Domain neden e-posta altyapısının en kritik parçasıdır?
Kurumsal e-posta söz konusu olduğunda çoğu ekip odağını spam filtreleri, kimlik doğrulama (SPF/DKIM/DMARC) veya kullanıcı parolaları gibi konulara verir. Oysa bir şirketin alan adı (domain) kayıtlarının ele geçirilmesi ya da yetkisiz değiştirilmesi, e-postanın çalışmasını birkaç dakika içinde tamamen bozabilir. Çünkü e-postanın yönü DNS ile belirlenir: MX kayıtları gelen e-postanın nereye teslim edileceğini, SPF gönderen kaynakların yetkisini, DKIM imzalarının doğrulanacağı anahtarları, DMARC ise kimlik doğrulama politikasını tanımlar.
Domain Lockdown (domain kilidi) yaklaşımı; registrar hesabınızı, DNS yönetiminizi ve değişiklik süreçlerinizi sıkılaştırarak alan adınızın yetkisiz transfer, kayıt değişikliği veya DNS sabotajı gibi senaryolara karşı dayanıklılığını artırmayı hedefler. Bu yazıda, e-postayla doğrudan ilişkili alan adı güvenliği adımlarını pratik bir çerçevede ele alacağız.
Domain Lockdown tam olarak neyi kapsar?
Domain kilidi tek bir ayar değildir; birden fazla kontrolün birlikte uygulanmasıdır. Temel bileşenler şunlardır:
- Registrar tarafı korumaları: Domain transfer kilidi, hesap güvenliği, iletişim bilgileri koruması, kritik işlem onayları.
- DNS kontrolü: DNS barındırma hesabına erişim, değişiklik yetkileri, kayıt değişikliği izleme ve geri dönüş planı.
- Operasyonel süreçler: Kim, ne zaman, hangi kayıtları değiştirebilir; değişiklikler nasıl test edilir; acil durumda ne yapılır.
Tehdit modeli: Domain ele geçirilirse e-postada ne olur?
Gerçekçi bir risk değerlendirmesi için, saldırganın DNS üzerinde neler yapabileceğini düşünmek gerekir. En yaygın senaryolar:
- MX kayıtlarını değiştirmek: Gelen e-postalar saldırganın kontrol ettiği sunucuya yönlenebilir veya tamamen kesintiye uğrayabilir.
- SPF kaydını gevşetmek: Saldırgan kendi IP’lerini/servislerini “yetkili gönderici” gibi gösterebilir.
- DKIM anahtarlarını değiştirmek: Sahte e-postalar geçerli imzalı gibi görünebilir ya da meşru e-postalar doğrulanamaz hale gelerek teslimat sorunları yaşar.
- DMARC politikasını düşürmek: p=reject yerine p=none yapılması, sahteciliğe karşı korumayı zayıflatabilir.
- Autodiscover/benzeri kayıtlar: Kullanıcıların istemci otomatik yapılandırması yanlış yerlere yönlenebilir ve kimlik avı riskini artırabilir.
Özetle domain güvenliği; yalnızca web siteniz için değil, finans, satış ve destek gibi tüm e-posta trafiğiniz için bir “kök güven” katmanıdır.
Registrar güvenliği: Kilit, 2FA ve hesap hijyeni
Transfer kilidi (Registrar lock) ve yetkisiz transfer riski
Birçok registrar, domainin başka bir kuruma taşınmasını önleyen “transfer kilidi” seçeneği sunar. Bu kilit açıkken domain transferi yapmak isterseniz önce kilidi kaldırmanız gerekir. Bu, saldırganın hesabınıza kısmi erişim sağlasa bile domaini hızlıca kaçırmasını zorlaştırır.
2FA ve kurtarma mekanizmaları
Registrar hesabında iki faktörlü doğrulama (2FA) etkin olmalıdır. Sadece etkinleştirmek yetmez; kurtarma seçenekleri de güvenli olmalıdır. Ortak e-posta kutularına bağlı kurtarma adresleri, eski telefon numaraları veya çok kişinin eriştiği SMS hatları risk yaratır. Mümkünse kurumsal kimlik yönetimi ilkeleriyle uyumlu, sorumlu kişilerin kontrol ettiği bir 2FA yöntemi seçilmelidir.
Hesap sahipliği ve erişim prensipleri
Registrar hesabı “tek kişide” olmamalı; ancak “herkeste” de olmamalıdır. En iyi yaklaşım, az sayıda yetkili kullanıcı, rol bazlı erişim ve değişiklik kaydı tutmaktır. Ayrılan çalışanların erişimlerinin kaldırılması ve kayıtlı iletişim bilgilerinin güncel tutulması operasyonel bir zorunluluktur.
DNS barındırma güvenliği: Erişim, yetki ve izlenebilirlik
DNS nerede yönetiliyor?
Domain registrar ile DNS barındırma aynı yerde olabilir veya farklı sağlayıcılarda bulunabilir. Kritik olan; DNS’i yöneten hesabın güvenlik düzeyi ve süreçlerinin net olmasıdır. DNS değişikliği yapabilen her hesap, e-postanın kaderini etkiler.
En az ayrıcalık (least privilege) ve değişiklik rolleri
DNS paneline erişimi olan herkesin tüm kayıtları değiştirebilmesi ciddi bir risktir. Mümkünse yetkiler; sadece gerekli kişilere, gerekli kapsamla verilmelidir. Örneğin bir ekip web kayıtlarını yönetirken (A/AAAA/CNAME), e-posta kayıtları (MX, SPF, DKIM, DMARC) ayrı bir onay sürecine tabi olabilir.
Değişiklik günlüğü ve alarm yaklaşımı
DNS değişiklikleri için kimin ne yaptığını gösteren bir kayıt (audit log) çok değerlidir. Ek olarak, kritik kayıtlarda bir değişiklik olduğunda sorumlu ekibe bildirim gidecek bir izleme yaklaşımı operasyonel güvenliği artırır. En azından periyodik kontrol ve “beklenen kayıtlar listesi” ile kıyaslama yapılmalıdır.
E-posta ile ilişkili kritik DNS kayıtlarını kilitleme yaklaşımı
MX kayıtları: Kesinti ve yönlendirme riskinin merkezi
MX kayıtları, gelen e-postaların teslim edileceği sunucuları tanımlar. Yetkisiz değişikliklerde iki risk ortaya çıkar: e-postaların çalınması (kötü niyetli sunucuya yönlenme) ve iş sürekliliği kaybı (gelen e-posta akışının durması). MX kayıtlarınızın “beklenen değerleri” dokümante edilmeli ve acil durumda hızlı geri dönüş için hazır tutulmalıdır.
SPF: Yetkisiz gönderenlere kapı açmayın
SPF kaydı, hangi sunucuların alan adınız adına e-posta gönderebileceğini belirtir. Saldırganın SPF’i gevşetmesi, sahte e-postaların alıcı tarafında daha az şüpheli görünmesine yol açabilir. SPF değişiklikleri; yeni gönderici kaynağı devreye alırken kontrollü yapılmalı, gereksiz include/IP tanımları temizlenmelidir.
DKIM: İmza anahtarları kontrol altında olmalı
DKIM, e-postaların değişmediğini ve alan adınızla ilişkili bir imza taşıdığını gösterir. DNS’teki DKIM public key kayıtları değiştirilirse, meşru gönderimler doğrulanamayabilir veya saldırgan kendi imzasını “meşru” gibi gösterebilir. DKIM selector’ları, anahtar rotasyonu ve kayıtların bütünlüğü için değişiklik süreci sıkı tutulmalıdır.
DMARC: Politika düşürme saldırılarını gözden kaçırmayın
DMARC, kimlik doğrulama başarısız olduğunda alıcının nasıl davranacağını belirleyen politikadır. Yetkisiz bir p=none değişikliği, görünürde e-postayı bozmaz; bu yüzden fark edilmesi gecikebilir. DMARC kaydınızın beklenen policy/pct değerleri izlenmeli, raporların gittiği adresler (rua) da korunmalıdır.
Operasyonel kontrol listesi: Değişiklikleri güvenle yönetme
Teknik kontroller kadar süreç de önemlidir. Aşağıdaki pratik liste, e-posta DNS değişiklikleri ve domain güvenliği için temel bir çerçeve sağlar:
- Varlık envanteri çıkarın: Domainler, DNS barındırma hesapları, registrar hesapları, yetkili kişiler.
- Kritik kayıtların “altın kopyasını” tutun: MX, SPF, DKIM selector’ları, DMARC, MTA-STS/TLS-RPT varsa ilgili kayıtlar.
- Değişiklik onayı belirleyin: E-posta ile ilgili kayıtlar en az iki kişinin gözünden geçsin.
- TTL ve yayılımı hesaba katın: Değişikliklerin ne zaman etkili olacağını planlayın; geri dönüş için süre bırakın.
- Geri dönüş planı hazırlayın: Hatalı değişiklikte hangi kayıtlar eski haline dönecek, kim uygulayacak, hangi sırayla yapılacak.
- Şüpheli değişiklik prosedürü oluşturun: Beklenmeyen bir DNS değişikliği görülürse önce hesap güvenliği, sonra DNS geri dönüş ve son olarak e-posta akışı doğrulaması yapılmalı.
Domain Lockdown ile teslim edilebilirlik ve iş sürekliliği ilişkisi
Alan adı güvenliği sadece “hack” riskini azaltmakla kalmaz; teslim edilebilirlik ve süreklilik açısından da koruyucudur. Örneğin yanlışlıkla yapılan bir SPF/DKIM değişikliği, e-postalarınızın spam’e düşmesine neden olabilir. MX kaydı hatası ise doğrudan kesinti yaratır. Domain Lockdown yaklaşımı, bu hataların hem olasılığını hem de etkisini azaltır: daha az kişi değişiklik yapar, değişiklikler izlenir ve geri dönüş hızlı olur.
Sonuç: E-postayı korumak için domaini kilitleyin
Kurumsal e-posta güvenliği, sadece kullanıcı eğitiminden veya güçlü parolalardan ibaret değildir. Alan adınız ve DNS yönetiminiz, e-posta altyapınızın kontrol merkezidir. Registrar güvenliği, DNS erişim kontrolü ve iyi bir değişiklik yönetimi birlikte uygulandığında; hem yetkisiz müdahalelere karşı dayanıklılık artar hem de yanlış yapılandırma kaynaklı kesintiler azalır.
MX1Mail gibi kurumsal e-posta hizmeti kullanırken de bu temel prensipler geçerlidir: E-posta hizmeti ne kadar sağlam olursa olsun, alan adınızın DNS kayıtları doğru ve güvenli yönetilmediğinde risk oluşur. Bu nedenle domain kilidi yaklaşımını bir kere kurup, düzenli aralıklarla gözden geçirmek uzun vadede en pratik yatırımdır.