SPF, DKIM ve DMARC iyileştirme önerileri

Dağıtım · 7 dakika

Kaydın var olması yetmez: iki ayrı SPF kaydı, +all, 10 DNS sorgusu sınırı, p=none'da unutulmuş DMARC ya da 1024 bit DKIM anahtarı teslimi bozar. Araçlar sayfası var olan kayıtlarınızı da inceler ve düzeltilmiş kaydın tam değerini ya da Microsoft 365 PowerShell komutunu hazır verir.

1. Önerileri bulun

   Ayarlar → Araçlar sayfasındaki Teslim Edilebilirlik İzleme bölümünde, kayıtları olan ama iyileştirilebilecek alan adlarının kartında N iyileştirme önerisi kutusu çıkar ve ilk üç öneri başlığıyla listelenir. Kutunun rengi en önemli bulguya göredir: kırmızı = kayıt alıcılarca geçersiz sayılıyor, sarı = önerilir, mavi = bilgi. Önemli bir bulgu varsa rozetler yeşil olsa bile kartın çerçevesi sarıya döner. Önerileri ve kayıtları gör düğmesine basın.

2. Pencereyi okuyun

   Her öneride önem etiketi (Önemli / Önerilir / Bilgi), ilgili kayıt (SPF, DKIM, DMARC), sorunun açıklaması ve varsa Önerilen kayıt (Tür / Ad / Değer, Kopyala düğmesiyle) ya da Exchange Online PowerShell komutu bulunur. Pencerenin üstünde SPF kaydınızın kaç DNS sorgusu kullandığı da yazar (en çok 10). Önerilen değeri DNS panelinizde mevcut kaydın yerine yazın; aynı ada ikinci bir SPF ya da DMARC kaydı eklemeyin.

3. SPF önerileri

   N ayrı SPF kaydı var: alıcılar hepsini geçersiz sayar; pencere tüm girişleri tek kayıtta birleştirir — onu bırakıp diğerlerini silin. +all / ?all / sonunda all yok: kayıt herkese izin veriyor ya da hiçbir şey söylemiyor; sonu ~all olmalı. SPF'te Microsoft 365 (ya da Google Workspace) yok: MX kaydınız posta sağlayıcınızı gösteriyor ama SPF onun sunucularını içermiyor; include:spf.protection.outlook.com (ya da include:_spf.google.com) eklenmiş kayıt hazır gelir. 10 DNS sorgusu sınırı: include, a, mx ve iç içe include'lar sayılır; 10'u aşan SPF alıcıda hata verir, kullanmadığınız servislerin include'unu kaldırın. Çalışmayan include: hedefinde SPF olmayan include'u kaldırın ya da servisin güncel değerini yazın. Eski sunucu girişleri (bilgi): posta artık Microsoft 365 ya da Google'dan gidiyorsa ip4:, a, mx gibi eski sunucu girişleri gereksizdir; o adresten mail atan bir cihaz (yazıcı, tarayıcı, uygulama) yoksa pencerenin önerdiği sade kaydı kullanın.

4. DKIM önerileri

   Anahtar 1024 bit: Microsoft 365'te PowerShell'de Rotate-DkimSigningConfig -Identity alanadiniz.com -KeySize 2048 çalıştırın; DNS kaydı değişmez (CNAME'ler aynı kalır), yeni anahtar birkaç gün içinde devreye girer. Google Workspace'te Admin console'dan 2048 bit yeni kayıt üretin. selector1 ya da selector2 kaydı eksik: Microsoft 365 iki anahtarı dönüşümlü kullanır; biri eksikse anahtar döndüğünde imzalar doğrulanamaz. Penceredeki Get-DkimSigningConfig komutu eksik CNAME'in değerini yazdırır. Test modu (t=y) / iptal edilmiş anahtar (boş p=): kurulum bittiyse t=y'yi kaldırın; kullanılmayan seçiciyi silin.

5. DMARC önerileri

   İzleme modunda (p=none): DMARC sahte gönderimleri durdurmaz, yalnız raporlar. SPF ve DKIM tamamsa pencere p=quarantine ile güncellenmiş kaydı verir (diğer etiketleriniz korunur); DKIM yoksa önce DKIM'i açmanızı söyler. p=quarantine/reject ama DKIM yok: yönlendirilen mailler reddedilebilir; önce DKIM'i açın. Rapor istenmiyor (rua yok): pencere rua=mailto:dmarc@alanadiniz.com eklenmiş kaydı verir; bu adresin gerçek bir posta kutusu ya da DMARC rapor servisi olduğundan emin olun. pct 100'den küçük: politika maillerin yalnız bir kısmına uygulanıyor; geçiş bittiyse pct'yi kaldırın. Geçersiz kayıt, birden fazla DMARC kaydı ya da p= yok: alıcılar kaydı yok sayar; tek ve geçerli kayıt bırakın.

6. Kendiniz uygulayın — ya da bize bırakın

   Değeri Kopyala ile alıp DNS panelinizde ilgili kaydı düzenleyin. PowerShell komutlarını Exchange Online yönetici hesabıyla Connect-ExchangeOnline sonrası çalıştırın. DNS'inizi biz yönetiyorsak pencerenin altındaki Kaydı bizim eklememizi iste düğmesi önerilen kayıtların tamamını taşıyan yüksek öncelikli bir destek talebi açar.

7. Doğrulayın

   DNS değişikliği birkaç dakikadan 48 saate kadar sürebilir. Sonra Araçlar sayfasında Şimdi tara'ya basın; düzelen öneri listeden kalkar. Bu öneriler uyarı bildirimi ya da e-postası üretmez ve sağlık puanını düşürmez; yalnız Araçlar sayfasında görünür. DNS kayıtlarının doğru olması, alıcının da öyle değerlendirdiğini garanti etmez: kesin sonuç için gerçek bir iletiyi aynı sayfadaki Teslim Testi'nden geçirin (“Teslim testi” kılavuzu).