{"id":185,"date":"2026-10-23T09:01:58","date_gmt":"2026-10-23T06:01:58","guid":{"rendered":"https:\/\/mx1mail.com\/blog\/caa-dns-kaydi-nedir-mail-sunucusu-sertifikalari-icin-yetkili-ca-sinirlama\/"},"modified":"2026-10-23T09:01:58","modified_gmt":"2026-10-23T06:01:58","slug":"caa-dns-kaydi-nedir-mail-sunucusu-sertifikalari-icin-yetkili-ca-sinirlama","status":"publish","type":"post","link":"https:\/\/mx1mail.com\/blog\/tr\/caa-dns-kaydi-nedir-mail-sunucusu-sertifikalari-icin-yetkili-ca-sinirlama\/","title":{"rendered":"CAA DNS Kayd\u0131 Nedir? Mail Sunucusu Sertifikalar\u0131 \u0130\u00e7in Yetkili CA\u2019y\u0131 S\u0131n\u0131rlama ve Operasyonel Tuzaklar"},"content":{"rendered":"<h2>CAA DNS kayd\u0131 ne i\u015fe yarar?<\/h2>\n<p>CAA (Certification Authority Authorization) DNS kayd\u0131, bir domain ad\u0131na hangi sertifika otoritelerinin (CA) TLS sertifikas\u0131 d\u00fczenleyebilece\u011fini k\u0131s\u0131tlamaya yarayan bir DNS mekanizmas\u0131d\u0131r. Basit\u00e7e, \u201cBu domain i\u00e7in sertifikay\u0131 sadece \u015fu CA\u2019lar kesebilir\u201d demenizi sa\u011flar. Bu kontrol, yanl\u0131\u015fl\u0131kla veya k\u00f6t\u00fc niyetli \u015fekilde hatal\u0131 sertifika d\u00fczenlenmesi riskini azaltmay\u0131 hedefler.<\/p>\n<p>CAA, e-posta altyap\u0131s\u0131nda \u00f6zellikle \u00f6nemlidir \u00e7\u00fcnk\u00fc mail ak\u0131\u015f\u0131 ve istemci ba\u011flant\u0131lar\u0131 \u00e7o\u011funlukla TLS sertifikalar\u0131na dayan\u0131r. SMTP (STARTTLS), IMAP\/POP3, webmail ve y\u00f6netim panelleri gibi bile\u015fenlerde kullan\u0131lan sertifikalar, kullan\u0131c\u0131 g\u00fcveni ve servis s\u00fcreklili\u011fi a\u00e7\u0131s\u0131ndan kritiktir. CAA do\u011fru kurgulanmad\u0131\u011f\u0131nda ise sertifika yenileme s\u00fcre\u00e7leri durabilir ve kesintiye yol a\u00e7abilir.<\/p>\n<h2>E-posta altyap\u0131s\u0131nda CAA neden \u00f6nemlidir?<\/h2>\n<p>Bir mail platformu tipik olarak birden fazla FQDN (tam nitelikli alan ad\u0131) kullan\u0131r: mx1.example.com, mail.example.com, imap.example.com, smtp.example.com, autodiscover.example.com gibi. Bu isimlerin bir k\u0131sm\u0131 ayn\u0131 sertifika \u00fczerinde SAN (Subject Alternative Name) olarak yer alabilir. CAA kayd\u0131, bu isimlerin her biri i\u00e7in sertifika d\u00fczenleme yetkisini etkileyebilir.<\/p>\n<p>\u00d6nemli nokta \u015fudur: CAA, TLS\u2019i \u201caktif olarak do\u011frulamaz\u201d; sadece CA\u2019lar\u0131n sertifika d\u00fczenlerken DNS\u2019te yetki kontrol\u00fc yapmas\u0131n\u0131 sa\u011flar. G\u00fcn\u00fcm\u00fczde CA\u2019lar\u0131n b\u00fcy\u00fck b\u00f6l\u00fcm\u00fc CAA kontrollerini uygular. Bu nedenle CAA, \u201cdo\u011fru tasarlanm\u0131\u015fsa\u201d e-posta servislerinin sertifika hijyenini iyile\u015ftirir; yanl\u0131\u015f tasarlanm\u0131\u015fsa \u201csertifika alamama\u201d gibi operasyonel ar\u0131zalara d\u00f6n\u00fc\u015febilir.<\/p>\n<h2>CAA nas\u0131l \u00e7al\u0131\u015f\u0131r? Temel mant\u0131k<\/h2>\n<p>CAA kayd\u0131, DNS \u00fczerinde belirli etiketlerle CA\u2019ya izin veya bildirim kanal\u0131 tan\u0131mlar. En s\u0131k kullan\u0131lan etiketler:<\/p>\n<ul>\n<li><strong>issue<\/strong>: Belirli bir CA\u2019n\u0131n bu domain i\u00e7in normal (DV\/OV\/EV) sertifika d\u00fczenlemesine izin verir.<\/li>\n<li><strong>issuewild<\/strong>: Wildcard sertifikalar i\u00e7in yetkiyi belirler.<\/li>\n<li><strong>iodef<\/strong>: CAA ihlali veya politika olaylar\u0131 i\u00e7in bildirim adresi (e-posta veya URL) tan\u0131mlar. (Uygulama deste\u011fi de\u011fi\u015fken olabilir.)<\/li>\n<\/ul>\n<p>CAA de\u011ferlendirmesinde kritik bir detay \u201ckal\u0131t\u0131m (inheritance)\u201d davran\u0131\u015f\u0131d\u0131r. Bir alt alan ad\u0131na (\u00f6r. mail.example.com) sertifika al\u0131n\u0131rken CA, ilgili isimde CAA yoksa \u00fcst domainlere (example.com) do\u011fru bakarak yetki olup olmad\u0131\u011f\u0131n\u0131 de\u011ferlendirir. Bu, tek bir kay\u0131tla \u00e7ok say\u0131da alt domaini kapsayabilmenizi sa\u011flar; ancak ayn\u0131 zamanda beklenmedik engellemelere yol a\u00e7abilir.<\/p>\n<h2>Mail sunucular\u0131nda tipik sertifika kapsamlar\u0131<\/h2>\n<p>CAA tasarlamadan \u00f6nce hangi isimler i\u00e7in sertifika gerekti\u011fini netle\u015ftirin. E-posta altyap\u0131lar\u0131nda yayg\u0131n senaryolar:<\/p>\n<ul>\n<li><strong>Tek isim<\/strong>: Sadece mail.example.com i\u00e7in sertifika.<\/li>\n<li><strong>\u00c7oklu SAN<\/strong>: mail.example.com, imap.example.com, smtp.example.com ayn\u0131 sertifikada.<\/li>\n<li><strong>Wildcard<\/strong>: *.example.com kullan\u0131m\u0131 (her zaman en iyi se\u00e7enek de\u011fildir; ihtiya\u00e7 ve risk i\u015ftah\u0131na g\u00f6re de\u011ferlendirilir).<\/li>\n<li><strong>Ayr\u0131 alt domain<\/strong>: transactional.example.com veya mta.example.com gibi izolasyon ama\u00e7l\u0131 alanlar.<\/li>\n<\/ul>\n<p>CAA, bu kararlar\u0131n \u00fcst\u00fcne gelen bir \u201cyetkilendirme katman\u0131\u201dd\u0131r. Sertifika stratejiniz ne kadar da\u011f\u0131t\u0131k ve karma\u015f\u0131ksa, CAA\u2019n\u0131n yanl\u0131\u015f bir noktada k\u0131s\u0131tlay\u0131c\u0131 olmas\u0131 ihtimali o kadar artar.<\/p>\n<h2>CAA kayd\u0131 tasarlarken izlenecek ad\u0131mlar<\/h2>\n<h3>1) Sertifika veren CA\u2019lar\u0131 envanterleyin<\/h3>\n<p>\u015eirketiniz bug\u00fcn hangi CA \u00fczerinden sertifika al\u0131yor? Web siteniz ayr\u0131, mail sunucunuz ayr\u0131 bir CA kullan\u0131yor olabilir. Ayr\u0131ca otomatik yenileme yapan ara\u00e7lar veya bar\u0131nd\u0131rma sa\u011flay\u0131c\u0131n\u0131z\u0131n kendi sertifika s\u00fcreci de devrede olabilir. CAA yazmadan \u00f6nce \u201ckimler sertifika kesiyor\u201d sorusunu netle\u015ftirmek gerekir.<\/p>\n<h3>2) Kapsam\u0131 belirleyin: apex mi, alt domain mi?<\/h3>\n<p>CAA\u2019y\u0131 example.com (apex) \u00fczerinde tan\u0131mlarsan\u0131z, \u00e7o\u011fu alt domain bu politikay\u0131 miras al\u0131r. Bu pratik bir yakla\u015f\u0131m olabilir; ancak baz\u0131 alt domainler farkl\u0131 CA\u2019larla y\u00f6netiliyorsa sorun \u00e7\u0131karabilir. Alternatif olarak sadece mail.example.com gibi belirli hostlarda CAA tan\u0131mlay\u0131p geri kalan\u0131n\u0131 serbest b\u0131rakabilirsiniz. Bu, kontrol\u00fc daralt\u0131r ama y\u00f6netim y\u00fck\u00fcn\u00fc art\u0131r\u0131r.<\/p>\n<h3>3) Wildcard kullan\u0131yorsan\u0131z issuewild\u2019\u0131 d\u00fc\u015f\u00fcn\u00fcn<\/h3>\n<p>Wildcard sertifikalar kullan\u0131yorsan\u0131z, \u201cissue\u201d izni vermek tek ba\u015f\u0131na yeterli olmayabilir. Baz\u0131 CA\u2019lar wildcard i\u00e7in \u201cissuewild\u201d kontrol\u00fcn\u00fc ayr\u0131ca arar. Wildcard kullanm\u0131yorsan\u0131z issuewild tan\u0131mlamamak daha temiz bir yakla\u015f\u0131md\u0131r.<\/p>\n<h3>4) De\u011fi\u015fikliklerin da\u011f\u0131t\u0131m (propagation) ve TTL etkisini planlay\u0131n<\/h3>\n<p>CAA bir DNS kayd\u0131 oldu\u011fu i\u00e7in TTL ve \u00f6nbellekler \u00f6nemlidir. Yanl\u0131\u015f bir CAA kayd\u0131 girildi\u011finde, d\u00fczeltme yapsan\u0131z bile baz\u0131 resolv\u2019lar eski politikay\u0131 bir s\u00fcre ta\u015f\u0131maya devam edebilir. Bu, \u00f6zellikle sertifika yenileme penceresine yak\u0131n zamanda de\u011fi\u015fiklik yap\u0131ld\u0131\u011f\u0131nda risklidir.<\/p>\n<h2>Yayg\u0131n operasyonel tuzaklar (ve nas\u0131l ka\u00e7\u0131n\u0131l\u0131r)<\/h2>\n<h3>Sertifika yenileme bir anda durur<\/h3>\n<p>En yayg\u0131n problem, CAA\u2019ya sadece \u201ctek CA\u201d ekleyip, ger\u00e7ekte sertifika yenilemeyi farkl\u0131 bir CA\u2019n\u0131n yapmas\u0131d\u0131r. \u00d6rne\u011fin web siteniz bir CA\u2019dan, mail sertifikan\u0131z ba\u015fka bir CA\u2019dan yenileniyor olabilir. Sonu\u00e7: otomasyon hata verir, sertifika s\u00fcresi dolar ve istemciler ba\u011flant\u0131 hatalar\u0131 g\u00f6r\u00fcr.<\/p>\n<h3>Alt domain miras\u0131 beklenmedik \u015fekilde engeller<\/h3>\n<p>example.com \u00fczerinde tan\u0131mlanan CAA, hi\u00e7 d\u00fc\u015f\u00fcnmedi\u011finiz bir alt domainin sertifika almas\u0131n\u0131 engelleyebilir. \u00d6zellikle yeni bir servis a\u00e7\u0131ld\u0131\u011f\u0131nda (\u00f6r. helpdesk.example.com) ekip \u201csertifika alam\u0131yoruz\u201d sorunu ya\u015far ve sebebi ilk bak\u0131\u015fta anla\u015f\u0131lmaz. \u00c7\u00f6z\u00fcm, CAA\u2019n\u0131n kapsam\u0131n\u0131 iyi belgelemek ve yeni servis devreye alma kontrol listesine CAA uyumlulu\u011funu eklemektir.<\/p>\n<h3>Split-horizon DNS ve i\u00e7\/d\u0131\u015f farkl\u0131l\u0131klar\u0131<\/h3>\n<p>Baz\u0131 kurumlarda i\u00e7 DNS ile d\u0131\u015f DNS farkl\u0131 cevap d\u00f6ner. CA\u2019lar d\u0131\u015far\u0131dan do\u011frulama yapt\u0131\u011f\u0131 i\u00e7in CAA\u2019n\u0131n d\u0131\u015f DNS\u2019te do\u011fru olmas\u0131 gerekir. \u0130\u00e7 DNS\u2019te farkl\u0131 bir CAA politikas\u0131 tan\u0131mlamak, ekipleri yan\u0131ltabilir. Operasyonel olarak tek kaynak do\u011frulu\u011fu hedeflenmelidir.<\/p>\n<h3>Birden fazla DNS sa\u011flay\u0131c\u0131s\u0131 veya delegation karma\u015fas\u0131<\/h3>\n<p>DNS zone y\u00f6netimi birden fazla yerde par\u00e7al\u0131ysa (baz\u0131 kay\u0131tlar farkl\u0131 sa\u011flay\u0131c\u0131da), CAA\u2019n\u0131n nerede y\u00f6netildi\u011fi kar\u0131\u015fabilir. CAA her zaman ilgili zone\u2019un otoritatif DNS\u2019inde do\u011fru \u015fekilde tan\u0131mlanmal\u0131d\u0131r.<\/p>\n<h2>E-posta i\u00e7in pratik CAA kurgular\u0131<\/h2>\n<p>A\u015fa\u011f\u0131daki yakla\u015f\u0131mlar, fikir vermek i\u00e7indir; en do\u011frusu, mevcut sertifika tedarik zincirinize g\u00f6re tasarlamakt\u0131r:<\/p>\n<ul>\n<li><strong>Merkezi kontrol<\/strong>: example.com \u00fczerinde sadece kurumun onayl\u0131 CA\u2019lar\u0131na izin verilir. T\u00fcm alt domainler bu politikay\u0131 miras al\u0131r. De\u011fi\u015fiklik y\u00f6netimi disiplin gerektirir.<\/li>\n<li><strong>Mail odakl\u0131 dar kontrol<\/strong>: Sadece mail.example.com, imap.example.com, smtp.example.com gibi kritik mail isimlerinde CAA k\u0131s\u0131tlan\u0131r. Web ve di\u011fer servisler etkilenmez. Y\u00f6netimi daha da\u011f\u0131t\u0131kt\u0131r ama daha az \u201cyan etki\u201d \u00fcretir.<\/li>\n<li><strong>Wildcard ayr\u0131m\u0131<\/strong>: Normal sertifikalar i\u00e7in bir CA, wildcard i\u00e7in farkl\u0131 bir CA gerekiyorsa issue ve issuewild ile net ayr\u0131m yap\u0131l\u0131r.<\/li>\n<\/ul>\n<h2>CAA, e-posta g\u00fcvenli\u011finde hangi bo\u015flu\u011fu doldurur?<\/h2>\n<p>CAA, e-posta g\u00fcvenli\u011finin di\u011fer katmanlar\u0131n\u0131n yerine ge\u00e7mez. SPF\/DKIM\/DMARC g\u00f6nderen do\u011frulamas\u0131 i\u00e7indir; MTA-STS\/DANE gibi mekanizmalar ta\u015f\u0131ma g\u00fcvenli\u011fi hedefler; g\u00fc\u00e7l\u00fc parola ve 2FA hesap g\u00fcvenli\u011fini g\u00fc\u00e7lendirir. CAA ise sertifika tedarik s\u00fcrecinde \u201ckim sertifika kesebilir\u201d sorusuna yan\u0131t vererek sald\u0131r\u0131 y\u00fczeyini daralt\u0131r ve yanl\u0131\u015f yap\u0131land\u0131rma risklerini azaltmaya yard\u0131mc\u0131 olur.<\/p>\n<h2>Uygulama ve bak\u0131m i\u00e7in kontrol listesi<\/h2>\n<ul>\n<li><strong>Envanter<\/strong>: Hangi FQDN\u2019ler sertifika kullan\u0131yor, hangi CA \u00fczerinden al\u0131n\u0131yor?<\/li>\n<li><strong>Dok\u00fcmantasyon<\/strong>: CAA politikas\u0131n\u0131n amac\u0131, kapsam\u0131 ve istisnalar\u0131 yaz\u0131l\u0131 m\u0131?<\/li>\n<li><strong>De\u011fi\u015fiklik y\u00f6netimi<\/strong>: Yeni servis devreye al\u0131rken CAA uyumlulu\u011fu kontrol ediliyor mu?<\/li>\n<li><strong>Yenileme takvimi<\/strong>: Sertifika biti\u015f tarihleri izleniyor mu, yenileme penceresine yak\u0131n CAA de\u011fi\u015fikli\u011fi yap\u0131lm\u0131yor mu?<\/li>\n<li><strong>DNS tutarl\u0131l\u0131\u011f\u0131<\/strong>: Otoritatif DNS cevaplar\u0131 d\u00fczenli olarak do\u011frulan\u0131yor mu?<\/li>\n<\/ul>\n<h2>Sonu\u00e7: CAA\u2019y\u0131 do\u011fru tasarlay\u0131n, sertifika s\u00fcrprizlerini azalt\u0131n<\/h2>\n<p>CAA, k\u00fc\u00e7\u00fck g\u00f6r\u00fcnen ama e-posta altyap\u0131s\u0131nda etkisi b\u00fcy\u00fck olabilen bir DNS kontrol\u00fcd\u00fcr. Ama\u00e7, domaininiz ad\u0131na sertifika d\u00fczenleyebilecek taraflar\u0131 bilin\u00e7li bi\u00e7imde s\u0131n\u0131rland\u0131rmakt\u0131r. En iyi sonu\u00e7, net bir sertifika envanteri, iyi tan\u0131mlanm\u0131\u015f kapsam ve disiplinli de\u011fi\u015fiklik y\u00f6netimi ile elde edilir.<\/p>\n<p>E-posta altyap\u0131n\u0131z\u0131 y\u00f6netirken MX1Mail gibi kurumsal bir platforma ge\u00e7i\u015f veya mevcut yap\u0131n\u0131z\u0131 iyile\u015ftirme s\u00fcrecinde, DNS taraf\u0131ndaki CAA dahil sertifika politikalar\u0131n\u0131 ba\u015ftan ele almak; SMTP\/IMAP\/webmail u\u00e7lar\u0131ndaki sertifika yenilemelerinin sorunsuz ve \u00f6ng\u00f6r\u00fclebilir ilerlemesine yard\u0131mc\u0131 olur.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>CAA kayd\u0131 ile hangi sertifika otoritesinin domaininiz ad\u0131na sertifika kesebilece\u011fini s\u0131n\u0131rland\u0131r\u0131n. SMTP\/IMAP\/webmail TLS sertifikalar\u0131nda do\u011fru tasar\u0131m, alt domain kapsam\u0131 ve hata senaryolar\u0131n\u0131 \u00f6\u011frenin.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[494],"tags":[496,114,428],"class_list":["post-185","post","type-post","status-publish","format-standard","hentry","category-dns-ve-e-posta","tag-caa-kaydi","tag-e-posta-guvenligi","tag-tls-sertifikasi"],"_links":{"self":[{"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/posts\/185","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/comments?post=185"}],"version-history":[{"count":0,"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/posts\/185\/revisions"}],"wp:attachment":[{"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/media?parent=185"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/categories?post=185"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/tags?post=185"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}