DMARC alignment (uyum) ne demektir?
DMARC, bir e-postanın gerçekten alan adınız adına gönderilip gönderilmediğini değerlendirirken iki temel sinyale bakar: SPF ve DKIM sonuçları. Ancak DMARC için sadece “SPF geçti” veya “DKIM geçti” demek yeterli değildir. Asıl kritik nokta alignment (uyum) dediğimiz kontrollerdir.
Alignment, kimlik doğrulama kontrolünün (SPF veya DKIM) hangi alan adına bağlandığını, e-postada görünen From (Gönderen) alanındaki domain ile eşleştirir. Yani DMARC şu soruyu sorar: “Kullanıcının ekranda gördüğü From domain’i ile SPF/DKIM’in doğruladığı domain aynı mı?” Bu yaklaşım, sahte From adresi kullanılarak yapılan oltalama ve spoofing girişimlerini azaltmanın temel parçalarından biridir.
DMARC neden From alanına odaklanır?
Çoğu alıcı, mesajın gerçek kaynağını teknik header’lardan değil From satırından anlar. Saldırganlar da bu yüzden genellikle From’u taklit eder. SPF çoğu zaman görünmeyen Return-Path (MAIL FROM) veya HELO kimliğini doğrular; DKIM ise bir imzaya bağlı d= alanı ile domain belirtir. DMARC, bu mekanizmaları From domain’iyle “uyumlu” hale getirerek alıcının gördüğü marka/alan adı ile doğrulama sonuçlarını ilişkilendirir.
SPF alignment nasıl çalışır?
SPF kontrolü, gönderen sunucunun IP’sinin bir alan adının SPF kaydında izinli olup olmadığına bakar. DMARC açısından önemli olan, SPF’in geçtiği domain’in (SPF domain’i) From domain’i ile uyumlu olup olmadığıdır.
Hangi domain kıyaslanır?
DMARC, SPF için genellikle Return-Path (envelope-from / MAIL FROM) alanındaki domain’i baz alır. Bazı durumlarda HELO/EHLO domain’i de devreye girebilir; fakat pratikte alignment tartışması çoğunlukla Return-Path üzerindendir.
Örnek
From: example.com görünüyor diyelim. Eğer mesajın Return-Path’i bounce.example.com ve SPF bu domain üzerinden geçiyorsa, alignment politikası relaxed ise genellikle uyum kabul edilir; strict ise From ile birebir aynı domain aranır (example.com).
DKIM alignment nasıl çalışır?
DKIM, mesajın belirli bölümlerinin değişmediğini ve bir domain tarafından imzalandığını kriptografik olarak doğrular. DMARC için kritik olan, imzada yer alan d= domain’inin From domain’i ile uyumudur.
Örnek
From: example.com iken DKIM imzasında d=mailer.example.com ise relaxed modda uyum sayılabilir. Strict modda From ile d= alanının birebir aynı olması gerekir.
Relaxed ve Strict: Uyum modları ne anlama gelir?
DMARC’ta alignment için iki mod vardır: relaxed (r) ve strict (s). Bu modlar SPF ve DKIM için ayrı ayrı tanımlanabilir.
- Relaxed alignment: From domain’i ile SPF/DKIM domain’i aynı “organizational domain” altında ise uyumlu kabul edilir. Örneğin example.com ile mail.example.com çoğu senaryoda uyumludur.
- Strict alignment: Domain’in birebir aynı olması gerekir. example.com ile mail.example.com uyumlu sayılmaz.
DMARC kaydınızda bu ayarlar adkim (DKIM alignment) ve aspf (SPF alignment) parametreleri ile yapılır.
Organizational domain (kurumsal ana domain) neden önemlidir?
Relaxed modun temelinde “organizational domain” kavramı vardır. Basitçe anlatmak gerekirse, bir alan adının asıl köküne dayalı değerlendirme yapılır. Örneğin mail.example.com ile example.com aynı organizasyon domain’inde olduğu için relaxed uyum sağlayabilir. Bu, şirketlerin alt alan adlarıyla (subdomain) e-posta akışlarını yönetmesini kolaylaştırır.
Ancak bu kolaylık, yanlış kurgulanmış gönderim altyapılarında beklenmedik sonuçlara da yol açabilir. Özellikle pazarlama servisleri, bildirim sistemleri veya farklı departmanların farklı subdomain’ler kullanması durumunda, uyum stratejisi net olmalıdır.
Hangi durumda relaxed seçilmeli?
Relaxed alignment, çoğu işletme için başlangıç ve genel kullanım açısından daha toleranslı ve pratiktir. Aşağıdaki senaryolarda relaxed tercih etmek daha az kesintiyle ilerlemenizi sağlar:
- Alt alan adlarıyla gönderim: transactional.example.com, mail.example.com gibi subdomain’lerden düzenli gönderim yapılıyorsa.
- Birden fazla sistemle e-posta gönderimi: CRM, bilet sistemi, uygulama bildirimleri gibi farklı kaynaklar aynı görünen From domain’ini kullanıyorsa ve hepsini strict hizaya getirmek kısa vadede zorsa.
- Geçiş süreci: DMARC’ı raporlama (p=none) veya kademeli uygulama ile devreye alırken, önce relaxed ile görünürlük elde etmek isteniyorsa.
Relaxed seçmek “daha az güvenli” gibi anlaşılmamalıdır. Doğru kurgu ve düzenli takip ile relaxed, hem yönetilebilirlik hem de koruma açısından iyi bir denge sağlayabilir.
Hangi durumda strict seçilmeli?
Strict alignment, kurumsal kimliğinizi daha sıkı kurallarla korumak istediğinizde anlam kazanır. Fakat strict seçmeden önce tüm gönderen sistemlerin birebir aynı domain üzerinden hizalanabildiğinden emin olmak gerekir.
- Tek bir From domain standardı: Tüm e-postalar sadece example.com From’u ile çıkıyor ve imza/Return-Path da aynı domain’e kolayca bağlanabiliyorsa.
- Yüksek riskli hedef profili: Finans, yönetim, bordro gibi BEC ve kimliğe bürünme riskinin yüksek olduğu ekiplerin alan adında maksimum tutarlılık hedefleniyorsa.
- Subdomain karmaşası istenmiyorsa: Pazarlama, bildirim ve operasyonel e-postaların farklı domain/subdomain’lere ayrıldığı net bir mimari kurulmuşsa.
Strict modun dezavantajı, küçük bir yapılandırma sapmasının bile DMARC başarısızlığına yol açabilmesidir. Bu da teslimat sorunlarına veya beklenmedik reddedilmelere neden olabilir.
Alignment hataları şirkette nasıl belirtiler üretir?
Alignment sorunları genellikle “SPF geçiyor ama DMARC fail” veya “DKIM pass var ama DMARC fail” gibi kafa karıştırıcı durumlar yaratır. Çünkü DMARC değerlendirmesi, tek tek SPF/DKIM sonuçlarından ziyade “pass + alignment” koşulunu arar.
Tipik belirtiler:
- Belirli alıcılarda e-postaların spam’a düşmesi
- Bazı sistemlerden giden e-postaların reddedilmesi
- DMARC raporlarında farklı domain’lerin görünüyor olması (özellikle beklenmeyen Return-Path veya d= değerleri)
Doğru alignment stratejisi nasıl planlanır?
1) Gönderim kaynaklarını envanterleyin
Şirket adına e-posta gönderen tüm sistemleri listeleyin: kullanıcı mailbox’ları, web uygulamaları, bülten/duyuru gönderimleri, helpdesk, ERP/CRM, cihaz alarmları ve üçüncü taraf entegrasyonlar.
2) From domain standardını belirleyin
Her sistemin From olarak hangi domain’i kullanacağını kararlaştırın. Mümkünse pazarlama ve otomasyon trafiğini ayrı subdomain’lere ayırmak operasyonel e-postaların itibarını korumaya yardımcı olabilir.
3) SPF ve DKIM’i From ile hizalayın
Her kaynak için ya SPF alignment ya da DKIM alignment (ideal olarak ikisi de) sağlanmalıdır. Bu, Return-Path domain’inin ve DKIM d= domain’inin From domain politikasıyla tutarlı olmasını gerektirir.
4) DMARC parametrelerini bilinçli seçin
Relaxed/strict kararınızı, altyapınızın olgunluğuna göre verin. Birçok kurum için başlangıçta relaxed, daha sonra belirli akışlarda strict yaklaşımı uygulanabilir bir yol haritasıdır.
5) Değişiklikleri kontrollü uygulayın
Tek seferde tüm akışları değiştirmek yerine, önce en kritik ve en yüksek hacimli kaynaklardan başlayın. Böylece olası hataları daha hızlı izole edebilirsiniz.
Yaygın senaryolar ve pratik kararlar
Üçüncü taraf üzerinden gönderim
Bir sağlayıcı üzerinden, sizin alan adınızla From kullanarak e-posta gönderiyorsanız alignment kritik hale gelir. Bu durumda sağlayıcının DKIM imzasını sizin From domain’inizle uyumlu çalıştırmak çoğu zaman en temiz çözümdür. SPF tarafında ise Return-Path domain’i farklı kalabiliyorsa, strict SPF alignment seçmek gereksiz hata üretebilir.
Hem SPF hem DKIM gerekiyor mu?
DMARC için teknik olarak SPF veya DKIM’den birinin “pass + alignment” sağlaması yeterlidir. Ancak operasyonel dayanıklılık için ikisini birden doğru kurgulamak iyi bir uygulamadır. Bir taraf bozulduğunda diğeri koruma sağlayabilir.
Son kontrol listesi
- From domain şirket standardına uygun mu?
- Return-Path domain biliniyor ve yönetiliyor mu?
- DKIM d= domain beklenen domain/subdomain mi?
- aspf/adkim relaxed mi strict mi, bilinçli mi seçildi?
- Yeni bir sistem devreye girdiğinde bu hizalama kuralları tekrar kontrol ediliyor mu?
Sonuç: Uyum doğruysa DMARC gerçekten çalışır
DMARC’ın başarısı, SPF ve DKIM’in varlığından çok alignment kurgusunun doğruluğuna bağlıdır. Relaxed mod, çoklu sistem ve subdomain yapılarında esneklik sağlarken; strict mod, kontrol edilebilir ve standartlaşmış ortamlarda daha sıkı bir tutarlılık sunar. En doğru seçim, şirketinizin gönderim mimarisi, operasyonel disiplin seviyesi ve risk profilinin birlikte değerlendirilmesiyle yapılır.
Alan adınızı MX1Mail üzerinde yönetiyor veya MX1Mail’e geçiş planlıyorsanız, SPF/DKIM/DMARC yapılandırmalarını yaparken alignment mantığını baştan doğru tasarlamak; teslimat sürekliliği ve marka güvenilirliği açısından işleri belirgin şekilde kolaylaştırır.