SPF ve DMARC Kontrolü: Alan Adınızın Posta Kayıtları

Nasıl kullanılır?

Alan adı kutusuna alan adınızı yazın, örneğin example.com.
Biliyorsanız, imzalı bir iletideki DKIM seçicisini ekleyin, örneğin google ya da selector1. Bilmiyorsanız boş bırakın.
Alan adını kontrol et düğmesine basın. SPF kaydı bölümünde DNS sorgusu sayısı 10 ya da daha az olmalı.
DMARC politikası bölümünü okuyun. none yalnızca izler; quarantine ve reject başarısız postaya işlem uygular.

SPF neyi kontrol eder?

SPF (RFC 7208), bir alan adı adına posta gönderebilecek sunucuları bir TXT kaydında listeler. Alıcı, gönderenin alan adını alır, SPF kaydını okur ve gönderen sunucuyu terimlerle soldan sağa karşılaştırır. Eşleşen ilk terim, niteliğine göre sonucu belirler: + geçer (hiç yazılmazsa varsayılan budur), - başarısız olur, ~ yumuşak başarısızlıktır, ? ise nötrdür.

include, a, mx, ptr, exists ve redirect her biri bir DNS sorgusu harcar; include ettikleri kayıtların sorguları da sayılır. Alıcılar 10'da durur ve sonucu hata sayar; bu yüzden büyük bir posta düzeni kimse fark etmeden SPF'yi bozabilir.
ip4 ve ip6 sorgu harcamaz. Adres aralıklarını yayımlayan bir sağlayıcı bunları kullanabilir.
Aynı adda iki SPF kaydı hata sayılır (RFC 7208, bölüm 4.5); ptr ise önerilmez (bölüm 5.5).

DMARC ne işe yarar?

DMARC (RFC 7489), alan adınız adına kontrollerden geçemeyen postaya alıcıların ne yapacağını ve raporların nereye gideceğini belirtir. Bu, _dmarc ile alan adınızın başına eklenen ve noktalı virgüllerle ayrılmış etiketlerden oluşan bir TXT kaydıdır: p politikadır, sp alt alan adları için politikadır, pct politikanın uygulanacağı başarısız postanın yüzdesidir, rua toplu raporların adresidir, adkim ve aspf ise hizalamadır: gevşek için r, sıkı için s.

Bu araç, girdiğiniz alan adına göre _dmarc adresindeki kaydı okur. Orada kayıt bulamayan alıcılar kurumsal alan adına da bakar; bu araç kurumsal alan adını hesaplamaz.

DKIM anahtarları

DKIM her iletiyi, bir seçici altında DNS'te yayımlanan bir anahtarla imzalar; anahtar selector._domainkey ve alan adınızın birleşiminde durur (RFC 6376, bölüm 3.6.1). Sayfa, RSA anahtarında anahtar türünü ve boyutunu ortak anahtardan okur. Boş bir anahtar iptal edilmiş demektir. Ed25519 anahtarlarının boyutu sabit 256 bit'tir (RFC 8463).

Bu denetleyici ne yapmaz?

Posta göndermez ve gerçek bir iletiyi denemez; bu yüzden postanızın geçip geçmediğini söyleyemez.
%{d} gibi makroları açmaz; bunları kullanan bir kayıt, alıcınınkinden farklı bir sorgu sayısı verebilir.
DMARC için kurumsal alan adını hesaplamaz ve hiçbir kayıt döndürmeyen sorguları denetlemez.

Örnek: bir alan adının SPF ve DMARC kayıtları

v=spf1 +mx a:colo.example.com/28 -all SPF kaydı, alan adının posta sunucularının ve colo.example.com adresinin /28 ağındaki adreslerin posta göndermesine izin verir; diğer herkes başarısız olur (-all). Kayıt iki DNS sorgusu harcar: mx ve a.

v=DMARC1; p=reject; rua=mailto:[email protected] DMARC kaydı, kontrollerden geçemeyen postanın reddedilmesini ve toplu raporların [email protected] adresine gönderilmesini ister.

Denetim	Sonuç
SPF'deki DNS sorguları	2
Politika (p)	reject
Raporlar (rua)	[email protected]

Sık sorulan sorular

SPF kaydı sahte postayı durdurmak için yeterli mi?

Hayır. SPF, mesajı gönderen sunucuyu denetler; okuyanın From satırında gördüğü adı değil. DKIM ve p=none'dan yüksek bir DMARC politikasıyla birlikte kullanın.

SPF kaydım neden çok fazla sorgu yüzünden başarısız oluyor?

Her include, a, mx, ptr, exists ve redirect bir DNS sorgusu harcar ve onların işaret ettiği kayıtlar da sayılır. Toplam 10'u geçerse alıcılar SPF'yi hata sayar. Artık kullanmadığınız include'ları kaldırın ya da sağlayıcınızın yayımladığı ip4 ve ip6 aralıklarını kullanın; bunlar sorgu harcamaz.

Hangi DMARC politikasını kullanmalıyım?

p=none ve bir rua adresiyle başlayın, birkaç hafta raporları okuyun ve gerçek postanızın geçtiğini doğrulayın. Raporlar temiz çıkınca önce quarantine, sonra reject'e geçin.

DKIM seçicisi nedir?

Bir DKIM kaydında ._domainkey adından önce yazan addır. Her gönderen hizmet kendi seçicisini kullanır ve imzalı bir ileti bunu DKIM-Signature başlığındaki s= etiketinde belirtir. Gönderdiğiniz bir iletinin başlıklarına bakarak bulabilirsiniz.

Anahtar boyutu neyi gösterir?

RSA anahtarında, anahtarın bit cinsinden modül uzunluğunu; anahtar boyutlarının yazılma biçimi olan 1024 ya da 2048 gibi değerleri gösterir. Kayıt kopyalanırken kesildiyse ya da bozulduysa anahtar okunamaz ve sayfa bunu söyler.

Bu denetleyici alan adımı birine gönderiyor mu?

Yalnızca denetlenen adlar, seçtiğiniz DNS çözümleyicisine DNS sorguları olarak gönderilir. Bizde hiçbir şey saklanmaz; sayfanın geri kalanı tarayıcınızda kalır.

Kaynaklar

Rakamlar ve metin en son 10 Kasım 2026 Salı tarihinde kontrol edildi.