{"id":117,"date":"2026-10-06T13:49:06","date_gmt":"2026-10-06T10:49:06","guid":{"rendered":"https:\/\/mx1mail.com\/blog\/mta-sts-tls-rpt-nedir-kurumsal-e-posta\/"},"modified":"2026-10-06T13:49:06","modified_gmt":"2026-10-06T10:49:06","slug":"mta-sts-tls-rpt-nedir-kurumsal-e-posta","status":"publish","type":"post","link":"https:\/\/mx1mail.com\/blog\/tr\/mta-sts-tls-rpt-nedir-kurumsal-e-posta\/","title":{"rendered":"MTA-STS ve TLS-RPT Nedir? Kurumsal E-Postada TLS Zorlamas\u0131 ve Raporlama Rehberi"},"content":{"rendered":"<h2>MTA-STS ve TLS-RPT ne i\u015fe yarar?<\/h2>\n<p>Kurumsal e-postada \u00e7o\u011fu \u015firket, kullan\u0131c\u0131lar\u0131n posta kutusuna ba\u011flant\u0131s\u0131n\u0131 (IMAP\/SMTP submission) TLS ile korumaya odaklan\u0131r. Ancak e-postan\u0131n iki sunucu aras\u0131nda ta\u015f\u0131nd\u0131\u011f\u0131 \u201caktar\u0131m\u201d a\u015famas\u0131 da (server-to-server SMTP) en az bunun kadar kritiktir. Bu a\u015famada TLS genellikle \u201cf\u0131rsat\u00e7\u0131\u201d (opportunistic) \u015fekilde kullan\u0131l\u0131r: Al\u0131c\u0131 sunucu TLS destekliyorsa \u015fifreli gider, desteklemiyorsa \u015fifresiz devam edebilir. Bu davran\u0131\u015f, a\u011f \u00fczerinde araya girme (downgrade veya MITM) gibi senaryolarda riski art\u0131rabilir.<\/p>\n<p>MTA-STS (Mail Transfer Agent Strict Transport Security), alan ad\u0131n\u0131z ad\u0131na e-posta g\u00f6nderen sunuculara \u015funu s\u00f6yler: \u201cBu domaine e-posta iletirken TLS kullan ve sertifika do\u011frulamas\u0131 yap; TLS yoksa veya do\u011frulama ba\u015far\u0131s\u0131zsa teslim etmeyi dene ama d\u00fcz metne d\u00fc\u015fme.\u201d TLS-RPT (TLS Reporting) ise bu TLS teslimat denemeleriyle ilgili raporlar\u0131n, belirledi\u011finiz adrese g\u00f6nderilmesini sa\u011flar. Bu ikili, e-posta aktar\u0131m g\u00fcvenli\u011fini art\u0131r\u0131rken ayn\u0131 zamanda g\u00f6r\u00fcn\u00fcrl\u00fck kazand\u0131r\u0131r: Hangi g\u00f6nderici hangi hatay\u0131 g\u00f6r\u00fcyor, sertifika veya DNS taraf\u0131nda nerede sorun var gibi.<\/p>\n<h2>MTA-STS hangi problemi \u00e7\u00f6zer, hangi problemi \u00e7\u00f6zmez?<\/h2>\n<h3>\u00c7\u00f6zd\u00fc\u011f\u00fc temel sorunlar<\/h3>\n<ul>\n<li><strong>TLS downgrade riskini azaltma:<\/strong> Sald\u0131rgan\u0131n STARTTLS\u2019yi devre d\u0131\u015f\u0131 b\u0131rak\u0131p trafi\u011fi \u015fifresiz hale getirmesine kar\u015f\u0131 daha g\u00fc\u00e7l\u00fc bir duru\u015f sa\u011flar.<\/li>\n<li><strong>Yanl\u0131\u015f hedefe teslimat riskini azaltma:<\/strong> Politika, do\u011fru MX hedeflerinin neler oldu\u011funu da tarif ederek baz\u0131 y\u00f6nlendirme\/MX manip\u00fclasyonu senaryolar\u0131na kar\u015f\u0131 ek kontrol sunar.<\/li>\n<li><strong>Sertifika do\u011frulamas\u0131:<\/strong> TLS kullan\u0131lsa bile sertifika do\u011frulanm\u0131yorsa g\u00fcven zay\u0131flar. MTA-STS ile g\u00f6nderen, sertifikay\u0131 do\u011frulamaya zorlan\u0131r.<\/li>\n<\/ul>\n<h3>\u00c7\u00f6zmedi\u011fi veya s\u0131n\u0131rl\u0131 oldu\u011fu alanlar<\/h3>\n<ul>\n<li><strong>U\u00e7tan uca \u015fifreleme de\u011fildir:<\/strong> MTA-STS, sunucular aras\u0131 aktar\u0131m\u0131 korur. \u0130leti al\u0131c\u0131 sunucuya ula\u015ft\u0131ktan sonra (saklama, eri\u015fim, yedek) ayr\u0131 kontroller gerekir.<\/li>\n<li><strong>Kimlik do\u011frulama yerine ge\u00e7mez:<\/strong> SPF\/DKIM\/DMARC sahtecili\u011fi azaltmaya odaklan\u0131r; MTA-STS farkl\u0131 bir katman\u0131 korur.<\/li>\n<li><strong>T\u00fcm g\u00f6ndericileri zorunlu olarak kapsamaz:<\/strong> Bir\u00e7ok b\u00fcy\u00fck sa\u011flay\u0131c\u0131 destekler, ancak desteklemeyen g\u00f6nderenlerde politika etkili olmaz.<\/li>\n<\/ul>\n<h2>MTA-STS nas\u0131l \u00e7al\u0131\u015f\u0131r? Bile\u015fenler ve ak\u0131\u015f<\/h2>\n<p>MTA-STS\u2019nin iki ana bile\u015feni vard\u0131r: DNS taraf\u0131nda bir i\u015faret (TXT kayd\u0131) ve web \u00fczerinde yay\u0131nlanan bir politika dosyas\u0131. G\u00f6nderen sunucu, al\u0131c\u0131 domainin MTA-STS kulland\u0131\u011f\u0131n\u0131 DNS\u2019ten anlar, sonra HTTPS ile politika dosyas\u0131n\u0131 indirir ve belirli bir s\u00fcre cache\u2019ler. Bu sayede her mesajda tekrar tekrar kontrol etmeden politika uygulan\u0131r.<\/p>\n<h3>1) DNS\u2019te _mta-sts TXT kayd\u0131<\/h3>\n<p>Domaininizin DNS\u2019ine \u201c_mta-sts\u201d isimli bir TXT kayd\u0131 eklenir. Bu kay\u0131t, politikan\u0131n versiyonunu ve modunu belirtir. Versiyon alan\u0131 genellikle \u201cSTSv1\u201d olur. En \u00f6nemli k\u0131s\u0131m \u201cid\u201d de\u011feridir; politika dosyas\u0131nda de\u011fi\u015fiklik yapt\u0131\u011f\u0131n\u0131zda bu id\u2019yi de\u011fi\u015ftirerek g\u00f6nderenlerin yeni politikay\u0131 \u00e7ekmesini tetiklersiniz.<\/p>\n<h3>2) HTTPS\u2019te politika dosyas\u0131<\/h3>\n<p>Politika dosyas\u0131, \u201cmta-sts\u201d alt alan ad\u0131nda HTTPS ile yay\u0131nlan\u0131r ve standart bir dosya yolunda sunulur. \u0130\u00e7erikte \u00fc\u00e7 \u00f6nemli alan bulunur: mod, mx ve max_age. \u201cmx\u201d sat\u0131rlar\u0131, kabul edece\u011finiz MX hedeflerini listeler (wildcard kullan\u0131mlar\u0131, sizin altyap\u0131n\u0131za g\u00f6re dikkatle planlanmal\u0131d\u0131r). \u201cmax_age\u201d ise g\u00f6nderenin politikay\u0131 ka\u00e7 saniye saklayaca\u011f\u0131n\u0131 belirler.<\/p>\n<h3>3) Zorlama modlar\u0131: none, testing, enforce<\/h3>\n<ul>\n<li><strong>none:<\/strong> Pratikte devre d\u0131\u015f\u0131. Genellikle kullan\u0131lmaz.<\/li>\n<li><strong>testing:<\/strong> G\u00f6nderenler politikay\u0131 kontrol eder ve raporlar \u00fcretir, ancak TLS ba\u015far\u0131s\u0131z oldu\u011funda teslimat\u0131 kesmek yerine \u00e7o\u011funlukla f\u0131rsat\u00e7\u0131 davranmaya devam eder. Yay\u0131na almadan \u00f6nce g\u00f6zlem i\u00e7in uygundur.<\/li>\n<li><strong>enforce:<\/strong> TLS\/sertifika do\u011frulamas\u0131 ba\u015far\u0131s\u0131zsa teslimat ba\u015far\u0131s\u0131z olur. Ger\u00e7ek g\u00fcvenlik kazan\u0131m\u0131 bu modla gelir.<\/li>\n<\/ul>\n<h2>TLS-RPT nedir ve raporlar ne anlat\u0131r?<\/h2>\n<p>TLS-RPT, MTA-STS (ve ayr\u0131ca DANE TLSA gibi mekanizmalar) kapsam\u0131nda olu\u015fan TLS teslimat sorunlar\u0131n\u0131 raporlamak i\u00e7in geli\u015ftirilmi\u015ftir. DNS\u2019te \u201c_smtp._tls\u201d isimli bir TXT kayd\u0131yla raporlar\u0131n hangi e-posta\/URL adresine g\u00f6nderilece\u011fi bildirilir. Raporlar genellikle g\u00fcnl\u00fck periyotlarla \u00f6zet halinde gelir.<\/p>\n<h3>Raporlarda g\u00f6rebilece\u011finiz tipik durumlar<\/h3>\n<ul>\n<li><strong>STARTTLS not supported:<\/strong> Al\u0131c\u0131 taraf\u0131n TLS sunmamas\u0131 veya aradaki bir cihaz\u0131n TLS\u2019i d\u00fc\u015f\u00fcrmesi.<\/li>\n<li><strong>Certificate validation failure:<\/strong> Sertifika s\u00fcresi dolmu\u015f, ara sertifika eksik, isim e\u015fle\u015fmiyor gibi hatalar.<\/li>\n<li><strong>Policy fetch failures:<\/strong> Politika dosyas\u0131na HTTPS eri\u015filemiyor, sertifika ge\u00e7ersiz, dosya format\u0131 hatal\u0131.<\/li>\n<li><strong>MX mismatch:<\/strong> E-posta teslim edilmeye \u00e7al\u0131\u015f\u0131lan MX, politika dosyas\u0131nda izin verilenlerle uyu\u015fmuyor.<\/li>\n<\/ul>\n<p>Bu raporlar, \u201cbaz\u0131 g\u00f6ndericilerden mail gelmiyor\u201d gibi belirsiz problemlerde te\u015fhis s\u00fcresini ciddi \u015fekilde k\u0131saltabilir. Ayr\u0131ca de\u011fi\u015fiklik sonras\u0131 (sertifika yenileme, MX ge\u00e7i\u015fi, CDN\/WAF ayarlar\u0131) beklenmedik yan etkileri erken yakalaman\u0131za yard\u0131mc\u0131 olur.<\/p>\n<h2>Kurulum \u00f6ncesi kontrol listesi (en kritik noktalar)<\/h2>\n<h3>MX ve sertifika mimarisini netle\u015ftirin<\/h3>\n<p>MTA-STS, politikada tan\u0131mlad\u0131\u011f\u0131n\u0131z MX hedeflerine ba\u011fl\u0131d\u0131r. Bu nedenle domaininizin MX kay\u0131tlar\u0131 stabil olmal\u0131 ve TLS sertifikas\u0131, bu MX\u2019lerin kar\u015f\u0131l\u0131\u011f\u0131ndaki sunucu isimleriyle uyumlu olmal\u0131d\u0131r. E\u011fer mail altyap\u0131n\u0131z birden fazla hostname kullan\u0131yorsa, politikadaki \u201cmx\u201d sat\u0131rlar\u0131n\u0131 buna g\u00f6re planlamal\u0131s\u0131n\u0131z.<\/p>\n<h3>mta-sts alt alan ad\u0131 i\u00e7in HTTPS yay\u0131n\u0131n\u0131 haz\u0131rlay\u0131n<\/h3>\n<p>Politika dosyas\u0131 HTTPS ile sunulaca\u011f\u0131ndan \u201cmta-sts.sirketiniz.com\u201d i\u00e7in ge\u00e7erli bir TLS sertifikas\u0131 ve eri\u015filebilir bir web servisi gerekir. En s\u0131k sorunlar: yanl\u0131\u015f y\u00f6nlendirme, HSTS\/HTTPS zorlamas\u0131 yanl\u0131\u015f kurgusu, g\u00fcvenilir sertifika zincirinin eksik olmas\u0131, dosyan\u0131n yanl\u0131\u015f i\u00e7erikle d\u00f6nmesi.<\/p>\n<h3>\u00d6nce testing ile ba\u015flay\u0131n<\/h3>\n<p>Do\u011frudan \u201cenforce\u201d moduna ge\u00e7mek, \u00f6zellikle sertifika\/hostname mimarisi karma\u015f\u0131k olan kurumlarda e-posta kayb\u0131na yol a\u00e7abilir. Testing ile rapor toplay\u0131p sorunlar\u0131 giderdikten sonra enforce\u2019a ge\u00e7mek daha g\u00fcvenli bir ilerleme sa\u011flar.<\/p>\n<h2>Ad\u0131m ad\u0131m uygulama yakla\u015f\u0131m\u0131<\/h2>\n<h3>1) Politika tasla\u011f\u0131n\u0131 haz\u0131rlay\u0131n<\/h3>\n<p>Hangi MX\u2019lere izin verilece\u011fini belirleyin. \u00c7ok geni\u015f wildcard kullan\u0131mlar\u0131 esneklik sa\u011flasa da yanl\u0131\u015f hedefleri de kapsayabilir; \u00e7ok dar tan\u0131m ise gelecekteki de\u011fi\u015fikliklerde teslimat\u0131 bozabilir. De\u011fi\u015fiklik y\u00f6netimi a\u00e7\u0131s\u0131ndan, MX de\u011fi\u015fikli\u011fi planl\u0131 yap\u0131l\u0131yorsa id g\u00fcncellemesini de ayn\u0131 de\u011fi\u015fiklik paketine eklemek faydal\u0131d\u0131r.<\/p>\n<h3>2) DNS TXT kayd\u0131n\u0131 ekleyin<\/h3>\n<p>_mta-sts TXT kayd\u0131n\u0131z\u0131 yay\u0131nlay\u0131n ve id de\u011ferini belirleyin. id, bir \u201cversiyon numaras\u0131\u201d gibi d\u00fc\u015f\u00fcn\u00fclmelidir: Politika dosyas\u0131nda her anlaml\u0131 de\u011fi\u015fiklikte id\u2019yi de\u011fi\u015ftirin.<\/p>\n<h3>3) Politika dosyas\u0131n\u0131 HTTPS \u00fczerinden yay\u0131nlay\u0131n<\/h3>\n<p>Dosyan\u0131n her yerden eri\u015filebilir oldu\u011fundan emin olun. Kurumsal g\u00fcvenlik cihazlar\u0131 veya WAF kurallar\u0131, bu dosyaya eri\u015fen bot benzeri istekleri yanl\u0131\u015fl\u0131kla engelleyebilir. Bu tarz bloklar, g\u00f6ndericilerin politikay\u0131 \u00e7ekememesine ve raporlarda \u201cpolicy fetch\u201d hatalar\u0131na neden olabilir.<\/p>\n<h3>4) TLS-RPT\u2019yi etkinle\u015ftirip raporlar\u0131 takip edin<\/h3>\n<p>_smtp._tls TXT kayd\u0131yla rapor adresinizi belirleyin. Raporlar\u0131 toplayaca\u011f\u0131n\u0131z posta kutusunu d\u00fczenli izleyin; ideal olarak filtreleme\/etiketleme yap\u0131n \u00e7\u00fcnk\u00fc raporlar hacimli olabilir.<\/p>\n<h3>5) Sorunlar\u0131 giderip enforce\u2019a ge\u00e7in<\/h3>\n<p>Raporlarda tekrar eden sertifika do\u011frulama hatalar\u0131, MX uyumsuzluklar\u0131 veya politika eri\u015fim problemleri kalmad\u0131\u011f\u0131nda enforce moduna ge\u00e7ebilirsiniz. Enforce\u2019a ge\u00e7i\u015f, g\u00fcvenli\u011fi art\u0131r\u0131r ama ayn\u0131 zamanda yanl\u0131\u015f bir yap\u0131land\u0131rmay\u0131 da \u201ckeskin\u201d hale getirir; bu y\u00fczden de\u011fi\u015fiklikleri kontroll\u00fc yap\u0131n.<\/p>\n<h2>Yayg\u0131n hatalar ve pratik ipu\u00e7lar\u0131<\/h2>\n<ul>\n<li><strong>Politika dosyas\u0131 format hatas\u0131:<\/strong> Sat\u0131r sonlar\u0131 veya beklenmeyen karakterler, baz\u0131 g\u00f6nderenlerde politikan\u0131n reddedilmesine neden olabilir.<\/li>\n<li><strong>mta-sts subdomain sertifikas\u0131:<\/strong> \u201cmta-sts.\u201d alt alan ad\u0131 i\u00e7in sertifika yoksa veya g\u00fcvensizse politika indirilemez.<\/li>\n<li><strong>MX de\u011fi\u015ftirip id\u2019yi unutmamak:<\/strong> Politika g\u00fcncellendi\u011finde id de\u011fi\u015fmezse, baz\u0131 g\u00f6nderenler eski politikay\u0131 cache\u2019te tutup yeni MX\u2019e teslimat\u0131 reddedebilir.<\/li>\n<li><strong>\u00c7ok uzun max_age ile acele etmek:<\/strong> \u0130lk ge\u00e7i\u015fte makul bir max_age se\u00e7ip, her \u015fey stabil olunca art\u0131rmak geri d\u00f6n\u00fc\u015fleri kolayla\u015ft\u0131r\u0131r.<\/li>\n<\/ul>\n<h2>MTA-STS, SPF\/DKIM\/DMARC ile birlikte nas\u0131l konumlan\u0131r?<\/h2>\n<p>SPF, DKIM ve DMARC; g\u00f6nderenin yetkili olup olmad\u0131\u011f\u0131n\u0131 ve iletinin sahtecilikle oynan\u0131p oynanmad\u0131\u011f\u0131n\u0131 do\u011frulamaya yard\u0131mc\u0131 olur. MTA-STS ise \u201ciletim kanal\u0131\u201dn\u0131n \u015fifreli olmas\u0131n\u0131 ve TLS\u2019in do\u011frulanmas\u0131n\u0131 hedefler. Bu nedenle birbirinin alternatifi de\u011fil, tamamlay\u0131c\u0131s\u0131d\u0131r. Sa\u011fl\u0131kl\u0131 bir kurumsal e-posta altyap\u0131s\u0131nda kimlik do\u011frulama (SPF\/DKIM\/DMARC) ve aktar\u0131m g\u00fcvenli\u011fi (MTA-STS\/TLS-RPT) birlikte d\u00fc\u015f\u00fcn\u00fclmelidir.<\/p>\n<h2>Sonu\u00e7: G\u00fcvenli aktar\u0131m i\u00e7in \u00f6l\u00e7\u00fclebilir bir standart<\/h2>\n<p>MTA-STS, e-posta aktar\u0131m\u0131nda TLS kullan\u0131m\u0131n\u0131 daha g\u00fcvenilir hale getirerek \u015fifreleme downgrade riskini azalt\u0131r; TLS-RPT ise bunun sahada ger\u00e7ekten nas\u0131l \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131 raporlayarak sorunlar\u0131 g\u00f6r\u00fcn\u00fcr k\u0131lar. Do\u011fru yakla\u015f\u0131m, testing ile ba\u015flay\u0131p raporlar\u0131 izlemek, sertifika ve MX tutarl\u0131l\u0131\u011f\u0131n\u0131 sa\u011flamak ve ard\u0131ndan enforce\u2019a ge\u00e7mektir.<\/p>\n<p>E\u011fer MX1Mail gibi y\u00f6netilen bir kurumsal e-posta altyap\u0131s\u0131 kullan\u0131yorsan\u0131z, MTA-STS\/TLS-RPT planlamas\u0131n\u0131 DNS ve alan ad\u0131 y\u00f6netimi s\u00fcre\u00e7lerinizle birlikte ele almak, ge\u00e7i\u015f ve de\u011fi\u015fiklik d\u00f6nemlerinde kesinti riskini azalt\u0131r. En \u00f6nemlisi, her de\u011fi\u015fikli\u011fi raporlarla do\u011frulayarak ilerlemek, e-posta teslimat\u0131n\u0131 korurken g\u00fcvenli\u011fi art\u0131rman\u0131za yard\u0131mc\u0131 olur.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>MTA-STS ve TLS-RPT ile e-posta aktar\u0131m\u0131nda TLS kullan\u0131m\u0131n\u0131 nas\u0131l zorlayaca\u011f\u0131n\u0131z\u0131, DNS kay\u0131tlar\u0131n\u0131 ve raporlar\u0131 nas\u0131l yorumlayaca\u011f\u0131n\u0131z\u0131 ad\u0131m ad\u0131m \u00f6\u011frenin.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[10],"tags":[270,266,268],"class_list":["post-117","post","type-post","status-publish","format-standard","hentry","category-e-posta-guvenligi","tag-e-posta-dns","tag-mta-sts","tag-tls-rpt"],"_links":{"self":[{"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/posts\/117","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/comments?post=117"}],"version-history":[{"count":0,"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/posts\/117\/revisions"}],"wp:attachment":[{"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/media?parent=117"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/categories?post=117"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/tags?post=117"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}