E-posta kimlik doğrulama: SPF, DKIM ve DMARC

Dağıtım · 8 dakika

İmzalarınız doğru olsa bile alan adınız imzasız mail gönderiyorsa iletiler gereksiz klasörüne düşer. DKIM'i açın, eksik kaydı kendiniz ekleyin ya da bize iletin.

1. Neden önemli

   Üç kayıt birlikte “bu mail gerçekten bu alan adından çıktı” sorusunu yanıtlar. SPF hangi sunucuların sizin adınıza gönderebileceğini söyler. DKIM iletiyi kriptografik olarak imzalar. DMARC ikisi de başarısız olursa ne yapılacağını belirler. Microsoft 365'te özel alan adınız için DKIM'i açmazsanız giden e-postalarınız hiç imzalanmaz — doğrulama yalnız SPF'e kalır. Mail bir yerde yönlendirilirse (dağıtım listesi, otomatik iletme kuralı) SPF kırılır ve DKIM olmadığı için doğrulama tamamen başarısız olur; ileti doğrudan gereksiz klasörüne gider.

2. Durumunuzu görün

   Sol menüde Ayarlar → Araçlar sayfasını açın. Üstteki Teslim Edilebilirlik İzleme kartında her alan adınız için SPF, DMARC, MX, DKIM ve kara liste rozetleri listelenir. DKIM rozeti kırmızıysa ve altında “DKIM kaydı yok” uyarısı çıkıyorsa, sağlayıcınız (Microsoft 365 / Google Workspace) MX kaydından saptanmış ve o sağlayıcının seçicilerinde kayıt bulunamamış demektir. Listeyi tazelemek için Şimdi tara düğmesini kullanın.

3. Microsoft 365'te DKIM'i açın

   Uyarının altındaki Nasıl düzeltilir? düğmesine basın; açılan pencere sizi doğrudan Defender portalına yönlendirir (E-posta ve işbirliği → İlkeler ve kurallar → Tehdit ilkeleri → E-posta kimlik doğrulama ayarları → DKIM sekmesi). Alan adınızı seçip imzalamayı açmayı denediğinizde portal iki CNAME hedefi üretir. Bu değerler tahmin edilemez — her tenant için farklıdır, bu yüzden bu adımı sizin yerinize yapamayız. Portal yerine PowerShell kullanmak isterseniz pencere, alan adınızla doldurulmuş komutları hazır verir: New-DkimSigningConfig yapılandırmayı oluşturur, Get-DkimSigningConfig … | Format-List Selector1CNAME,Selector2CNAME iki CNAME değerini yazdırır, kayıtlar yayınlandıktan sonra Set-DkimSigningConfig … -Enabled $true imzalamayı açar.

4. Google Workspace'te anahtar üretin

   Google kullanıyorsanız pencere sizi Admin console → Apps → Gmail → Authenticate email adımına yönlendirir. Alan adınızı seçip *Generate new record* deyin (2048 bit önerilir), çıkan TXT değerini alın. Kaydı ekledikten sonra aynı ekranda *Start authentication* deyin.

5. Kaydı ekleyin — ya da bize iletin

   DNS panelinize erişiminiz varsa kayıtları kendiniz ekleyin. Erişiminiz yoksa veya alan adınızın DNS'ini biz yönetiyorsak, aynı pencerenin alt bölümündeki forma portalın verdiği değerleri yapıştırıp Değerleri bize ilet deyin. Bu, yüksek öncelikli bir destek talebi açar ve size referans numarası döner; kaydı sizin adınıza gireriz.

6. Doğrulayın

   Kayıtlar yayınlandıktan sonra Microsoft 365'te portala dönüp Enable deyin. Ardından Araçlar sayfasında Şimdi tara düğmesine basın; DKIM rozeti yeşile dönmelidir. Kesin doğrulama için kişisel bir Gmail adresine test maili gönderin, iletinin kaynağını (⋮ → Orijinali göster → Panoya kopyala) Araçlar sayfasındaki Teslim Testi kutusuna yapıştırın: rapor DKIM'i hangi alan adının attığını gösterir. header.d değeri kendi alan adınız olmalı; .onmicrosoft.com görünüyorsa DKIM hâlâ açık değildir ve rapor bunu “DKIM imzası … onmicrosoft.com ile atılmış” bulgusuyla, çalıştırılacak PowerShell komutlarıyla birlikte söyler.