SPF, DKIM ve DMARC e-postanın kimden geldiğini doğrulayan DNS tabanlı mekanizmalardır; SSL/TLS ise iletim sırasında içeriği şifreler. İkisi birbirinin yerine geçmez, birbirini tamamlar.
Kim ne yapar?
- SPF: Alan adı adına hangi IP'lerin posta gönderebileceğini DNS TXT kaydıyla bildirir.
- DKIM: Giden postayı özel anahtarla imzalar; alıcı, DNS'teki genel anahtarla imzayı doğrular.
- DMARC: SPF/DKIM sonuçlarının alan adıyla uyumunu (alignment) kontrol eder ve başarısız postaya ne yapılacağını (none, quarantine, reject) söyler.
- TLS: Sunucular arası iletimde içeriği dinlemeye karşı korur; göndericiyi doğrulamaz.
Örnek DNS kayıtları
ornek.com. TXT "v=spf1 mx include:_spf.saglayici.example -all"
secici1._domainkey.ornek.com. TXT "v=DKIM1; k=rsa; p=GENEL_ANAHTAR..."
_dmarc.ornek.com. TXT "v=DMARC1; p=none; rua=mailto:dmarc@ornek.com"DMARC'a p=none ile başlayıp raporları inceleyin; meşru gönderim kaynaklarını düzelttikten sonra quarantine ve ardından reject politikasına geçin.
SSL ile ilişkisi
- TLS içeriği şifreler, ama bir kimlik avı postası da TLS ile ulaşabilir. Kimlik doğrulama için SPF/DKIM/DMARC gerekir.
- DKIM anahtarı bir SSL sertifikası değildir; CA tarafından düzenlenmez, DNS'te yayınlanır.
- Posta sunucusu sertifikası, istemcilerin ve diğer sunucuların bağlantıyı güvenle kurması içindir. Kurulum ayrıntıları için bilgi bankasındaki e-posta SSL makalelerine bakın.
- Bir DMARC raporu TLS'in kullanılıp kullanılmadığını göstermez; bunun için TLS-RPT ve MTA-STS ayrıca kurulur.
Doğrulama
Kayıtları dig +short TXT _dmarc.ornek.com ile sorgulayabilirsiniz. Gönderdiğiniz bir postanın başlıklarında Authentication-Results satırında spf, dkim ve dmarc sonuçlarını görürsünüz.
Posta sunucunuzun sertifikasını SSL Checker ile denetleyin. Özetle şifreleme ve kimlik doğrulama ayrı katmanlardır; güvenli e-posta için ikisi birlikte yapılandırılmalıdır.