E-posta Güvenliği DMARC: Kimlik Doğrulama ve Koruma Rehberi

DMARC Nedir ve Neden Kritik Önemdedir?

DMARC, SPF (Sender Policy Framework) ve DKIM (DomainKeys Identified Mail) protokollerinin üzerine inşa edilir. SPF hangi sunucuların sizin adınıza e-posta gönderebileceğini belirtir, DKIM ise e-postaya kriptografik imza ekler. DMARC bu iki kontrolü birleştirerek alıcı sunucuya "Bu kontroller başarısız olursa ne yapmalısın?" talimatı verir: karantinaya al, reddet ya da sadece kabul et ama raporla.

Deneyimlerimizde, DMARC olmayan kurumların %60'ından fazlası yılda en az bir kez ciddi phishing denemesiyle karşılaşıyor. 2026'da Gmail ve Outlook gibi sağlayıcılar toplu gönderim yapan alan adları için DMARC zorunluluğu getirdi; bu kurala uymayan e-postalar spam klasörüne düşüyor veya teslim edilmiyor. Yani DMARC artık sadece güvenlik değil, aynı zamanda e-posta teslim edilebilirliği için de olmazsa olmazdır.

SPF, DKIM ve DMARC Arasındaki Farklar

E-posta güvenliği üçlüsü olan SPF, DKIM ve DMARC sıklıkla karıştırılır. Her biri farklı katmanda koruma sağlar. Aşağıdaki tabloda temel farklarını görebilirsiniz:

Müşterilerimizde sık karşılaştığımız hata, yalnızca SPF kurup DMARC'ı atlamaktır. SPF ve DKIM tek başına alıcı sunucuya "ne yapmalıyım?" talimatı vermez; DMARC olmadan bu kontroller sadece bilgilendirme amaçlıdır. DMARC, bu iki katmanı birleştirip politika uygulayan ve size gerçek zamanlı tehdit görünürlüğü sunan üçüncü halka olarak devreye girer.

DMARC Kaydı Nasıl Oluşturulur?

DMARC kaydı, DNS'inize _dmarc.alanadi.com adında bir TXT kaydı ekleyerek oluşturulur. Kayıt, birkaç parametreden oluşur ve her biri DMARC politikanızı şekillendirir:

• v=DMARC1: Protokol sürümü (zorunlu)
• p= Politika: none (izle), quarantine (karantina), reject (reddet)
• rua= Toplam raporların gönderileceği e-posta adresi
• ruf= Adli (forensic) raporlar için adres
• pct= Politikanın uygulanacağı e-posta yüzdesi (0-100)
• adkim / aspf: DKIM ve SPF hizalama modu (r=rahat, s=sıkı)

İlk kurulumda p=none ile başlayıp raporları 2-4 hafta izlemenizi öneririz. Hangi sunucuların meşru trafik gönderdiğini gördükten sonra SPF/DKIM kayıtlarınızı güncelleyin ve p=quarantine veya p=reject seviyesine geçin. Sahada deneyimlerimizde ani reject geçişi yapan kurumlar, üçüncü parti hizmetleri (bülten, CRM) atladıkları için meşru e-postaların reddedildiğini gördü.

DMARC Raporlarını Nasıl Yorumlamalısınız?

DMARC uyguladıktan sonra her gün rua (aggregate) raporları alırsınız. Bu XML formatındaki raporlar hangi IP'lerin sizin adınıza e-posta gönderdiğini, kaç tanesinin SPF/DKIM kontrollerini geçtiğini ve başarısızlık nedenlerini gösterir. Ham XML okuması zordur; siber güvenlik danışmanlığı kapsamında DMARC raporlarını otomatik parçalayan ve görselleştiren araçlar kullanırız.

Raporlarda "fail" (başarısız) gördüğünüz kayıtlar genelde iki şeyden kaynaklanır: meşru ama SPF/DKIM'i eksik yapılandırılmış üçüncü parti hizmetler veya gerçek sahtecilik denemeleri. İlk durumda ilgili hizmetin DNS kayıtlarına eklenmesi gerekir; ikincisinde ise saldırı IP'lerini güvenlik izleme (SOC) ekibinizle paylaşıp blok listelerine eklemelisiniz.

DMARC Politika Evrimini Doğru Yönetmek

1. Keşif Aşaması (p=none): Tüm e-postaları izleyin, hiçbirini reddetmeyin. 2-4 hafta veri toplayın.
2. SPF/DKIM Düzeltme: Raporlarda görünen meşru sunucuları SPF kaydınıza ekleyin, DKIM imzalarını etkinleştirin.
3. Kademeli Karantina (p=quarantine, pct=50): İlk olarak %50 trafiğe karantina uygulayın, sorun yoksa %100'e çıkarın.
4. Tam Koruma (p=reject, pct=100): Tüm başarısız e-postaları reddedin. Bu aşamada spam/phishing oranı dramatik düşer.
5. Sürekli İzleme: Raporları haftada bir gözden geçirin, yeni hizmet eklemeleri için SPF/DKIM güncelleyin.

Müşterilerimizde gördüğümüz en yaygın hata, politika evrimini atlamaktır. Doğrudan p=reject ile başlamak meşru e-postaların da reddedilmesine, iş akışlarında kesintilere ve müşteri şikayetlerine yol açar. Kademeli geçiş, hem teknik ekibinize öğrenme süresi tanır hem de iş süreçlerini aksatmadan güvenliği artırır.

Yasal Uyum ve Standartlar

Türkiye'de KVKK (Kişisel Verilerin Korunması Kanunu) ve ISO 27001 gibi standartlar, kurumlardan e-posta güvenliğini dahil tüm iletişim kanallarını korumasını talep eder. DMARC uygulaması bu gereksinimleri karşılamanın en pratik yollarından biridir. Ayrıca Avrupa GDPR kapsamında veri işleyen kurumlar için e-posta kimlik doğrulaması bir "teknik önlem" zorunluluğudur.

2026'da büyük e-posta sağlayıcıları DMARC'ı toplu gönderimler için zorunlu kıldı. Gmail ve Microsoft, günde 5000'den fazla e-posta gönderen alan adlarından p=quarantine veya p=reject politikası bekliyor; aksi halde e-postalar spam klasörüne düşüyor veya teslim edilmiyor. Uyumluluk yönetimi (GRC) süreçlerinizde DMARC kontrolünü standart hale getirmenizi öneriyoruz.

DMARC Kurulumunda Sık Yapılan Hatalar

Sahada en çok karşılaştığımız DMARC hataları şunlardır:

• SPF kaydında çok fazla DNS sorgusu: SPF'de maksimum 10 DNS sorgusu sınırı var; bu aşılırsa SPF başarısız olur ve DMARC da otomatik reddeder.
• DKIM imzasının eksik olması: Pek çok kurum SPF kurar ama DKIM'i atlar. DMARC için SPF ve DKIM'den en az birinin geçmesi şarttır.
• Subdomain'ler için politika unutulması: sp= parametresi kullanılmazsa alt alanlar ana politikadan muaf kalabilir.
• Raporların okunmaması: Raporlar kuruldu ama kimse analiz etmiyor; bu durumda meşru hizmetler engelleniyor veya sahtecilik denemeleri fark edilmiyor.

Bir e-ticaret müşterimiz DMARC'ı hızlıca p=reject ile açmış ama pazarlama ekibinin kullandığı üçüncü parti bülten hizmetini SPF'ye eklemeyi unutmuştu. Sonuç: 12 bin aboneye gönderilen kampanya e-postaları reddedildi. Sızma testi ve zafiyet yönetimi kapsamında yaptığımız kontrollerde DMARC yapılandırma hatalarını önceden tespit ediyoruz.

Sıkça Sorulan Sorular (SSS)

Sonuç: DMARC ile E-posta Güvenliğinizi Kalıcı Hale Getirin

E-posta güvenliği DMARC, yalnızca teknik bir zorunluluk değil, aynı zamanda marka itibarınızı ve müşteri güveninizi korumanın en etkili yoludur. SPF ve DKIM ile birlikte kullanıldığında kimlik avı saldırılarını %99'a varan oranlarda engellerken, e-posta teslim oranlarınızı da artırır. 2026'da büyük sağlayıcılar DMARC'ı zorunlu kıldığı için artık "olsa iyi olur" değil, "olmazsa olmaz" kategorisindedir.

invekor.com.tr olarak, DMARC kurulumundan rapor analizine, politika optimizasyonundan sürekli izlemeye kadar tüm süreci siber güvenlik danışmanlığı kapsamında yönetiyoruz. E-posta güvenliğinizi bir sonraki seviyeye taşımak, meşru trafiğinizi korurken saldırıları engellemek için bizimle iletişime geçin — deneyimli ekibimiz size özel DMARC stratejisi oluşturmaktan mutluluk duyar.