Kurumsal E-Postanız Neden Spam'e Düşüyor? SPF, DKIM, DMARC

Spam Klasörü Algoritma Değil, Doğrulama Sorunudur

E-postanızın spam'e düşmesi çoğu zaman içerikteki kelimeler yüzünden değil, gönderen kimliğinizi doğrulayamayan alıcı sunucuların sizi otomatik şüpheli sayması yüzünden olur.

Gmail, Outlook ve Yahoo gibi büyük sağlayıcılar artık SPF, DKIM ve DMARC kayıtlarınızı kontrol ediyor; bu kayıtlar eksikse veya hatalıysa kurumsal e-postalarınız daha ilk aşamada reddediliyor ya da spam klasörüne itiliyor.

Bu üç kaydı kurmak, e-posta spam sorunu yaşayan bir işletmenin atacağı en somut adımdır.

SPF Kaydı: Hangi Sunucu Sizin Adınıza Gönderebilir

SPF, alan adınızın DNS'ine eklediğiniz bir TXT kaydıdır ve yalnızca hangi IP adreslerinin ya da sunucuların sizin adınıza e-posta gönderebileceğini listeler.

Alıcı sunucu, e-postanın geldiği IP adresini bu listede görmezse mesajı kabul etmeyebilir veya şüpheli olarak işaretler.

Yanlış kurulumda en sık gördüğüm hata, üçüncü taraf toplu gönderim ya da CRM aracının IP adresini SPF listesine eklememektir; bu, pazarlama maillerinizin tamamının spam'e düşmesine neden olur.

SPF kaydınızda `+all` yerine `~all` kullanmak geçiş dönemi için kabul edilebilir ama kalıcı çözüm değildir.

DKIM İmzası: İçerik Değişmemişse Güven Artar

DKIM, gönderdiğiniz e-postaya şifreli bir imza ekler; alıcı sunucu bu imzayı alan adınızın DNS'inde yayınladığınız anahtarla doğrular.

İmza doğruysa mesajın yolda değiştirilmediği ve gerçekten sizin sunucunuzdan çıktığı kabul edilir; bu da Gmail ve Outlook'un güven puanınızı yükseltir.

DKIM seçicisini (selector) ve anahtar uzunluğunu yanlış yapılandırırsanız imza geçersiz görünür, bu da SPF'den bağımsız olarak redde yol açabilir.

Çoğu e-posta servis sağlayıcısı DKIM kurulumunda size hazır DNS kaydı verir; bu kaydı kopyalarken boşluk bırakmak bile doğrulamanın kırılmasına yeter.

DMARC: SPF ve DKIM Başarısızsa Ne Olacağını Belirler

DMARC, alan adınızı kullanan sahte e-postalar için bir politika tanımlar; SPF ya da DKIM doğrulaması geçemeyen mesajlar için 'hiçbir şey yapma', 'karantinaya al' veya 'reddet' talimatı verir.

DMARC kaydınız yoksa saldırganlar sizin alan adınızı kullanarak müşterilerinize sahte fatura veya kimlik avı maili gönderebilir; alıcı sistemler bu mesajları engelleyemez çünkü siz net bir kural koymamışsınızdır.

Kuruluma `p=none` ile başlayıp raporlama adresinizi (rua) eklemek, önce mevcut trafiğinizi izlemenizi sağlar.

Daha sonra `p=quarantine` veya `p=reject` politikasına geçmeden önce tüm yasal gönderim kaynaklarınızı SPF ve DKIM'den geçirdiğinizden emin olun.

Gmail ve Outlook Ne Bekliyor: Sıkı Doğrulama ve Gönderen Puanı

Gmail ve Outlook, kurumsal e-postaları teslim etmeden önce yalnızca SPF/DKIM/DMARC kayıtlarına değil, aynı zamanda gönderen IP adresinizin itibarına da bakar.

Toplu gönderim yapıyorsanız, pazarlama ve işlem maillerini aynı IP'den göndermek IP itibarınızı kirletir; çünkü pazarlama maillerinde şikayet oranı doğal olarak daha yüksektir.

Google Postmaster Tools ve Microsoft SNDS bu itibarı izlemenizi sağlar; spam şikayetleriniz belirgin biçimde arttıysa teslimat sorunu yaşamadan önce uyarıları görürsünüz.

Gönderen itibarınızı kurtarmak için önce hacmi sabitleyin, ardından etkileşim almayan adresleri listenizden ayıklayın.

Yanlış Kurulumun Tipik Belirtileri ve Öncelik Sıranız

Kurumsal e-postalarınızın bir kısmı karşı tarafa ulaşıyorsa, bir kısmı spam'e düşüyorsa veya hiç gitmiyorsa, sorun neredeyse her zaman eksik ya da çelişen DNS kayıtlarıdır.

MXToolbox veya benzeri araçlarla alan adınızı test ettiğinizde SPF, DKIM veya DMARC hataları görürsünüz; bu hataları düzeltmeden içerik değişikliği yapmak zaman kaybıdır.

Öncelik sıranız şöyle olmalı: önce SPF kaydınızı eksiksiz hale getirin, ardından DKIM'yi kurun, sonra DMARC'ı `p=none` ile açıp raporları izleyin.

DMARC'ı doğrudan `p=reject` yaparsanız, yönlendirilen veya liste üzerinden giden meşru e-postalarınız kırılabilir; bu yüzden temkinli geçiş şarttır.

Saha deneyimimiz, bu üç kaydı düzgün kuran işletmelerin e-posta spam sorunu şikayetlerinin büyük bölümünü haftalar içinde kapattığını gösteriyor.