SPF, DKIM ve DMARC nedir? Yöneticiler için e-posta kimlik doğrulama rehberi
SPF, DKIM ve DMARC, bir alan adı adına gönderilen maillerin gerçekten o alan adının sahibinden geldiğini doğrulayan üç DNS kaydıdır. SPF yetkili sunucuları, DKIM mailin değiştirilmediğini, DMARC ise kontrolü geçemeyen maile ne yapılacağını belirler. Üçü birlikte kurulduğunda alan adınızın taklit edilmesi zorlaşır.
SPF nedir ve ne işe yarar?
SPF (Sender Policy Framework), alan adınız adına hangi sunucuların mail gönderebileceğini ilan eden bir DNS TXT kaydıdır. Alıcı sunucu, gelen mailin hangi IP adresinden geldiğine bakar ve bu adresin SPF kaydınızda yetkili olup olmadığını kontrol eder.
SPF'in sınırı şudur: yalnızca teslim zincirindeki gönderen sunucuyu doğrular; kullanıcının ekranda gördüğü "Kimden" adresini tek başına korumaz. Ayrıca mail bir yönlendirme hizmetinden geçtiğinde SPF kontrolü bozulabilir. Bu yüzden SPF tek başına yeterli değildir.
DKIM nedir ve ne işe yarar?
DKIM (DomainKeys Identified Mail), giden her maile gönderen sunucunun eklediği dijital bir imzadır. İmzanın doğrulama anahtarı alan adınızın DNS'inde bir TXT kaydı olarak yayınlanır. Alıcı sunucu imzayı bu anahtarla doğrular; imza geçerliyse mailin yolda değiştirilmediği ve imzalayan alan adına ait olduğu anlaşılır.
DKIM, yönlendirmelerde SPF'e göre daha dayanıklıdır; çünkü imza mailin içeriğiyle birlikte taşınır. Anahtarın düzenli olarak yenilenmesi ve eski anahtarın DNS'ten kaldırılması iyi bir uygulamadır.
DMARC nedir, SPF ve DKIM ile nasıl birlikte çalışır?
DMARC (Domain-based Message Authentication, Reporting and Conformance), SPF ve DKIM sonuçlarını kullanıcının gördüğü "Kimden" alan adıyla ilişkilendirir. Bir mailin DMARC'tan geçmesi için SPF ya da DKIM kontrollerinden en az birinin geçmesi ve geçen kontrolün alan adının "Kimden" alan adıyla hizalı olması gerekir.
DMARC kaydı iki iş daha yapar. Birincisi, kontrolden geçemeyen maile alıcı sunucunun ne yapacağını söyler: p=none (yalnızca izle), p=quarantine (istenmeyen klasörüne al) ya da p=reject (reddet). İkincisi, alıcı sunuculardan toplu raporlar ister; bu raporlar sizin adınıza kimin mail göndermeye çalıştığını gösterir.
DMARC politikası adım adım nasıl sıkılaştırılır?
- Envanter çıkarın. Alan adınız adına mail gönderen tüm servisleri listeleyin: kurumsal e-posta, toplu gönderim aracı, muhasebe yazılımı, destek sistemi.
- SPF'i tamamlayın. Bu servislerin hepsini SPF kaydınıza ekleyin ve kaydın sonunu belirleyin.
- DKIM'i açın. Her gönderim servisi için DKIM imzasını etkinleştirin ve anahtarları DNS'e ekleyin.
p=noneile başlayın. DMARC kaydını raporlama adresiyle birlikte yayınlayın ve birkaç hafta raporları izleyin.- Eksikleri kapatın. Raporlarda meşru ama kontrolden geçemeyen gönderimler görürseniz o servisin SPF ya da DKIM ayarını düzeltin.
- Kademeli sıkılaştırın. Önce
p=quarantine'a, meşru trafiğin tamamı geçtiğindep=reject'e geçin.
DMARC raporları yöneticiye ne söyler?
DMARC toplu raporları, büyük posta sağlayıcılarının alan adınız adına gördüğü gönderimleri özetleyen XML dosyalarıdır. Hangi IP adreslerinin sizin adınıza mail göndermeye çalıştığını, bunların kaçının SPF ve DKIM'i geçtiğini ve kaçının reddedildiğini gösterir.
Yönetici için raporların iki kullanımı vardır: meşru ama yanlış yapılandırılmış bir servisi bulmak ve alan adınızın başkaları tarafından taklit edilip edilmediğini görmek. Raporlar ham hâlleriyle okunması zor dosyalardır; bir toplama ve özetleme düzeni kurmak raporları gerçekten kullanılabilir kılar.
MTA-STS ve TLS-RPT nedir?
MTA-STS, alan adınıza mail gönderen sunuculara teslimatı yalnızca şifreli ve doğrulanmış bir bağlantıyla yapmalarını söyleyen bir politikadır. Şifrelemenin yolda sessizce devre dışı bırakılmasına dayanan araya girme saldırılarına karşı korur. TLS-RPT ise şifreli teslimatta yaşanan sorunların raporlanacağı adresi bildirir. İkisi SPF, DKIM ve DMARC'ın tamamlayıcısıdır.
En sık yapılan yapılandırma hataları nelerdir?
- Birden fazla SPF kaydı yayınlamak; alan adı başına tek SPF kaydı olmalıdır.
- SPF kaydında izin verilen DNS sorgu sınırını aşmak.
- Toplu gönderim aracını ya da yazılımı unutmak ve bu servislerin maillerini DMARC ile reddettirmek.
- DMARC'ı raporları izlemeden doğrudan
p=rejectile yayınlamak. - Eski ve kullanılmayan DKIM anahtarlarını DNS'te bırakmak.
Mail göndermeyen alan adları ve alt alan adları nasıl korunur?
Saldırganlar çoğu zaman kurumun hiç mail göndermediği alan adlarını kullanır: kampanya için alınmış eski bir alan adı ya da yalnızca web sitesi için kullanılan bir alan adı. Bu alan adlarında SPF, DKIM ve DMARC kaydı yoksa, adlarına gönderilen sahte mail alıcı tarafında engellenmez.
Mail göndermeyen bir alan adı için iki kayıt yeterlidir: hiçbir sunucuya izin vermeyen bir SPF kaydı (v=spf1 -all) ve p=reject politikalı bir DMARC kaydı. Alt alan adları için ise DMARC kaydındaki sp etiketi, ana alan adından farklı bir politika tanımlamaya izin verir.
Kimlik doğrulama sonuçları bir mailde nasıl okunur?
Alıcı sunucu SPF, DKIM ve DMARC sonuçlarını mailin başlığına Authentication-Results satırı olarak yazar. Bu satırda her kontrol için pass, fail, softfail ya da none gibi bir sonuç ve kontrolün hangi alan adı için yapıldığı görünür.
Şüpheli bir mailde bu satıra bakmak, mailin gerçekten iddia ettiği alan adından gelip gelmediğini hızlıca gösterir. Ancak başlık yalnızca alan adını doğrular; ornek.com.tr yerine ornek-tr.com gibi benzer bir alan adı kendi kayıtlarıyla tüm kontrolleri geçebilir. Bu yüzden sonuçlar okunurken alan adının kendisine de bakılmalıdır.
SmartMail alan adınızı nasıl kurar ve korur?
Smart360 kurum panelinin Sistem Sağlığı ekranı, SmartMail alan adınız için gereken MX, SPF, DKIM, DMARC, MTA-STS ve TLS-RPT kayıtlarını mevcut DNS'inizi okuyarak hazırlar, eksikleri tek tek gösterir ve tamamını zone dosyası olarak indirmenizi sağlar. Yalnızca posta kayıtlarıyla ilgilenir; web sitenizin kayıtlarına dokunmaz. MTA-STS politika adresi, ilgili kayıt eklendiğinde sertifikasıyla birlikte sizin yerinize kurulur.
DMARC raporları SmartMail'in toplayıcı adresine gelir, otomatik olarak açılır, okunabilir biçime çevrilir ve alan adınız adına arşivlenir. Gelen maillerde ise SmartMail, gönderenin SPF, DKIM, DMARC ve PTR sonuçlarını kendisi hesaplar ve her mailin yanında gösterir. Ürün tarafındaki ayrıntılar: SmartMail alan adı ve DNS kurulumu. Adım adım anlatım: DNS kayıtlarını eklemek.