E-posta Güvenliği
Kurumunuzun adına e-posta göndermek isteyen birinin işini zorlaştırıyoruz. Alan adınızdan çıkan mesajın gerçekten sizden geldiği doğrulanabilir hale gelir.
Teklif alınMesajın gerçekten sizden geldiğini kanıtlayan üç satır.
Yalnızca tanımlı sunucular gönderebilir.
Giden her mesaj imzalanır.
Şimdilik rapor topluyor; politika kademeli sertleşecek.
Altyapıda ne yapıyoruz?
SPF kaydı
Alan adınız adına hangi sunucuların e-posta gönderebileceği tanımlanır. Listede olmayan sunucudan gelen mesaj şüpheli sayılır.
DKIM imzası
Giden her mesaj imzalanır. Yolda değiştirilen ya da başkası tarafından yazılan mesaj imzayı tutturamaz.
DMARC politikası
Doğrulamayı geçemeyen mesaja ne yapılacağını siz belirlersiniz: yalnızca raporlansın mı, karantinaya mı alınsın, reddedilsin mi.
Rapor okuma
DMARC raporları ham hâliyle okunmaz. Kimin sizin adınıza gönderim denediğini anlaşılır bir özete çeviriyoruz.
Kademeli sıkılaştırma
Politika bir gecede sertleştirilmez; önce izlenir, meşru göndericiler tanımlanır, sonra kapı kapatılır. Böylece kendi mailleriniz kaybolmaz.
Oltalama dayanıklılığı
Alan adınıza benzeyen kayıtlar izlenir ve gelen kutusu tarafındaki filtre ayarları gözden geçirilir.
Elinize ne geçiyor
Mevcut durum raporu
Alan adınızın kayıtları bugün ne durumda, hangi açık kapı duruyor.
Kayıt kurulumu
SPF, DKIM ve DMARC kayıtlarınız doğru değerlerle kuruluyor.
Rapor okuma
DMARC raporları ham hâliyle bırakılmıyor; kimin sizin adınıza gönderim denediği anlaşılır bir özete çevriliyor.
Sıkılaştırma planı
Politikanın hangi adımlarla sertleşeceği yazılı; kendi e-postalarınız kaybolmadan ilerliyor.
Üç DNS kaydı artık sağlayıcıların da şartı
Büyük sağlayıcıların gönderici kuralları
Google ve Yahoo Şubat 2024'ten, Microsoft 5 Mayıs 2025'ten itibaren yüksek hacimli göndericilerden SPF, DKIM ve DMARC istiyor. Kayıtları eksik kurumun duyuru e-postası artık doğrudan reddedilebiliyor.
Uygulama hâlâ çok düşük
Aralık 2025 itibarıyla 73,3 milyon alan adı örnekleminde yalnızca yüzde 2,5'i DMARC'ı reddetme politikasıyla uyguluyordu. Kayıt kurmak ile koruma sağlamak arasındaki fark, politikanın kademeli sertleştirilmesinde.
Kurum adına gönderilen sahte e-posta
İş e-postası dolandırıcılığı, kurum adına gönderilen sahte mesajlarla yürüyor ve dünya genelinde milyarlarca dolarlık zarara yol açıyor. SPF, DKIM ve DMARC bu denemenin alıcı tarafında tanınmasını sağlar.
Politika bir günde reddetmeye çekilmez. Önce raporlar okunur, meşru göndericiler envantere alınır; aksi halde kurumun kendi e-postaları teslim edilmez.
Buradaki başlıklar bilgilendirme amaçlıdır. Kurumunuz için bağlayıcı olan yükümlülükler tabi olduğunuz mevzuata ve faaliyet alanınıza göre değişir.
Sık sorulanlar
SPF, DKIM, DMARC nedir ve üçü de gerekli mi?
SPF (RFC 7208) hangi sunucuların alan adı adına e-posta gönderebileceğini DNS'te ilan eder, DKIM (RFC 6376) mesajı kriptografik olarak imzalar, DMARC (RFC 7489) ise ikisini hizalama şartıyla birbirine bağlayıp doğrulama başarısız olduğunda ne yapılacağını belirler. Üçü birbirini tamamlayan bir zincir oluşturur; yalnızca biri kurulduğunda koruma eksik kalır.
E-posta kimlik doğrulaması (SPF/DKIM/DMARC) neden artık zorunlu hale geldi?
Google ve Yahoo Şubat 2024'ten itibaren günde 5.000'den fazla e-posta gönderenlerden SPF ve DKIM ile kimlik doğrulaması ve DMARC hizalaması istiyor; Microsoft da 5 Mayıs 2025'ten itibaren Outlook, Hotmail ve Live.com'a gönderim yapan kurumlardan aynı şartları arayıp uymayan mesajları reddediyor. Bu eşiğin altında kalanlar için de risk devam eder, çünkü DMARC olmadan gönderilen e-postalar spam klasörüne düşebilir ve kurum kimliği taklit edilebilir.
E-posta güvenliği bir mevzuat maddesine bağlanabilir mi?
Özel sektörde doğrudan bir kanun maddesi yok, ancak büyük e-posta sağlayıcılarının gönderici kuralları kayıtları fiilen zorunlu kılıyor. Kamu kurumlarında ayrıca Cumhurbaşkanlığı Dijital Dönüşüm Ofisi'nin Bilgi ve İletişim Güvenliği Rehberi'nin 3.1.4.8 maddesi, sahte e-postaların alan adına sızma olasılığını azaltmak için SPF ve DKIM gibi standartların kullanılmasını açıkça şart koşuyor. Rehber toplam 15 alan ve 659 önlem kaleminden oluşuyor, e-posta güvenliği bunlardan biri.
DMARC'ı doğrudan reddet moduna almak riskli mi?
Evet; en sık hata, toplu e-posta araçları, CRM ve muhasebe yazılımı gibi üçüncü taraf gönderenler SPF/DKIM'e dahil edilmeden erken reddet moduna geçilmesidir, bu da meşru e-postaların reddedilmesine yol açar. İyi uygulama önce izleme modunda başlayıp raporları haftalarca analiz ederek gönderici envanterini çıkarmak, sonra kademeli olarak karantina ve reddet moduna geçmektir.
Alan adınızın durumuna bakalım.
Alan adınızı paylaşın; mevcut kayıtlarınızı inceleyip nereden başlanacağını çıkaralım.