Plesk E-Posta Güvenliği: SPF, DKIM ve DMARC ile Spama Düşmeyi Önleme

Plesk kontrol paneli üzerinden gönderilen kurumsal e-postaların alıcıların gelen kutusuna (inbox) ulaşması ve gereksiz (spam) klasörüne düşmemesi; SPF, DKIM, DMARC ve ters DNS (PTR) yapılandırmalarının eksiksiz tanımlanmasına bağlıdır. Büyük e-posta sağlayıcıları (Gmail, Microsoft 365, Yahoo), alan adı adına gönderilen iletilerin kimliğini doğrulamak için bu dört güvenlik katmanını zorunlu tutar.

SPF (Sender Policy Framework) kaydı oluşturma ve sözdizimi kuralları

SPF, alan adınız adına hangi IP adreslerinin veya harici posta sunucularının e-posta göndermeye yetkili olduğunu ilan eden bir DNS TXT kaydıdır. Alıcı sunucu bir posta aldığında gönderici alan adının SPF kaydını sorgular; gönderici sunucunun IP adresi bu listede yer almıyorsa iletiyi şüpheli olarak işaretler.

Plesk panelinde DNS yönetimi aktif olan bir alan adı için standart SPF kaydı oluştururken veya düzenlerken aşağıdaki sözdizimi kullanılır:

v=spf1 +a +mx +ip4:SUNUCU_IP_ADRESI ~all

Bu kayıtta yer alan mekanizmaların işlevleri şunlardır:

• v=spf1: Kaydın SPF sürüm 1 protokolünü kullandığını belirtir. DNS kaydının en başında yer alması zorunludur.
• +a: Alan adınızın ana A kaydına tanımlı IP adresinden gelen iletilerin geçerli sayılacağını belirtir.
• +mx: Alan adınızın MX kayıtlarında tanımlı posta sunucularının yetkili olduğunu doğrular.
• +ip4:SUNUCU_IP_ADRESI: Sunucunuzun sabit IPv4 adresini doğrudan yetkilendirir.
• ~all (SoftFail): Belirtilen mekanizmaların dışında kalan bir IP'den posta gelirse iletinin kabul edilmesini ancak alıcı tarafında şüpheli/spam olarak işaretlenmesini önerir. Test sürecinden sonra bu ifade yetkisiz gönderimleri doğrudan reddeden -all (HardFail) politikasına çekilebilir.

SPF yapılandırmasında en sık yapılan iki kritik hata bulunmaktadır:

1. Birden fazla SPF TXT kaydı açmak: Bir alan adı için DNS bölgesinde birden fazla v=spf1 kaydı bulunamaz. Eğer web sunucunuzun yanı sıra Google Workspace veya harici bir bülten servisi kullanıyorsanız, ikinci bir TXT kaydı açmak yerine mevcut kayda include mekanizması eklenmelidir:
   text

   v=spf1 +a +mx +ip4:SUNUCU_IP_ADRESI include:_spf.google.com ~all
   

2. 10 DNS sorgusu (lookup) sınırını aşmak: SPF doğrulaması sırasında alıcı sunucunun yapacağı toplam DNS sorgu sayısı 10 ile sınırlıdır. Çok sayıda include, a, mx veya ptr mekanizması kullanıldığında bu sınır aşılırsa SPF doğrulaması kalıcı hata (PermError) verir ve mailler spama düşer.

Plesk üzerinde DKIM yapılandırması

DKIM (DomainKeys Identified Mail), sunucunuzdan çıkan her e-postanın üstbilgisine (header) kriptografik bir dijital imza ekleyen güvenlik standardıdır. Sunucuda bir özel anahtar (private key) saklanır, bu anahtara karşılık gelen genel anahtar (public key) ise alan adınızın DNS kayıtlarına bir TXT kaydı olarak yerleştirilir. Alıcı sunucu, gelen e-postadaki imzayı DNS'teki genel anahtar ile çözerek iletinin yolda değiştirilmediğini ve gerçekten sizin sunucunuzdan çıktığını doğrular.

Plesk üzerinde DKIM korumasını aktif hale getirmek için şu adımları izleyin:

1. Plesk paneline giriş yapın ve işlem yapacağınız alan adını seçin.
2. Sol menüdeki Posta sekmesine gidin ve üst sekmelerden Posta Ayarları bölümünü açın.
3. İlgili alan adına tıklayın ve Giden e-posta mesajlarını imzalamak için DKIM spam koruma sistemini kullan kutucuğunu işaretleyin.
4. Uygula veya Tamam butonuna basarak ayarı kaydedin.

Alan adınızın DNS kayıtları doğrudan Plesk sunucusu üzerinde barınıyorsa, panel gerekli default._domainkey.alanadiniz.com TXT kaydını DNS tablonuza otomatik olarak ekler.

DMARC politikası belirleme ve raporlama parametreleri

DMARC (Domain-based Message Authentication, Reporting, and Conformance), SPF ve DKIM protokollerini birleştiren üst politika mekanizmasıdır. Alıcı sunucuya SPF veya DKIM doğrulaması başarısız olduğunda ne yapması gerektiğini bildirir ve alan adınız adına gönderilen sahte iletilerin istatistiklerini raporlar.

Plesk DNS ayarlarına _dmarc alt alan adı için bir TXT kaydı eklenerek DMARC devreye alınır:

v=DMARC1; p=none; rua=mailto:dmarc-rapor@alanadiniz.com; pct=100

DMARC kaydındaki temel parametreler şunlardır:

• v=DMARC1: Kaydın DMARC protokolünü kullandığını gösterir.
• p (Politika): Doğrulamayı geçemeyen e-postalara uygulanacak kuraldır. Üç seviyesi vardır:
  • p=none: Yalnızca izleme modudur. Hatalı iletiler engellenmez, sadece raporlanır.
  • p=quarantine: Başarısız iletiler alıcının spam/karantina klasörüne gönderilir.
  • p=reject: Başarısız iletiler alıcı sunucu tarafından doğrudan reddedilir ve teslim edilmez.
• rua: Günlük toplu XML raporlarının gönderileceği e-posta adresidir. Hangi IP'lerin alan adınız adına e-posta göndermeye çalıştığını analiz etmenizi sağlar.
• ruf: Doğrulama hatası alan her ileti için anlık adli hata raporlarının iletileceği adrestir.
• pct: Belirtilen politikanın trafiğin yüzde kaçına uygulanacağını belirler (örneğin pct=20 ile kademeli geçiş yapılabilir).

Yeni yapılandırmalarda doğrudan p=reject kullanmak, meşru e-postaların da yanlış bir ayar nedeniyle reddedilmesine yol açabilir. Önerilen yöntem, ilk olarak p=none moduyla başlayıp rua raporlarını 1-2 hafta izlemek, ardından p=quarantine ve en son p=reject seviyesine yükseltmektir.

Harici DNS kullanan alan adlarında DKIM ve DMARC yapılandırması

Alan adınızın ad sunucuları (nameserver) Plesk sunucusunda değil de Cloudflare veya alan adı kayıt firmanız gibi harici bir DNS sağlayıcısında bulunuyorsa, Plesk'in ürettiği anahtarlar otomatik olarak devreye girmez. Bu durumda kayıtları harici DNS paneline elle aktarmanız gerekir:

1. Plesk'te Posta > Posta Ayarları bölümüne girin ve ilgili alan adını seçin.
2. Sayfada yer alan Harici DNS'i yapılandırma bağlantısına tıklayın. Açılan pencerede seçici adı (genellikle default._domainkey) ve 2048-bit uzunluğundaki genel anahtar metni görüntülenir.
3. Harici DNS yönetim panelinize (örneğin Cloudflare DNS) giriş yapın ve yeni bir TXT kaydı ekleyin:
   • Ad (Name): default._domainkey (harici panel alan adınızı otomatik ekliyorsa sadece bu kısmı yazın).
   • İçerik (Content): Plesk penceresinde v=DKIM1; k=rsa; p=... şeklinde başlayan tırnaklar arasındaki tam metni yapıştırın.
4. Aynı şekilde DMARC için harici panelde yeni bir TXT kaydı açın:
   • Ad (Name): _dmarc
   • İçerik (Content): v=DMARC1; p=none; rua=mailto:dmarc-rapor@alanadiniz.com; pct=100

DNS kayıtlarının yayılması sağlayıcınıza ve belirlenen TTL süresine göre bir miktar zaman alabilir.

Ters DNS (PTR) kaydı ve HELO/EHLO sunucu adı uyumu

Bir e-posta sunucusunun kimliğini doğrulayan en kritik unsurlardan biri ters DNS kaydıdır. Normal DNS sorgusunda alan adından IP adresine ulaşılırken, ters DNS sorgusunda IP adresinden alan adına ulaşılır.

Büyük e-posta alıcıları, gönderici sunucunun IP adresini sorguladığında iki yönlü doğrulama (FCrDNS - Forward-Confirmed Reverse DNS) arar:

1. Gönderici sunucu IP adresinin ters DNS (PTR) kaydı bir alan adına (örneğin mail.alanadiniz.com) işaret etmelidir.
2. Dönen bu alan adının normal A kaydı da sorgulandığında yeniden aynı sunucu IP adresine dönmelidir.
3. Sunucunun SMTP oturumu başlatırken kendini tanıttığı ana makine adı (HELO/EHLO), PTR kaydındaki alan adı ile tam olarak eşleşmelidir.

Sunucu IP adresinin PTR kaydı ayarlanmadığında veya genel bir servis sağlayıcı adında bırakıldığında, SPF ve DKIM doğru olsa bile iletiler spam klasörüne düşer veya sunucu seviyesinde geri çevrilir.

Ters DNS kaydı Plesk arayüzünden değil, sunucu IP adresini tahsis eden barındırma sağlayıcısının yönetim panelinden yapılır. TREAS altyapısında sunucunuza tanımlı IP adresinin PTR kaydını müşteri panelinizdeki ağ ayarları bölümünden alan adınızın posta sunucu adıyla eşleştirebilirsiniz. Bu konunun teknik detayları için PTR kaydı nedir rehberimizi inceleyebilirsiniz.

E-posta teslim edilebilirliğini test etme ve doğrulama

Yapılandırmayı tamamladıktan sonra sistemin doğruluğunu kontrol etmek için bir test e-postası gönderilmelidir. Gönderilen iletinin e-posta üstbilgileri (message headers) incelendiğinde alıcı sunucunun yaptığı doğrulama satırları görünür:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@alanadiniz.com header.s=default;
       spf=pass (google.com: domain of info@alanadiniz.com designates 192.0.2.1 as permitted sender) smtp.mailfrom=info@alanadiniz.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=alanadiniz.com

Bu çıktıda her üç satırın da pass (başarılı) değerini alması, e-posta güvenliğinin ve alan adı kimlik doğrulamasının eksiksiz çalıştığını gösterir.

Hosting altyapısı ve geçiş

Doğru yapılandırılmış bir posta sunucusu altyapısı, kurumsal e-posta iletilerinin alıcılara sorunsuz teslim edilmesini sağlar. TREAS tarafından sunulan Plesk web hosting paketlerinde giden e-posta standartları tam desteklenir ve alan adlarınız için ücretsiz SSL sertifikası sağlanır. Ayrıca başka bir firmadan gelen müşteriler için web sitesi ve e-posta hesaplarının taşınmasında ücretsiz taşıma imkânı sunulmaktadır. Plesk panelinin genel özellikleri hakkında daha fazla bilgiye Plesk nedir sayfamızdan ulaşabilirsiniz.