E-postalarınız Neden Spam'e Düşüyor? DNS, SPF, DKIM ve DMARC Rehberi

Bülteninizi gönderdiniz, birkaç dakika sonra gelen kutunuz “teslim edilemedi” bildirimleriyle doldu. Ya da daha kötüsü: hiçbir bildirim gelmedi, e-postalar sessizce spam klasörüne düştü.

Çoğu zaman sebep e-postanın içeriği değildir. Sorun, alan adınızın arkasındaki birkaç satırlık kayıttadır. Gmail, Outlook ve Yahoo gibi servisler gelen her e-postaya “bu gerçekten bu firmadan mı geliyor?” diye sorar. Cevabı da alan adınızın DNS kayıtlarında arar.

Bu yazıda o kayıtları teknik terime boğmadan anlattık: ne işe yaradıklarını, eksik ya da yanlış olduklarında ne olduğunu ve Cloudflare’in bu işte neyi çözüp neyi çözmediğini.

1Alan Adı ve DNS: İnternetin Adres Defteri

Alan adınız (ornek.com gibi) bir isimdir. Bilgisayarlar ise birbirini sayılarla bulur. DNS, bu ismi doğru adrese çeviren adres defteridir: “siteniz şu sunucuda”, “e-postalarınız şu sunucuya gitsin”, “bu servis bizim adımıza e-posta atabilir” gibi bilgiler burada tutulur.

En sık karşılaşacağınız kayıtlar şunlar:

Kayıt	Ne İşe Yarar	Örnek
A	Adı bir sunucu adresine bağlar	Siteniz hangi sunucuda
CNAME	Bir adı başka bir ada yönlendirir	www → ornek.com
MX	E-postaların hangi sunucuya gideceğini söyler	Gelen e-posta sunucusu
TXT	Doğrulama ve güvenlik bilgilerini taşır	SPF, DKIM, DMARC

Bu yazının konusu olan üç kayıt (SPF, DKIM ve DMARC) TXT türündedir. Gözle görünmezler, ama e-postanızın kaderini belirlerler.

2SPF: Kapıdaki İzin Listesi

SPF, alan adınız adına hangi sunucuların e-posta gönderebileceğini yazan bir listedir. Bir e-posta geldiğinde alıcı servis bu listeye bakar: gönderen sunucu listedeyse kapı açılır, değilse e-posta şüpheli sayılır.

Bir SPF kaydı kabaca şöyle görünür:

v=spf1 include:_spf.hostingfirmasi.com include:_spf.toplumail.com -all

Burada “hosting firmamın sunucuları ve toplu e-posta servisim benim adıma gönderebilir, başka kimse gönderemez” deniyor. Sondaki -all kesin bir hayır anlamına gelir.

En sık yapılan üç hata:

• Yeni bir servis eklenip listeye yazılmaması. Bülten için bir toplu e-posta servisi kullanmaya başladınız ama SPF’e eklemediniz: bültenler geri döner.
• İki ayrı SPF kaydı. Bir alan adında yalnızca bir SPF kaydı olabilir. İkincisi eklenirse ikisi birden geçersiz sayılır.
• Eski servislerin listede unutulması. Yıllar önce bırakılmış servisler listede kalır. Hem adınıza gönderebilecek taraf sayısı gereksiz yere artar, hem de SPF’in 10 sorgu sınırı dolar ve kayıt çalışmaz hâle gelir.

3DKIM: Mühürlü Zarf

SPF e-postanın nereden geldiğine bakar. DKIM ise e-postanın yolda değiştirilmediğini ve gerçekten sizin sunucunuzdan çıktığını kanıtlar. Gönderen sunucu her e-postaya dijital bir imza basar. Alıcı servis bu imzayı, alan adınızın DNS’inde yayınlanan anahtarla doğrular.

Her anahtarın bir adı (seçici) vardır, örneğin default._domainkey ya da mail._domainkey. Hosting firmanız ve toplu e-posta servisiniz genellikle ayrı ayrı anahtar kullanır, ikisinin de DNS’te yayınlanması gerekir.

En sinsi hata şudur: e-posta sunucunuz her e-postayı doğru şekilde imzalar, ama anahtar DNS’te yayında değildir. İmza var, doğrulayacak anahtar yok.

Bu durumda e-postalar çoğu zaman yine teslim edilir, çünkü SPF geçiyordur. Ama alıcının başka bir adrese yönlendirdiği kutularda reddedilir, spam’e düşme ihtimali artar ve alan adı korumasını sıkılaştırdığınız gün sorun bir anda büyür. Bunu fark etmenin en kolay yolu, Gmail’de bir e-postanızı açıp “Orijinali göster” ekranındaki DKIM satırına bakmaktır.

4DMARC: Kural Kitabı

DMARC, SPF ve DKIM’in üzerine kurulan kuraldır. Alıcı servise “benim adıma gelen bir e-posta kontrollerden geçemezse ne yap” diye talimat verir. Üç seviyesi vardır:

• İzle (p=none): Hiçbir e-postayı engellemez, yalnızca rapor toplar. Başlangıç noktasıdır.
• Spam’e gönder (p=quarantine): Kontrolden geçemeyen e-postalar spam klasörüne gider.
• Reddet (p=reject): Kontrolden geçemeyen e-postalar hiç teslim edilmez. Adınıza sahte e-posta gönderilmesinin önüne geçen asıl koruma budur.

DMARC’ın en değerli tarafı raporlarıdır. Adınıza kimin, hangi sunucudan e-posta gönderdiğini görürsünüz; unutulmuş bir servisi ya da sahte gönderimleri buradan yakalarsınız. Bu yüzden doğrudan “reddet” seviyesine geçilmez. Önce birkaç hafta izlenir, kendi servislerinizin hepsinin kontrollerden geçtiğinden emin olunca sıkılaştırılır.

5Yanlış Kurulumun Bedeli

2024’ten beri Gmail ve Yahoo, 2025’ten beri Microsoft bu kontroller konusunda çok daha katı. Kimliği doğrulanamayan e-postayı artık “belki” diye kabul etmiyorlar. Eksik ya da yanlış bir kurulumun karşılığı şunlar olabiliyor:

• Bülten ve duyurular hiç ulaşmaz. Toplu gönderimler “gönderen doğrulanmadı” hatasıyla geri döner.
• Teklifler spam’e düşer. Müşteriniz e-postanızı görmez, siz de cevap gelmediğini sanırsınız.
• Adınıza sahte e-posta gönderilebilir. DMARC koruması yoksa dolandırıcılar sizin alan adınızla müşterilerinize fatura ya da ödeme talebi gönderebilir.
• Değişiklikler boşa gider. Bazı firmalarda alan adının iki ayrı DNS listesi olur: biri panelde görünür, diğeri gerçekte yayındadır. Panelde yapılan düzenleme yayına hiç yansımaz ve kimse fark etmez.

Bu sorunların ortak noktası sessiz olmalarıdır. Bir sitenin açılmadığını hemen fark edersiniz; e-postaların spam’e düştüğünü ise çoğu zaman bir müşteri “e-postanız gelmedi” dediğinde öğrenirsiniz.

6Cloudflare Burada Ne Sağlar, Ne Sağlamaz?

Cloudflare, DNS kayıtlarınızı yöneten ve isterseniz sitenizin önünde bir kalkan gibi duran bir servis. Alan adınızın DNS yönetimini Cloudflare’e taşıdığınızda siteniz ve e-postanız bulundukları yerde kalır; yalnızca adres defteri yer değiştirir.

Sağladıkları:

• Tek ve hızlı bir panel. Bütün kayıtlar tek yerde, her değişiklik genellikle birkaç dakikada yayına girer.
• Ücretsiz SSL, önbellek ve saldırı koruması. Site kayıtları aracı (proxy) moda alındığında devreye girer.
• DMARC raporlarının okunabilir hâli. Ham raporları anlaşılır tablolara çevirir; adınıza kimin e-posta gönderdiğini görmek kolaylaşır.
• Yetki paylaşımı. Hesabın sahibi siz olursunuz; ajansınızı ya da teknik ekibinizi sınırlı yetkiyle ekleyip iş bitince çıkarabilirsiniz.

Sağlamadıkları:

• E-posta sunucusu değildir. E-posta göndermez, kutularınızı barındırmaz. Hosting firmanız ya da e-posta servisiniz yerinde kalır.
• Kayıtları sizin yerinize doğru yazmaz. SPF’e hangi servisin ekleneceğini, DKIM anahtarının ne olduğunu bilmez. Yanlış kayıt Cloudflare’de de yanlış çalışır.
• E-posta ve FTP trafiğini aracı moddan geçirmez. Posta sunucusu ve FTP kayıtları “yalnızca DNS” (doğrudan bağlantı) modunda kalmalıdır. Aracı moda alınırlarsa e-posta programları sunucuya bağlanamaz.
• Otomatik aktarım her zaman eksiksiz değildir. Alan adı eklenirken kayıtlar otomatik taranır, ama alt alan adları ve imza anahtarları gözden kaçabilir. Taşımadan önce mevcut kayıtlarla tek tek karşılaştırmak gerekir.

7Ücretsiz Planın Artıları ve Eksileri

Cloudflare tek çözüm değil. Alan adınızın kayıtlı olduğu firmanın ya da hosting firmanızın DNS paneli de bu kayıtları tutabilir; ücretli DNS servisleri de var. Ama küçük ve orta ölçekli bir firma için ücretsiz plan, bu alandaki en kapsamlı destek.

Artılar	Eksiler
DNS yönetimi, SSL sertifikası ve temel saldırı koruması ücretsiz	Teknik destek topluluk forumu ve belgelerle sınırlı
Kayıt değişiklikleri hızlı yayılır	Gelişmiş güvenlik kuralları ve bazı hız özellikleri ücretli planlarda
DMARC raporlama ve e-posta yönlendirme ücretsiz	E-posta yönlendirme yalnızca gelen e-postayı iletir, gönderim yapmaz
Hesap sahipliği ve yetki paylaşımı esnek	Yanlış bir ayar (örneğin posta kaydını aracı moda almak) tek tıkla hizmeti durdurabilir
Birden fazla alan adını tek hesapta toplar	Panel İngilizce ve teknik terim yoğun

Kısacası Cloudflare ücretsiz planıyla altyapıyı düzenli ve görünür hâle getirir. Ama doğru kurulmuş kayıtların yerini tutmaz; kurulumun kendisi hâlâ dikkat ister.

8Kısa Kontrol Listesi

Kendi alan adınıza bakarken şu soruları sorun:

• E-posta gönderen her servis (hosting, toplu e-posta, varsa CRM) SPF kaydında var mı, kullanılmayanlar çıkarıldı mı?
• Alan adında yalnızca bir SPF kaydı mı var?
• Hem günlük e-postalarınızın hem toplu e-postalarınızın DKIM anahtarı DNS’te yayında mı?
• DMARC kaydı var mı, raporlar bir yere gidiyor mu?
• Panelde gördüğünüz DNS listesi gerçekten yayında olan liste mi?
• Gmail’de kendi e-postanızı açıp “Orijinali göster” dediğinizde SPF, DKIM ve DMARC’ın üçü de PASS görünüyor mu?

Bu sorulardan birine “bilmiyorum” diyorsanız sorun büyük olasılıkla henüz kendini göstermemiştir. Alan adınızın kayıtlarını birlikte gözden geçirmek isterseniz bize yazın.