Kurumsal e-postalarınız spam'e düşüyorsa: SPF, DKIM ve DMARC

Mail metnini değiştirsem spam'den çıkar mı?

Spam'e düşen kurumsal e-postalarda ilk refleks metni değiştirmek olur: büyük harfleri azaltmak, "ücretsiz" kelimesini çıkarmak, bağlantı sayısını düşürmek. Bunlar bazen küçük bir fark yaratır ama asıl kararın verildiği yer daha öncedir. Alıcı sunucu önce şunu sorar: bu mesaj gerçekten bu alan adından mı geliyor?

Bu sorunun cevabı metinde değil DNS'te durur. Cevap yoksa mesaj, içeriği ne kadar temiz olursa olsun, kimliği doğrulanmamış bir gönderici gibi işlem görür — ve kurumsal alıcıların çoğu bu mesajları ya spam'e ya doğrudan çöpe koyar.

SPF DKIM DMARC nedir, farkları ne?

Üçünün birlikte çalışması gerekiyor. Yalnız SPF kuran bir şirket, mesajı iletilen (forward edilen) her durumda doğrulamayı kaybeder. Yalnız DKIM kuran, kimin adına gönderim yaptığını hiç öğrenemez. DMARC'sız kurulum ise adınıza yapılan sahte gönderime karşı savunmasızdır — ve fatura sahteciliğinin en yaygın biçimi tam olarak budur.

Gmail toplu mail gönderenlerden ne istiyor?

Google, Şubat 2024'te yürürlüğe giren gönderici şartlarıyla eşiği yükseltti. Kişisel Gmail hesaplarına gönderen herkesten SPF ya da DKIM, geçerli ileri ve geri DNS kayıtları, TLS ile iletim ve spam şikâyet oranının yüzde 0,3'ün altında kalması bekleniyor.

Günde 5.000'den fazla mesaj gönderenlerde çıta yükseliyor: SPF ve DKIM'in ikisi birden, üstüne DMARC (politika `p=none` olabilir), "From" başlığındaki alan adının SPF ya da DKIM alan adıyla hizalı olması ve pazarlama mesajlarında tek tıkla abonelikten çıkma. Bu eşiği aşan bir şirket, kayıtları eksikse teslimatını bir gecede kaybedebiliyor.

SPF kaydında en sık yapılan hatalar neler?

• Aynı alan adında iki SPF kaydı bulunması — kayıt geçersiz sayılır ve doğrulama başarısız olur.
• SPF'e yeni bir gönderim kaynağı eklerken sorgu sınırının aşılması; zincir uzadıkça kayıt sessizce çalışmaz hâle gelir.
• DMARC'ı doğrudan `p=reject` ile başlatmak ve farkında olunmayan meşru kaynakları susturmak.
• Rapor adresi tanımlamadan DMARC yayımlamak — politikayı sıkacak veriyi hiç toplamamak demektir.
• Alt alan adlarını unutmak: `fatura.sirket.com` üzerinden gönderim yapılıyorsa onun da kendi kayıtları olmalıdır.

E-fatura maili neden müşteriye gitmiyor?

İki nokta öne çıkıyor. Birincisi e-fatura ve ön muhasebe entegratörleri: bunlar sizin alan adınızdan bildirim gönderebiliyor ve envanterde en sık atlanan kalem oluyor. E-fatura bildirimi müşteriye ulaşmadığında sorun genellikle entegratörde değil, o entegratörün SPF listesinde olmamasında.

İkincisi toplu ileti tarafı: ticari elektronik ileti gönderiyorsanız İleti Yönetim Sistemi yükümlülükleri teknik teslimattan ayrı bir konu ama aynı gönderimi etkiliyor. Abonelikten çıkma bağlantısının hem teknik olarak tek tıkla çalışması hem de kaydın sistemde işlenmesi gerekiyor; ikisi ayrı ayrı takip edilmezse şikâyet oranı yükseliyor ve teslimat kayıtlar doğru olsa bile bozuluyor.

SPF DKIM DMARC kurulumu ne kadar sürer?

Kayıtların yazılması bir saatlik iştir; DNS yayılması birkaç saat sürer. İşi uzatan kısım dinleme aşaması: DMARC raporlarını en az iki hafta okumadan politikayı sıkmak, meşru gönderimi kesme riskini alır. Gerçekçi takvim, ilk gün kurulum, iki-dört hafta gözlem, sonra kademeli sıkma şeklindedir.

Alan adım yeniyse mail gönderebilir miyim?

Gönderebilirsiniz ama hemen toplu göndermeyin. Yeni bir alan adından bir anda binlerce mesaj çıkması, kayıtlar doğru olsa bile şüpheli sayılıyor. İşleyen yol ısıtma: ilk hafta günde birkaç düzine, sonraki haftalarda kademeli artış. Aceleyle yapılan ilk toplu gönderim, alan adının itibarını aylarca düzeltilemeyecek şekilde bozabiliyor.

Kişisel Gmail'den kurumsal mail atmak sorun mu?

Teslimat açısından değil ama güven açısından evet. "@gmail.com" adresinden gelen bir teklif, alıcı tarafında kurumsal bir muhatap izlenimi bırakmıyor ve kurumsal spam filtreleri bilinmeyen serbest adreslerden gelen ekli mesajlara daha sıkı davranıyor. Ayrıca kişisel adresle gönderilen yazışmalar şirketin arşivinde durmuyor; kişi ayrıldığında tarih de gidiyor.

Toplu mail için ayrı alan adı kullanmalı mıyım?

Pazarlama gönderimi hacimliyse evet, ama alt alan adı olarak. Faturaların ve tekliflerin gittiği ana alan adı ile bültenin gittiği alt alan adı ayrıldığında, bülten şikâyeti ana alan adının itibarını bozmuyor. Ayrım yapmayan şirketlerde tek bir kötü kampanya, fatura bildirimlerinin de spam'e düşmesine yol açıyor.

DMARC raporlarını kim okuyacak?

Ham raporlar XML ve elle okunacak biçimde değil; bir rapor işleme servisi kullanmak neredeyse zorunlu. Ücretsiz katmanlar küçük hacimde yetiyor. Okunmayan rapor, kaydın hiç olmamasıyla aynı: politikayı sıkacak veriyi kimse görmüyorsa `p=none` kalıcı hâle geliyor ve sahte gönderime karşı hiçbir koruma sağlamıyor.

Mail imzasındaki resim spam'e düşürür mü?

Tek başına düşürmez ama katkı yapar. Ağır görseller, çok sayıda dış bağlantı ve yalnızca resimden oluşan imzalar filtrelerde puan kaybettiriyor. Pratik ölçü: imza metin olarak da okunabilmeli, resim yüklenmediğinde bilgi kaybolmamalı. Bu aynı zamanda erişilebilirlik gereği.

“Spam sorunu neredeyse hiç metinde değildir; alıcı sunucu metni okumadan önce kimliğe bakar.”