DMARC nedir?

Tanım

Domain-based Message Authentication, Reporting, and Conformance, e-posta kimlik doğrulamasının politika katmanıdır. SPF ve DKIM kendi başlarına faydalı birer kontrol yapar, ancak hiçbiri tek başına alıcının gerçekte gördüğü From adresine bakmaz ve hiçbiri bir kontrol başarısız olduğunda alıcı sunucuya ne yapacağını söylemez. DMARC bu iki boşluğu da doldurur. Alıcılara kimliği doğrulanmamış postayı nasıl ele alacaklarını bildirir ve alan adı sahibine alan adının nasıl kullanıldığına dair görünürlük sağlayan raporlar üretir.

Adın kendisi yaptığı üç işi anlatır. Kimlik doğrulama (authentication) kısmı, DMARC'ın doğrudan SPF ve DKIM sonuçları üzerine kurulduğu anlamına gelir. Raporlama (reporting) kısmı, alıcıların alan adından geldiğini iddia eden iletiler hakkında, kaçının başarılı kaçının başarısız olduğu dahil, alan adı sahibine toplu veriler gönderdiği anlamına gelir. Uyum (conformance) kısmı ise alan adı sahibinin, alıcıların uyması gereken bir politika belirleyebileceği anlamına gelir; bu politika hiçbir işlem yapmamaktan spam'e teslim etmeye ve doğrudan reddetmeye kadar uzanır. Bu üçü birlikte SPF ve DKIM'i yalıtılmış kontrollerden, alan adı kimliğinin uygulanabilir ve gözlemlenebilir bir savunmasına dönüştürür.

Nasıl Çalışır?

Bir DMARC politikası, _dmarc.yourdomain.com alt alan adında tek bir DNS TXT kaydı olarak yayınlanır. Kayıt v=DMARC1 ile başlar, istenen politikayı p= etiketinde belirtir ve genellikle toplu raporların gönderileceği adresi veren bir rua= etiketi içerir. Bir ileti ulaştığında alıcı sunucu SPF ve DKIM'i her zamanki gibi çalıştırır, ardından bu sonuçların üzerine DMARC değerlendirmesini yapar.

DMARC'ın kalbinde hizalama (alignment) yatar. SPF veya DKIM'in yalnızca başarılı olması yeterli değildir. Bu kontrollerin doğruladığı alan adı, görünen From başlığında gösterilen alan adıyla da eşleşmelidir; çünkü görünen From adresini korumak DMARC'ın asıl amacıdır. İki hizalama modu vardır. Varsayılan olan gevşek (relaxed) hizalama, kurumsal alan adı düzeyinde bir eşleşmeyi kabul eder; böylece bir alt alan adı üst alan adıyla hizalanabilir. Katı (strict) hizalama ise alan adının tam olarak eşleşmesini gerektirir. DMARC, SPF veya DKIM'den en az biri hem başarılı olduğunda hem de From alan adıyla hizalandığında başarılı olur. Bu yüzden bir ileti SPF veya DKIM'i tek başına geçip, doğrulanan alan adı From adresiyle örtüşmüyorsa DMARC'ta yine de başarısız olabilir; bu, göndericilerin politikalarını ilk kez sıkılaştırdıklarında sıkça karşılaştıkları bir sürprizdir.

Bir ileti DMARC'ta başarısız olduğunda alıcı, yayınlanan politikayı uygular. p=none politikası alıcıdan özel bir işlem yapmamasını ve iletiyi yalnızca raporlara dahil etmesini ister; bu izleme ayarıdır. p=quarantine politikası alıcıdan başarısız postaya şüpheyle yaklaşmasını, genellikle onu spam klasörüne yönlendirmesini ister. p=reject politikası alıcıdan başarısız postayı tamamen engellemesini ister; böylece posta ne gelen kutusuna ne de spam klasörüne ulaşır. Önerilen geçiş kademelidir: none ile başlayın, tüm meşru gönderim kaynaklarının kimlik doğrulaması yaptığını ve hizalandığını teyit etmek için toplu raporları inceleyin, ardından quarantine'e ve veriler güvenli olduğunu gösterdiğinde son olarak reject'e geçin. Kurulum tamamlanmadan katı bir politika uygulamak, bir alan adının kendi meşru postasını engellemesine yol açabilir.

E-posta Teslim Edilebilirliği İçin Neden Önemlidir?

DMARC birbiriyle bağlantılı iki nedenle önemlidir. Birincisi güvenliktir. DMARC olmadan bir saldırgan, From adresinde güvenilir bir şirketin alan adının tam olarak aynısını gösteren kimlik avı postaları gönderebilir; çünkü SPF ve DKIM tek başına bu görünen alanı denetlemez. quarantine veya reject DMARC politikası, gerçek alan adı sahibinin dünyadaki posta kutusu sağlayıcılarına bu sahte postayı kimseye ulaşmadan durdurmalarını bildirmesini sağlar. İkinci neden teslim edilebilirliktir. Bir DMARC kaydı, sağlayıcılara alan adının kimlik doğrulamayı ciddiye aldığını gösterir; bu da alan adının itibarını ve gelen kutusuna yerleşimini destekler.

DMARC artık kesin bir gereklilik haline de gelmiştir. Google ve Yahoo'nun 2024 gönderici gereksinimlerine göre toplu gönderim yapanlar en az p=none politikasına sahip bir DMARC kaydı yayınlamalı ve DMARC kapsamında hizalanacak şekilde SPF ve DKIM ile kimlik doğrulaması yapmalıdır. DMARC kaydı olmayan bir alan adının toplu postaları kısıtlanabilir veya reddedilebilir. Aynı zamanda DMARC'ın geri gönderdiği raporlar kendi başına da değerlidir; çünkü alan adı altında posta gönderen her hizmeti ortaya çıkarır. Bu görünürlük, göndericinin daha katı bir politika uygulanmadan önce pazarlama platformlarından destek sistemlerine kadar tüm meşru araçlarının doğru şekilde kimlik doğrulaması yaptığını teyit etmesine yardımcı olur.

VeriMails Bunu Nasıl Ele Alır?

DMARC ve e-posta doğrulama, teslim edilebilirliği iletinin iki ucundan savunur. DMARC gönderdiğiniz postalarda alan adı kimliğinizi korur ve alıcıların, alan adınızdan geldiğini iddia eden bir iletinin gerçekten öyle olduğuna güvenebilmesini sağlar. E-posta doğrulama ise gönderdiğiniz listenin kalitesini korur ve her adresin gerçek ve ulaşılabilir olmasını sağlar. Bir alan adının kusursuz bir DMARC politikası olabilir ve yine de ölü adreslere posta göndererek itibarını zedeleyebilir; bu yüzden iki uygulama birbiriyle örtüşmez, birbirini tamamlar.

VeriMails alıcı tarafını üstlenir. Gönderdiğiniz her adres sözdizimi doğrulaması, MX ve DNS sorgusu, canlı SMTP el sıkışması, catch-all tespiti, tek kullanımlık adres tespiti ve rol tabanlı adres tespitiyle kontrol edilir; böylece geri dönecek ve DMARC, SPF ve DKIM kayıtlarınızın korumaya çalıştığı itibarı aşındıracak geçersiz adresler ayıklanır. Kimlik doğrulama tarafında yardımcı olmak için VeriMails, doğru biçimlendirilmiş bir kayıt oluşturan ücretsiz bir DMARC oluşturucu sunar; böylece izleme modunda başlayabilir ve raporlarınız güvenli olduğunu teyit ettikçe politikayı sıkılaştırabilirsiniz. Bir listeyi REST API üzerinden veya toplu CSV yüklemesiyle doğrulayabilir, kampanya kararlarınız için net teslim edilebilirlik kategorileri alabilirsiniz. Doğrulama e-posta başına $0.0019'dan başlar; 10,000 kredi $19'dır ve yıllık faturalandırmada yıllık planlar $12.50/ay'dan başlar. Her hesap, kredi kartı gerektirmeyen ve süresi asla dolmayan 100 ücretsiz krediyle başlar.

Sıkça Sorulan Sorular