Gönderdiğim Mailler Spam'e Düşüyor: SPF, DKIM ve DMARC ile Kalıcı Çözüm

Kurumsal e-posta adresinizden gönderdiğiniz mailler spam'e düşüyorsa, en sık sebep alan adınızın SPF, DKIM ve DMARC kayıtlarının eksik ya da hatalı olması. Bu üç DNS kaydı, alıcı tarafa 'bu e-posta gerçekten bu alan adının sahibinden geliyor' der. Gmail ve Yahoo 2024'ten beri kimliği doğrulanmamış e-postalara sıkı davranıyor; bu kayıtlar olmadan gönderdiğiniz teklif, fatura ve cevaplar müşterinin spam klasöründe kaybolabilir. Kayıtları kurmak e-posta sağlayıcınıza bağlı olarak 20-30 dakika sürer.

Kayıtlar tamamsa ve sorun sürüyorsa sırada sunucunun kara listede olup olmadığı ve e-postanın içeriği var.

Önce test edin

mail-tester.com gibi bir araç size geçici bir e-posta adresi verir. Kurumsal adresinizden o adrese sıradan bir mail gönderin, sonra sonucu açın. Araç 10 üzerinden bir puan verir ve SPF, DKIM, DMARC kayıtlarının durumunu, kara liste kontrolünü ve içerikle ilgili uyarıları tek sayfada gösterir. 8'in altındaki bir puan, aşağıdaki adımlardan en az birinin eksik olduğunu gösterir.

İkinci test: bir Gmail adresine mail gönderin, gelen e-postayı açın, sağ üstteki üç noktadan 'Orijinali göster' deyin. SPF, DKIM ve DMARC satırlarının yanında PASS yazmalı.

SPF: kim gönderebilir?

SPF kaydı, alan adınız adına hangi sunucuların e-posta göndermeye yetkili olduğunu listeler. DNS'te alan adının kendisine eklenen bir TXT kaydıdır ve v=spf1 ile başlar.

• Google Workspace kullanıyorsanız kayıt genellikle şöyledir: v=spf1 include:_spf.google.com ~all
• Microsoft 365 için: v=spf1 include:spf.protection.outlook.com ~all
• Hosting firmanızın e-postasını kullanıyorsanız, firmanın önerdiği kaydı yardım sayfasından alın.

İki kural sık çiğneniyor. Birincisi, bir alan adında yalnızca bir SPF kaydı olabilir. Hem Google hem bülten servisi kullanıyorsanız iki ayrı kayıt eklemek yerine ikisini tek kayıtta birleştirin. İkincisi, web sitenizin form e-postaları ya da bülten servisiniz de alan adınız adına gönderiyorsa, onların da bu kayıtta yer alması gerekir. Yoksa sitenizin formundan giden e-postalar reddedilir; bu konuyu iletişim formundan mail gelmiyor yazısında ayrıca anlattık.

DKIM: e-posta yolda değişmedi

DKIM, giden her e-postaya dijital bir imza ekler. Alıcı sunucu, DNS'teki anahtarla bu imzayı kontrol eder. İmza tutuyorsa e-posta gerçekten sizin sunucunuzdan çıkmış ve yolda değiştirilmemiştir.

DKIM'i e-posta sağlayıcınızın panelinden açarsınız:

• Google Workspace'te Yönetici konsolunda Gmail ayarları altındaki 'E-postanın kimliğini doğrula' bölümünde bir DKIM anahtarı oluşturun, verilen TXT kaydını DNS'e ekleyin ve 'Kimlik doğrulamayı başlat' deyin.
• Microsoft 365'te Defender portalındaki e-posta kimlik doğrulama ayarlarından DKIM'i etkinleştirin; verilen iki CNAME kaydını DNS'e ekleyin.
• Hosting e-postasında DKIM çoğu zaman cPanel'deki 'E-posta Teslim Edilebilirliği' sayfasından tek tıkla kurulur.

DNS değişikliğinin yayılması birkaç saat sürebilir. Sağlayıcının panelinde DKIM durumunun etkin olduğunu gördükten sonra test e-postasını tekrarlayın.

DMARC: kurallar ve raporlar

DMARC, SPF ve DKIM'in üstünde çalışır. Alıcı sunucuya 'kimlik doğrulaması başarısız olan bir e-posta gelirse ne yap' der ve size rapor gönderilmesini sağlar. _dmarc.alanadiniz.com adına bir TXT kaydıdır.

Başlangıç için güvenli kayıt şöyle: v=DMARC1; p=none; rua=mailto:dmarc@alanadiniz.com

p=none, hiçbir e-postayı engellemeden yalnızca izlemeye başlar. Birkaç hafta raporları (ya da bu raporları okunur hale getiren ücretsiz bir servisi) takip edip tüm meşru gönderim kaynaklarınızın SPF ve DKIM'den geçtiğini gördükten sonra politikayı p=quarantine'e (şüpheli e-postalar spam'e) yükseltebilirsiniz. Doğrudan p=reject ile başlamak, unuttuğunuz bir gönderim kaynağının (örneğin muhasebe programının fatura e-postaları) tüm e-postalarını engelleyebilir.

DMARC kaydı, alan adınız adına sahte e-posta gönderilmesini de zorlaştırır. Müşterilerinize sizin adınızla sahte fatura gönderilmesi, bu kayıt olmadan çok daha kolaydır.

Kayıtlar tamam ama hâlâ spam'e düşüyorsa

Kara liste. E-postanızı hosting firmasının paylaşımlı sunucusundan gönderiyorsanız, aynı sunucudaki başka bir hesabın spam'i yüzünden sunucunun IP adresi kara listeye girmiş olabilir. MXToolbox gibi bir araçla kara liste kontrolü yapın. Listedeyse hosting firmasına bildirin; kalıcı çözüm, e-postayı Google Workspace ya da Microsoft 365 gibi ayrı bir servise taşımak. Seçenekleri kurumsal e-posta seçenekleri yazısında karşılaştırdık.

Yeni alan adı. Birkaç haftalık bir alan adının e-posta geçmişi yoktur ve sağlayıcılar ona temkinli yaklaşır. İlk haftalarda toplu gönderim yapmayın, gönderim hacmini yavaş artırın.

Toplu gönderim kişisel kutudan. Kampanya ya da bülteni kendi kutunuzdan yüzlerce kişiye göndermek, hem o kutunun hem alan adının itibarını düşürür. Toplu gönderimler için bülten servisi kullanın ve servisi SPF ile DKIM'e ekleyin.

İçerik. Yalnızca bir görselden oluşan e-postalar, bağlantı kısaltıcılar, tamamı büyük harfle yazılmış konu satırları, ek olarak gönderilen şifreli ZIP dosyaları spam filtrelerini tetikler. Sade bir metin, birkaç bağlantı ve tanıdık bir imza en güvenlisi.

Yönlendirme. E-postayı başka bir kutuya otomatik yönlendiriyorsanız SPF yolda bozulabilir. Bu, DKIM'in neden şart olduğunu gösteren bir başka sebep.

Alıcı tarafında küçük bir yardım

Önemli bir müşteriniz e-postalarınızı spam'de buluyorsa, ondan e-postayı 'spam değil' olarak işaretlemesini ve adresinizi kişilerine eklemesini isteyin. Bu, o alıcı için filtreyi eğitir. Ama kalıcı çözüm her zaman kimlik doğrulama kayıtlarıdır.

DNS kayıtlarına dokunmak size yabancıysa, DNS ayarları rehberimiz kayıtların nereye ve nasıl ekleneceğini anlatıyor. Alan adınızın e-posta kayıtlarını kontrol edip eksikleri tamamlamamızı isterseniz bize yazın; bu, bakım ve destek paketimizdeki teknik kontrollerin de bir parçası olabilir.