SPF Kaydı Oluşturma
Gönderim yaptığınız sunucuları ve servisleri seçin; 10 sorgu sınırını aşmayan doğru SPF kaydını tarayıcınızda üretin.
SPF kaydı nedir, ne zaman oluşturulur?
SPF (Sender Policy Framework, RFC 7208), alan adınız adına hangi sunucuların e-posta gönderebileceğini DNS'te ilan eden bir TXT kaydıdır. Alıcı sunucu bir ileti aldığında, iletinin zarf göndericisindeki (Return-Path) alan adının SPF kaydına bakar ve bağlanan IP adresinin listede olup olmadığını kontrol eder. Yeni bir alan adıyla e-posta göndermeye başladığınızda, Google Workspace ya da Microsoft 365 gibi bir servise geçtiğinizde veya bülten için ayrı bir gönderim servisi eklediğinizde SPF kaydı oluşturma ya da güncelleme ihtiyacı doğar.
Bu araç tamamen tarayıcınızda çalışır; yazdığınız hiçbir bilgi sunucumuza gönderilmez. Seçimlerinizi yaptıkça kayıt anında güncellenir ve kopyalamaya hazır hâle gelir.
Başlamadan önce alan adınız adına e-posta gönderen her şeyin listesini çıkarın. Yalnız kurumsal posta kutuları değil; sitenizin iletişim formu, e-ticaret sipariş bildirimleri, fatura ve muhasebe yazılımları, bülten servisleri, destek sistemleri ve ofisteki tarayıcılı yazıcılar da gönderen sayılır. Unutulan her kaynak, kayıt yayımlandığında spama düşmeye ya da DMARC raporlarında başarısız görünmeye başlar. Bazı servisler iletileri kendi alan adlarındaki bir zarf adresiyle gönderir; bu durumda o servis için sizin SPF kaydınıza bir şey eklemeniz gerekmez, ama DMARC hizalaması için servisin DKIM imzasını alan adınızla atması gerekir. Servisin belgesinde "custom Return-Path" ya da "alan adı doğrulama" başlığına bakarak hangisinin geçerli olduğunu öğrenebilirsiniz.
Araçtaki alanlar adım adım
- Alan adı: Kaydın hangi alan adı için olduğunu yazın. SPF alt alan adlarına miras kalmaz;
bulten.ornek.comadına gönderim yapılacaksa ona ayrı kayıt gerekir. - mx kutusu: Gelen postanızı karşılayan sunucular aynı zamanda giden postayı da gönderiyorsa işaretleyin. Hosting paketlerinde e-posta çoğu zaman bu şekilde çalışır.
- a kutusu: Sitenizin bulunduğu sunucu da e-posta gönderiyorsa (örneğin iletişim formu ya da WordPress bildirimleri) işaretleyin.
- IPv4 / IPv6 adresleri: Kendi sunucunuz ya da yazıcı, ERP gibi cihazlar gönderim yapıyorsa adreslerini tek tek ya da blok olarak (
203.0.113.0/28) ekleyin. Bu terimler DNS sorgusu gerektirmez. - Hazır servisler: Google Workspace için
include:_spf.google.com, Microsoft 365 içininclude:spf.protection.outlook.com, Yandex içininclude:_spf.yandex.net, Zoho için hesabınızın bulunduğu bölgeye göreinclude:zoho.euya dainclude:zoho.comeklenir. Listede olmayan servisler için ek include alanını kullanın; doğru değeri servisin kendi belgesinden alın. - Bitiş politikası: Listede olmayan sunucular için ne yapılacağını seçin (aşağıda ayrıntısı var).
Örnek bir çıktı şöyle görünür: v=spf1 mx ip4:203.0.113.10 include:_spf.google.com ~all
10 DNS sorgu sınırı ve sayaç
SPF değerlendirmesi sırasında include, a, mx, ptr, exists terimleri ve redirect değiştiricisi DNS sorgusu gerektirir ve bunların toplamı 10'u aşamaz. Önemli ayrıntı: bir include'un gösterdiği kayıt da kendi içinde başka include'lar barındırabilir ve onlar da sayılır. Sınır aşılırsa alıcı sunucu "permerror" sonucu üretir; yani kaydınız işe yaramaz hâle gelir ve DMARC açısından SPF geçmemiş sayılır.
Araçtaki canlı sayaç, eklediğiniz her terimle birlikte toplamı gösterir ve 10'a yaklaştığınızda uyarır. Kaydı yayımladıktan sonra iç içe zincirin gerçek toplamını SPF, DKIM, DMARC kontrolü aracında include ağacıyla birlikte görebilirsiniz. Sınırı aşmamak için kullanmadığınız servisleri çıkarın, sabit IP'li sunucularda a yerine ip4 yazın ve ptr terimini hiç kullanmayın; standart da bu terimi önermiyor.
-all mı, ~all mı?
| Bitiş | Anlamı | Ne zaman |
|---|---|---|
-all | Listede olmayan sunucu kesin başarısız (fail) | Tüm gönderim kaynaklarınızdan eminseniz |
~all | Yumuşak başarısız (softfail), ileti kabul edilip şüpheli işaretlenebilir | Geçiş döneminde ya da kaynaklardan emin değilseniz |
?all | Nötr, hiçbir şey söylemez | Yalnız kısa süreli test için |
DMARC kullanan alan adlarında ~all ile -all arasındaki pratik fark azalır, çünkü nihai kararı DMARC politikası verir. Yine de unutulmuş bir gönderim kaynağı yoksa -all daha açık bir ifadedir. +all herkese izin verdiği için hiçbir durumda kullanılmamalıdır. Hiç e-posta göndermeyen alan adlarınız için tek satırlık v=spf1 -all kaydı, sahte gönderimleri baştan reddettirir.
Kaydı DNS'e eklemek ve sık yapılan hatalar
Üretilen değeri DNS panelinizde TXT türünde, ad alanına @ (ya da panel bunu istiyorsa alan adının kendisi) yazarak ekleyin. Dikkat edilecekler:
- Alan adında zaten
v=spf1ile başlayan bir kayıt varsa yenisini eklemeyin, eskisini düzenleyin. İki SPF kaydı ikisini de geçersiz kılar. - Eski SPF kayıt türünü (tür numarası 99) kullanmayın; standart yalnız TXT kaydını tanır.
- 255 karakteri aşan kayıtlar birden çok dizeye bölünür; çoğu panel bunu kendisi yapar.
- Yalnız SPF yeterli değildir: yönlendirilen iletilerde SPF bozulabilir, bu yüzden DKIM imzası ve ardından bir DMARC kaydı eklemek gerekir.
Farklı senaryolar için örnek kayıtları SPF kaydı nasıl yapılır yazımızda topladık.
E-posta kurulumunu bizim panelimizde yapmak ister misiniz?
Hosting paketleriSık sorulan sorular
Alan adınızın yetkili ad sunucusunun bulunduğu DNS paneline, TXT türünde eklenir. Ad alanına kök alan adı için @ yazılır, değer alanına araçtan kopyaladığınız v=spf1 ile başlayan metin yapıştırılır. DNS yönetimi alan adı kayıt firmasında değil de hosting ya da Cloudflare gibi bir serviste ise kaydı orada oluşturmanız gerekir.
Bir alan adında v=spf1 ile başlayan birden fazla TXT kaydı varsa SPF değerlendirmesi "permerror" ile sonuçlanır ve iki kayıt da yok sayılır. Bu genelde yeni bir servis eklenirken eskisinin yanına ikinci kayıt açılmasından kaynaklanır. Çözüm, tüm terimleri tek kayıtta birleştirmektir: örneğin v=spf1 mx include:_spf.google.com ~all.
include, başka bir alan adının SPF kaydındaki izinli sunucuları kendi kaydınıza dahil eder. Google veya Microsoft gibi servislerin sunucu IP'leri zamanla değiştiği için bunları tek tek yazmak yerine servisin yayımladığı kaydı eklersiniz. Her include en az bir DNS sorgusu sayılır ve iç içe kayıtlar da 10 sorgu sınırına dahildir.
Kendi alan adınızla Google Workspace kullanıyorsanız include:_spf.google.com yeterlidir; başka gönderim kaynağı yoksa kayıt v=spf1 include:_spf.google.com ~all olur. Ücretsiz bir Gmail adresinden "farklı adresle gönder" yapıyorsanız iletiler Google sunucularından çıktığı için durum benzerdir, ama bu kullanımda DKIM imzası alan adınızla atılamayabilir.
Kayıt, yetkili ad sunucusunda yayımlandığı anda sorgulanabilir. Daha önce aynı adda TXT kaydı varsa alıcı sunucular eski cevabı TTL süresi boyunca önbellekte tutabilir; bu genelde birkaç dakika ile birkaç saat arasındadır. Kaydın doğru yayımlandığını SPF, DKIM, DMARC kontrol aracıyla hemen doğrulayabilirsiniz.
