DMARC Kaydı Nedir, Nasıl Eklenir?

Bir sahtekâr, alan adınızı taklit ederek muhasebe departmanınıza “fatura ekte” diye ileti gönderdiğinde SPF ve DKIM bunu fark eder; ama alıcı sunucuya ne yapması gerektiğini söyleyen tek şey DMARC’tir. DMARC kaydı nedir sorusunun özü budur: doğrulamadan geçemeyen iletiler için politika belirlemek ve size rapor göndertmek.

Bu rehberde DMARC’ın SPF ve DKIM ile ilişkisini, kayıt etiketlerini, LIONFIN mail hosting ve harici servisler için örnek kayıtları, cPanel ve Plesk’te ekleme adımlarını, raporları okumayı ve p=none ile başlayıp p=reject politikasına güvenle geçmeyi anlatıyoruz.

DMARC kaydı nedir, SPF ve DKIM ile nasıl çalışır?

DMARC (Domain-based Message Authentication, Reporting and Conformance), alan adınızın DNS’ine eklenen bir TXT kaydıdır ve alıcı sunucuya üç şey söyler: SPF/DKIM doğrulamasından geçemeyen iletilere ne yapılacağı, sonuçların hangi adrese raporlanacağı ve doğrulamanın ne kadar sıkı uygulanacağı.

DMARC’ın kritik kavramı hizalama (alignment) kavramıdır. SPF ya da DKIM’in “pass” dönmesi yetmez; doğrulanan alan adı, kullanıcının gördüğü From başlığındaki alan adıyla eşleşmelidir:

• SPF hizalaması: Zarf göndericisinin (Return-Path) alan adı, From alan adıyla aynı olmalı.
• DKIM hizalaması: İmzadaki d= değeri, From alan adıyla aynı olmalı.

İkisinden biri hizalı ve geçerliyse DMARC “pass” döner. Bu yüzden önce SPF kaydı ve DKIM kaydı kurulmalı, DMARC en son eklenmelidir. Bülten servisleri gibi sizin adınıza gönderen sistemlerde hizalama çoğu zaman DKIM ile sağlanır; bu nedenle her servisin kendi DKIM anahtarını alan adınıza eklemesi gerekir.

DMARC etiketleri ve anlamları

Kayıt _dmarc.firmaniz.com adıyla yayınlanır ve noktalı virgülle ayrılmış etiketlerden oluşur:

Gevşek hizalama, mail.firmaniz.com gibi subdomain’lerin köke hizalı sayılmasına izin verir; sıkı mod tam eşleşme ister. Yeni başlayanlar için r yeterlidir.

Örnek DMARC kayıtları

DMARC kaydı nedir sorusuna en iyi yanıt örneklerdir; üç aşamayı temsil eden kayıtlar:

; 1. Aşama – yalnızca izle, hiçbir iletiyi engelleme
_dmarc.firmaniz.com.   TXT   "v=DMARC1; p=none; rua=mailto:[email protected]"

; 2. Aşama – başarısız iletilerin yarısını karantinaya al
_dmarc.firmaniz.com.   TXT   "v=DMARC1; p=quarantine; pct=50; rua=mailto:[email protected]"

; 3. Aşama – tam koruma, subdomain’ler dâhil
_dmarc.firmaniz.com.   TXT   "v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s; rua=mailto:[email protected]"

Rapor adresi olarak [email protected] gibi ayrı bir posta kutusu açın; büyük sağlayıcılar her gün XML rapor gönderir ve kişisel kutunuzu doldurur. Rapor adresi farklı bir alan adındaysa (örneğin analiz servisi), o alan adının sizin raporlarınızı kabul ettiğini belirten ek bir DNS kaydı gerekir; servisler bu kaydı size verir.

DMARC kaydı nasıl eklenir?

Kayıt, alan adının DNS’ini yöneten panelde TXT türünde eklenir:

1. cPanel: Domains → Zone Editor → Manage → Add Record → Add TXT Record. Name alanına _dmarc.firmaniz.com., Record alanına tırnaksız v=DMARC1; p=none; rua=mailto:[email protected] yazın; ayrıntılar cPanel DNS Zone Editor kullanımı rehberinde.
2. Plesk: DNS Settings → Add Record; tür TXT, Domain name alanına _dmarc, değeri girip OK ve Update. Plesk’in Mail Settings altındaki DMARC anahtarı sunucu tarafında gelen iletilere politika uygular, giden kimliğinizi etkilemez; adımlar Plesk DNS ayarları yazısında.
3. Harici DNS: Ad _dmarc, tür TXT, içerik politika metni; Cloudflare, kayıt firması paneli ya da Route 53 için işlem aynıdır.

Kayıt yayınlandıktan sonra doğrulayın:

nslookup -type=TXT _dmarc.firmaniz.com 8.8.8.8

Tek bir v=DMARC1 satırı dönmelidir; iki kayıt görürseniz alıcılar ikisini de yok sayar. Yayılma süresi çoğunlukla dakikalar içinde tamamlanır; gecikme yaşarsanız DNS yayılma süresi yazısındaki kontrolleri uygulayın.

Raporları okumak ve reject politikasına geçiş planı

rua adresine gelen raporlar sıkıştırılmış XML dosyalarıdır; her rapor, gönderen IP’leri, ileti sayısını ve SPF/DKIM sonuçlarını içerir. Elle okumak zordur; ücretsiz DMARC rapor analiz araçları XML’i tabloya çevirir ve hangi kaynağın hizalamadan geçemediğini gösterir. Bakacağınız üç sütun: gönderen IP, DKIM/SPF hizalama sonucu ve ileti sayısı. Tanımadığınız IP’lerden yüksek hacim görüyorsanız alan adınız taklit ediliyor demektir.

Önerilen geçiş takvimi:

Sitenizden ya da uygulamalarınızdan giden bildirim iletileri raporlarda sürekli başarısız görünüyorsa bunları kimlik doğrulamalı bir relay üzerinden göndermek en kalıcı çözümdür; LIONFIN SmartHost SMTP relay SPF ve DKIM’i hazır sunar.

Sık yapılan hatalar

• Kaydı köke eklemek: DMARC kaydı firmaniz.com değil, _dmarc.firmaniz.com adında olmalıdır.
• Birden fazla DMARC kaydı: Şablon kaydı silmeden yenisini eklemek; ikisi de geçersiz olur.
• rua adresinin olmaması: Politika çalışır ama neyi engellediğinizi göremezsiniz; rapor adresi olmadan reject’e geçmeyin.
• Hizalanmamış üçüncü taraf servisler: Bülten servisi kendi alan adıyla DKIM imzalıyorsa DMARC başarısız olur; servisin “özel alan adı kimlik doğrulaması” ayarını yapın.
• Yönlendirilen iletiler: Bir alıcı iletinizi başka adrese yönlendirdiğinde SPF bozulur; DKIM hizalaması bu durumu kurtarır, bu yüzden DKIM’siz DMARC eksik kalır.
• Subdomain’leri unutmak: sp etiketi yoksa kök politika subdomain’lere de uygulanır; farklı davranış istiyorsanız açıkça belirtin.

DMARC, MX kaydınızın doğru olmasına da bağlıdır; raporların size ulaşması için alan adınızın e-posta alabiliyor olması gerekir, kontrol için MX kaydı nedir rehberine bakın. Kurumsal ortamda çalışanların sahte iletileri tanıması için phishing saldırılarından korunma yazısı tamamlayıcı bir kaynaktır.