SPF, DKIM ve DMARC: bir kapıda üç kilit

Bu neden gerekli

E-posta, katılanların birbirini tanıdığı bir dönemde tasarlandı. Bu yüzden bir iletiyi kimin gönderdiğine dair hiçbir denetim içermez. Gönderen satırı iletideki bir alandan ibarettir ve o alanı kendiniz doldurursunuz — tıpkı bir zarfın üstüne ne isterseniz yazabilmeniz gibi.

Bundan doğan şey, pratikte en sık gördüğümüz dolandırıcılıktır ve yazım hatalarıyla dolu tekil oltalama e-postası değildir. Bir tedarikçiden gelen, hesap numarasının değiştiğini bildiren düzgün bir yazıdır. Ya da müdürden muhasebeye gelen, kısa ve aceleci, bugün çıkması gereken bir ödemeye dair bir e-postadır.

İkisi de işe yarar, çünkü alıcının şüphelenmek için nedeni yoktur: üstte bilinen bir adres durur. Ve alan adınız adına kimin gönderebileceğini kayda geçirmişseniz, ikisi de alıcı sunucu tarafında önlenebilir.

Bunu yapmak için güvenlikle ilgisi olmayan bir neden daha var: ulaşmak. Büyük posta sağlayıcıları 2024’ten itibaren yüksek hacimde gönderenlerden bu kayıtları istemeye başladı. DMARC’ı olmayan bir alan adı daha sık istenmeyen klasörüne düşer ve bunu bir olayda fark etmeden çok önce faturalarınızda ve bülteninizde fark edersiniz.

SPF: adınıza kim gönderebilir

SPF bir listedir. DNS’inize, alan adınız gönderen olacak şekilde hangi sunucuların posta gönderebileceğini söyleyen tek bir satır koyarsınız. Alıcı sunucu iletinin nereden geldiğine bakar, listenizi okur ve uyup uymadığını saptar.

Kulağa olduğundan basit geliyor, çünkü o liste neredeyse hiçbir zaman yalnızca kendi posta sunucunuz değildir. Fatura gönderen bir muhasebe programı, bir bülten hizmeti, bir başvuru sistemi, onay yollayan bir talep sistemi ve bazen kimsenin tanımadığı eski bir sunucu vardır. Adınıza posta gönderen her taraf listede olmalıdır.

Burada iki şey standart olarak ters gider:

• On sorgu sınırı. Bir SPF kaydı en fazla on DNS sorgusuna mal olabilir. Eklediğiniz her hizmet buna sayılır ve bir avuç tedarikçisi olan bir kurum sınırı kolayca aşar. Aştığınızda yanıt «geçersiz» değil «başarısız» olur — ve bu kendi postanızı vurabilir.
• Kaydın kuyruğu. ~all ile bitiyorsa alan adınız «gerisi şüpheli ama yine de teslim et» der. -all ile bitiyorsa «gerisi bizden değil» der. İkincisi amaçtır ve listeniz eksikse riski yaratan da odur.

SPF’in her hâlükârda tökezlediği yer yönlendirmedir. Biri postanızı başka bir adrese iletirse onu kendi sunucusu gönderir ve o sunucu sizin listenizde değildir. Bu düzeltebileceğiniz bir hata değil; SPF’in tek başına yetmemesinin nedenidir.

DKIM: yönlendirmeden sağ çıkan bir imza

DKIM tam da bunu çözer. Bir iletinin nereden geldiğine bakmak yerine altına bir imza atarsınız. Posta sunucunuz giden iletileri gizli bir anahtarla imzalar; ona karşılık gelen açık anahtar DNS’inizde durur. Alıcı onu alır ve imzanın içerikle uyuşup uyuşmadığını denetler.

Avantajı, o imzanın sunucuya değil iletiye bağlı olmasıdır. Posta iletildiğinde imza da onunla gider ve hâlâ tutar. İçerik yolda değiştirilirse tutmaz — ki bilmek istediğiniz de tam olarak budur.

Burada gözden kaçırmayacağınız şeyler:

• Gönderen her taraf ayrı imzalar. Bülten hizmetinizin kendi seçicisi altında kendi anahtarı vardır. Her şeyi kapsayan tek bir DKIM kaydı diye bir şey yoktur.
• Anahtar uzunluğu. Bazı eski kurulumlar hâlâ 1024 bitte. Yeni anahtarlar 2048’e çıkar.
• Değiştirmek işin parçasıdır. On yıldır orada duran bir anahtar, artık kimsenin yönetmediği bir anahtardır. Bu, anahtar yönetimi yazısındaki akıl yürütmenin aynısıdır.

SPF ve DKIM birlikte neredeyse tüm durumları kapsar. İkisinin de yapmadığı şey, iş ters gittiğinde ne olması gerektiğini söylemektir. Bir hüküm verip tahmini alıcıya bırakırlar.

DMARC: gerçekten bir şey çıkan kayıt

DMARC üstteki katmandır ve alıcı sunucunun kendisinden bir talimat çıkardığı tek kayıttır. İki şey söyler: SPF ya da DKIM’den geçemeyen postaya ne yapılmasını istediğinizi ve raporların nereye gideceğini.

Üç konum vardır ve bu sırayla geçilmeleri gerekir:

• İzleme. Bir şey yapma, ama bana her gün alan adım adına kimin gönderdiğinin dökümünü yolla. Başlanacak yer burasıdır ve zarar veremez.
• Karantina. Tutmayan, istenmeyen klasörüne gider. Posta yine ulaşır, ama gelen kutusuna değil.
• Reddetme. Tutmayan reddedilir ve hiçbir yere ulaşmaz. Amaç budur ve unutulmuş bir tedarikçinin postası kaybolarak görünür hâle geldiği konum da budur.

Burada sık atlanan bir incelik var. DMARC yalnızca SPF ya da DKIM’in geçip geçmediğine değil, geçen alan adının okuyucunun gördüğü alan adıyla aynı olup olmadığına da bakar. Kendi alan adıyla gönderip imzalayan bir bülten hizmeti SPF ve DKIM’den geçer, DMARC’tan yine de kalır. Bu yüzden böyle hizmetleri sizin alan adınızdan gönderecek şekilde ayarlamak gerekir — neredeyse her sağlayıcıda bunun için bir ayar vardır.

Geri aldığınız günlük raporlar XML’dir ve elle okunmaz. Bunları okunur bir döküme çeviren hizmetler var ve bu yatırıma değer: o raporlar olmadan son adımı körlemesine atarsınız.

Hangi sırayla açılır

Bu konudaki metinlerin çoğu kayıtları anlatır. Asıl iş aradaki haftalardadır ve biri bunu tek bir öğleden sonrada bitirmek istediğinde ters giden de orasıdır.

Biz şöyle yapıyoruz:

• Birinci hafta: envanter ve izleme. Bildiğiniz taraflar için SPF ve DKIM’i koyun, DMARC’ı izlemeye alın. Teslimatta henüz bir şey değişmez.
• İki ile dört: raporları okuyun. Adınıza başka nelerin gönderdiğinin listesi burada çıkar. Bu her zaman sanılandan fazladır: eski bir çevrimiçi mağaza, mesai takip programı, iki yıl önceki bir kampanyadan kalma bir pazarlama hizmeti.
• Dördüncü hafta: temizleyin ve bağlayın. Tutmak istediklerinizi alan adınıza düzgün bağlayın. Kimsenin tanımadıklarını kapatın — genelde yarısı.
• Beşinci hafta: karantina. Ara konuma geçin ve raporları okumayı sürdürün. Gözden kaçırdığınız şey şimdi, onay postalarının istenmeyene düştüğünü söyleyen bir meslektaşla kendini gösterir.
• Ancak ondan sonra: reddetme. İki hafta boyunca raporlarda yeni bir şey çıkmıyorsa bu adım hiçbir şey değildir. Daha erken yaparsanız öyle olmaz.

Baştan sona altı ila sekiz hafta hesaplayın; büyük kısmı beklemek ve okumaktır. Bu yavaşlık değil; kapalı bir alan adı ile faturaları artık ulaşmayan bir alan adı arasındaki farktır.

Ve sonrasında bir hatırlatıcı kurun. Adınıza posta göndermeye başlayan her yeni hizmet — yeni bir personel sistemi, başka bir bülten sağlayıcısı — eklenmelidir; birinin bunu unuttuğu gün o postalar ulaşmaz.