə, başqa bir istifadəçinin davranışı sizə təsir edə bilər.
• Məzmun: Yalnız şəkildən ibarət məktublar, qısaldılmış keçidlər və aqressiv satış ifadələri filtrləri tetikləyə bilər.
• Kütləvi göndəriş: Korporativ poçt qutusundan yüzlərlə alıcıya eyni anda göndəriş etmək nüfuzunuzu sürətlə aşağı salır. Kütləvi göndəriş üçün uyğun bir infrastruktur istifadə edin.
• Yeni domen adı: Yeni qeydiyyatdan keçmiş domen adlarının nüfuzu hələ formalaşmayıb; göndəriş həcmini mərhələli artırın.

Limitsiz Bulut korporativ e-poçt paketlərində gələn məktublar SPF, tərs DNS, RBL və öyrənən (Bayes) filtrlərdən keçirilir; gedən tərəfdə isə düzgün SPF, DKIM və DMARC qeydlərini yaratmağınız üçün dəstək komandamız kömək edir. Kütləvi göndəriş ehtiyacınız varsa, Korporativ Mail Server paketlərinə nəzər sala bilərsiniz.

İrəli səviyyə: MTA-STS və BIMI

Əsas üçlünü qurduqdan sonra iki əlavə standart qiymətləndirilə bilər. MTA-STS serverlər arası e-poçt ötürülməsində TLS şifrələməsini məcburi edir; siyasət faylı HTTPS üzərindən yayımlandığı üçün alt domen adınızda etibarlı bir sertifikat lazımdır (məs. DV SSL). BIMI isə DMARC siyasəti quarantine və ya reject olan domen adlarının dəstəkləyən e-poçt müştərilərində brend loqosunu göstərməsini təmin edir.

Nəticə

SPF, DKIM və DMARC e-poçtlarınızın alıcıya çatmasını təmin edən və domen adınızı saxtakarlıqdan qoruyan əsas təhlükəsizlik qatlarıdır. Quraşdırmaları bir neçə DNS qeydindən ibarətdir, lakin düzgün ardıcıllıqla və test edərək edilməlidirlər. Hələ bir domen adınız yoxdursa, domen sorğulama ilə başlaya bilər, korporativ e-poçtun əsaslarını Korporativ e-poçt nədir? yazımızda, paket seçimlərini isə Korporativ e-poçt qiymətləri 2026 bələdçimizdə nəzərdən keçirə bilərsiniz.