DMARC politikası: none, quarantine ve reject nasıl ayarlanır?

DMARC, alan adınız adına gönderilen maillerin sahte olup olmadığını alıcıya anlatan ve ne yapılacağını söyleyen bir DNS kaydıdır. SPF ve DKIM mailin doğrulandığını gösterir; DMARC ise bu doğrulamalar başarısız olursa alıcının mailin akıbetini nasıl belirleyeceğini (hiçbir şey yapma, spam'e at ya da reddet) belirler. Kaydı yanlış ayarlarsanız kendi maillerinizi de kaybedebilirsiniz; bu yüzden kademeli ilerleyin.

Kaydın biçimi

DMARC, alan adınızın _dmarc alt alanında bir TXT kaydı olarak yayınlanır:

Ad:    _dmarc
Tür:   TXT
Değer: v=DMARC1; p=none; rua=mailto:[email protected]

• v=DMARC1: Sürüm. Her zaman bu.
• p=: Politika (aşağıda).
• rua=: Günlük özet raporların gönderileceği adres. Raporlar XML biçimindedir ve okumak için araç gerekir; bunu çözen ücretsiz DMARC rapor servisleri vardır.

Üç politika

• p=none: İzleme modu. Doğrulamayı geçemeyen mailler yine teslim edilir, ama size raporlar gelir. Başlangıç noktasıdır.
• p=quarantine: Geçemeyen mailler şüpheli sayılır ve çoğunlukla spam klasörüne gider.
• p=reject: Geçemeyen mailler reddedilir. En güçlü koruma budur; alan adınızı taklit ederek oltalama yapanlara karşı etkilidir.

Güvenli geçiş sırası

1. Önce SPF ve DKIM'i doğrulayın. Bunlar çalışmıyorsa DMARC hepsini başarısız sayar: SPF, DKIM, DMARC, DKIM kaydı.
2. p=none ile başlayın ve en az 2 ila 4 hafta raporları izleyin. Alan adınız adına mail gönderen tüm kaynakları (kendi sunucunuz, bülten servisi, faturalama sistemi, web siteniz) listeleyin.
3. Meşru kaynakların hepsi SPF ya da DKIM ile doğrulanıyorsa p=quarantine'e geçin. İsterseniz önce pct=25 ekleyerek mailin yalnızca yüzde 25'ine uygulayın ve oranı yükseltin.
4. Sorun görmüyorsanız p=reject'e çıkın.

Kontrol

dig +short TXT _dmarc.ornek.com

Çıktıda v=DMARC1; ile başlayan tek bir kayıt görmelisiniz. Alan adınızda yalnızca bir DMARC kaydı olmalı; ikincisi ikisini de geçersiz kılar. Panelde mail hizmetinizin Başlarken kartı DMARC için "önerilir" etiketiyle durum gösterir.

Sık yapılan hatalar

• Doğrulanmamış kaynakları unutmak: faturalama sisteminiz ya da form eklentiniz farklı bir sunucudan mail gönderiyorsa reject sonrası bu mailler kaybolur. Raporlarda bu kaynaklar görünür; önce onları SPF/DKIM'e dahil edin.
• Kaydı yanlış adda yayınlamak: ad _dmarc olmalı. DNS arayüzünüz alan adını kendisi ekliyorsa tam adı (_dmarc.ornek.com) yazmayın.
• Rapor adresini başka bir alan adına yazmak: o alan adının raporları kabul ettiğini belirten ek bir kayıt gerekebilir; en kolayı kendi alan adınızdan bir adres kullanmaktır.

Mailin reddedildiği durumlarda: SMTP hata kodları. Cloudflare'de DNS yönetiyorsanız: Cloudflare'de mail kayıtları.

Sık sorulanlar

DMARC olmadan olur mu?

Teknik olarak evet, ama büyük mail servisleri DMARC kaydı olmayan ya da hatalı alan adlarını daha şüpheli sayıyor. Çok mail gönderenler için DMARC fiilen zorunlu hale geldi.

Kaydı p=reject yapınca kendi maillerim reddedildi.

Mutlaka p=none'a dönün, raporlardan hangi kaynağın doğrulanamadığını bulun ve onu SPF/DKIM'e dahil edin. Sonra tekrar sıkılaştırın.

Hangi raporlama servisini kullanmalıyım?

Birçok ücretsiz DMARC rapor çözümleyicisi vardır; seçtiğiniz servisin verdiği rua adresini kayda yazarsınız. Hiç rapor istemiyorsanız rua alanını boş bırakabilirsiniz ama o zaman kör uçuş yaparsınız.

İlgili makaleler

• SPF, DKIM ve DMARC nedir? DNS kayıtları nasıl eklenir?
• DKIM kaydını görme ve yeniden oluşturma (panel DKIM aracı)
• E-postalarım gelmiyor veya spam'e düşüyor

Sorununuz çözülmediyse destek talebi açın. Hangi adımı denediğinizi ve ekranda ne gördüğünüzü yazarsanız çözüm çok daha hızlı olur.