SPF (Sender Policy Framework) Nedir?

Tanım

Sender Policy Framework, DKIM ve DMARC ile birlikte üç temel e-posta kimlik doğrulama standardından biridir. E-postadaki temel bir zayıflığı ele alır: varsayılan olarak herkes, herhangi bir alan adından geliyormuş gibi görünen bir mesaj gönderebilir, çünkü orijinal e-posta protokolleri gerçek göndericinin kim olduğunu kanıtlayacak bir yöntem içermez. SPF, alan adı sahibine, alan adı adına hangi sunucuların e-posta göndermesine izin verildiğini herkese açık ve makine tarafından okunabilir biçimde bildirme imkânı vererek bu boşluğun bir kısmını kapatır.

Bu bildirim, alan adlarını ağ adreslerine çeviren küresel dizin olan Domain Name System'de (DNS) yer alır. Alan adı sahibi, yetkili göndericileri belirten özel bir DNS kaydı yayımlar. Bir mesaj geldiğinde alıcı posta sunucusu bu kaydı sorgular ve mesajı gerçekten teslim eden sunucuyla karşılaştırır. Gönderen sunucu listedeyse mesaj SPF'den geçer. Listede değilse mesaj SPF'den kalır; bu da e-postanın sahte olabileceğine dair güçlü bir ipucudur. SPF hiçbir şeyi şifrelemez ve mesaj içeriğini kontrol etmez. Tek bir odaklı soruyu yanıtlar: Bu mesaj, alan adı sahibinin onayladığı bir sunucudan mı gönderildi?

Nasıl Çalışır?

Bir SPF politikası, alan adında tek bir DNS TXT kaydı olarak yayımlanır. Kayıt her zaman v=spf1 sürüm etiketiyle başlar, ardından yetkili göndericileri tanımlayan bir dizi mekanizma gelir ve normalde varsayılan sonucu belirleyen bir all mekanizmasıyla biter. Basit bir kayıt v=spf1 include:_spf.google.com -all şeklinde olabilir; bu kayıt Google Workspace posta sunucularını yetkilendirir ve diğer her şeyi reddeder.

Mekanizmalar yapı taşlarıdır. ip4 ve ip6 mekanizmaları belirli adresleri veya adres aralıklarını doğrudan yetkilendirir. a mekanizması alan adının adres kayıtlarında bulunan sunucuları, mx ise alan adının posta değiştiricileri (mail exchanger) olarak listelenen sunucuları yetkilendirir. Pratikte en yaygın olanı include mekanizmasıdır; başka bir sağlayıcının SPF politikasını dahil eder ve bir alan adı, gönderimi Google, Microsoft veya bir e-posta platformu gibi hizmetlere bu şekilde devreder. Her mekanizma, eşleştiğinde sonucu belirleyen bir niteleyici taşıyabilir. Varsayılan olan artı işareti geçer (pass) anlamına gelir. Eksi işareti kalır (fail), tilde yumuşak kalır (softfail), yani hafif bir uyarı, soru işareti ise nötr (neutral) anlamına gelir. Sondaki all mekanizması eşleşmeyen tüm sunucuları yakalar; bu nedenle -all listede olmayan her şeyi kesin olarak reddederken ~all daha yumuşak bir sinyaldir.

Alıcı bir sunucu SPF'yi değerlendirirken, SMTP alışverişi sırasında bildirilen dönüş yolu (return-path) olan envelope-from adresini kontrol eder; dönüş yolu boş olan geri dönme mesajlarında ise bunun yerine HELO kimliğini kontrol eder. Standart önemli bir kısıtlama getirir: bir kaydın değerlendirilmesi en fazla on DNS sorgusu kullanabilir ve include, a, mx ve exists gibi mekanizmaların her biri bir sorgu tüketir. Bir kayıt ondan fazla sorgu gerektirirse PermError üretir ve alıcılar bunu başarısızlık olarak değerlendirebilir; bu yüzden SPF kayıtları kompakt tutulmalıdır. SPF'nin yapısal sınırları da vardır. E-posta yönlendirildiğinde bozulur, çünkü yönlendiren sunucu orijinal alan adının listesinde yer almaz; en önemlisi de yalnızca envelope-from adresini doğrular, alıcının gerçekte gördüğü From adresini değil.

E-posta Teslim Edilebilirliği İçin Neden Önemlidir?

SPF artık isteğe bağlı bir ekstra değil, temel bir gerekliliktir. Posta kutusu sağlayıcıları başarılı bir SPF kontrolünü olumlu bir güven sinyali olarak, eksik veya başarısız bir kaydı ise şüphe nedeni olarak görür; bu da e-postanın gelen kutusuna mı yoksa spam klasörüne mi gideceğini doğrudan etkiler. Google ve Yahoo'nun 2024'te getirdiği gönderici gereksinimlerinden bu yana toplu göndericilerin SPF ile kimlik doğrulaması yapması beklenir ve geçerli bir SPF kaydı olmayan bir alan adının e-postaları yavaşlatılabilir veya doğrudan reddedilebilir.

SPF ayrıca kimlik doğrulamayı görünür From adresine bağlayan politika katmanı DMARC'ın ön koşulu olduğu için de önemlidir. DMARC, SPF veya DKIM'in geçip geçmediğini ve sonucun From alan adıyla uyumlu (aligned) olup olmadığını kontrol ederek çalışır. Doğru yapılandırılmış bir SPF kaydı olmadan bir alan adı SPF üzerinden DMARC uyumu sağlayamaz; bu da genel korumasını zayıflatır. Aynı zamanda SPF'nin neleri yapamayacağı konusunda gerçekçi olmak önemlidir. Görünür From başlığını yok saydığı ve yönlendirmede bozulduğu için SPF tek başına kararlı bir sahteciliği durduramaz. Üç katmanlı bir savunmanın gerekli katmanlarından biridir ve tam değerini ancak yanında DKIM ve DMARC olduğunda verir.

VeriMails Bunu Nasıl Ele Alır?

SPF ve e-posta doğrulama, aynı teslim edilebilirlik sorununun iki farklı yarısını çözer. SPF, gönderdiğiniz e-postanın kimliğini doğrular; böylece alıcı sunucular e-postanın gerçekten sizden geldiğine güvenir. E-posta doğrulama ise gönderim yaptığınız listeyi temizler; böylece yalnızca gerçek ve ulaşılabilir adreslere e-posta gönderirsiniz. Güçlü bir gelen kutusu yerleşimi için ikisinin birlikte çalışması gerekir ve biri diğerinin yerini tutmaz.

VeriMails alıcı tarafına odaklanır. Gönderdiğiniz her adres sözdizimi doğrulaması, MX ve DNS sorgusu, canlı SMTP el sıkışması, catch-all tespiti, tek kullanımlık adres tespiti ve rol tabanlı adres tespitiyle kontrol edilir; böylece geçersiz adresler, iyi SPF, DKIM ve DMARC kayıtlarının korumak için var olduğu itibarı geri dönerek aşağı çekmeden önce ayıklanır. Kimlik doğrulama tarafında da yardımcı olmak için VeriMails, alan adınız ve gönderim hizmetleriniz için sözdizimsel olarak doğru bir kayıt oluşturan ve onu on sorgu sınırı içinde tutan ücretsiz bir SPF oluşturucu sunar. Listenizi REST API veya toplu CSV yüklemesiyle doğrulayabilir, kampanya kararları için net teslim edilebilirlik kategorileri alabilirsiniz. Doğrulama e-posta başına $0.0019'dan başlar; 10,000 kredi $19'dır ve yıllık faturalandırmada yıllık planlar $12.50/ay'dan başlar. Her hesap kredi kartı gerektirmeyen ve süresi asla dolmayan 100 ücretsiz krediyle başlar.

Sıkça Sorulan Sorular