DMARC Politikası Nedeniyle Reddedilen E-Postalar Nasıl Düzeltilir?

E-postanız alıcıya ulaşmadan "550 5.7.26 This message does not pass authentication checks" veya benzeri bir hatayla reddedildiyse büyük olasılıkla DMARC politikasıyla karşılaştınız. Bu rehber, hatanın kökünü tespit etmeyi ve kalıcı olarak çözmeyi adım adım açıklıyor.

DMARC Nedir ve Neden E-Postanız Reddedildi?

DMARC (Domain-based Message Authentication, Reporting, and Conformance), RFC 7489'da tanımlanan bir e-posta kimlik doğrulama protokolüdür. SPF (RFC 7208) ve DKIM (RFC 6376) üzerine inşa edilen DMARC, alan adı sahiplerine "benim adımdan gönderilen ancak doğrulamayı geçemeyen e-postalara ne yapılsın?" sorusunun yanıtını DNS üzerinden bildirme imkânı tanır.

Bir e-posta sunucusu mesajı aldığında şu kontrol zincirini işletir:

1. Gönderen IP, From: başlığındaki alan adının SPF kaydında yetkili mi?
2. Mesajın DKIM imzası geçerli mi ve imzalayan alan adı From: alanıyla hizalı mı?
3. Bu iki kontrolden en az biri geçildi mi?

Üçü de başarısız olursa, alıcı sunucu alan adının _dmarc TXT kaydındaki politikaya (p=none, p=quarantine veya p=reject) göre mesajı işler. p=reject politikasında sunucu mesajı 5xx kalıcı hatasıyla geri döndürür; gönderen tarafta bu durum "bounce" olarak kaydedilir.

Sık Karşılaşılan Hata Kodları ve Anlamları

Farklı e-posta sağlayıcıları DMARC reddini farklı kodlarla bildirir. Aşağıdaki tablo en yaygın hata mesajlarını ve kaynaklarını özetlemektedir:

Adım 1: DMARC Kaydını Okuyun ve Anlayın

Terminal veya bir DNS sorgulama aracıyla alan adınızın DMARC kaydını çekin:

dig TXT _dmarc.sirketiniz.com +short
# veya
nslookup -type=TXT _dmarc.sirketiniz.com

Tipik bir DMARC kaydı şöyle görünür:

v=DMARC1; p=reject; rua=mailto:dmarc-raporlar@sirketiniz.com; ruf=mailto:dmarc-adli@sirketiniz.com; pct=100; adkim=s; aspf=s

Önemli etiketler:

• p= Politika: none (sadece izle), quarantine (spam klasörüne gönder), reject (reddet).
• adkim= DKIM hizalama modu: r (relaxed, varsayılan), s (strict). Strict modda imzalayan alan adı From: alanıyla birebir eşleşmelidir.
• aspf= SPF hizalama modu: r veya s.
• pct= Politikanın uygulandığı mesaj yüzdesi (0-100).
• rua= Toplam (aggregate) DMARC raporlarının gönderileceği adres.

Adım 2: SPF Kaydını Doğrulayın

RFC 7208'e göre bir alan adının en fazla bir SPF kaydı olabilir ve DNS sorgusu sayısı 10'u geçemez. Kaydınızı kontrol edin:

dig TXT sirketiniz.com +short | grep spf

Connect365 üzerinden gönderim yapıyorsanız Connect365'in gönderim IP aralığını veya include: mekanizmasını SPF kaydınıza eklemeniz gerekir. Örnek:

v=spf1 include:spf.connect365.com.tr ip4:203.0.113.10 ~all

SPF doğrulaması için Google'ın Toolbox aracını (toolbox.googleapps.com) veya açık kaynaklı pyspf kütüphanesini kullanabilirsiniz. Microsoft'un Remote Connectivity Analyzer aracı (testconnectivity.microsoft.com) da SPF ve DMARC uyumunu analiz eder.

Dikkat: DMARC SPF hizalamasında kontrol edilen alan adı, MAIL FROM (zarf göndereni, RFC 5321) değil, From: başlığıdır. Birçok toplu gönderim platformu kendi alan adını MAIL FROM olarak kullandığından, aspf=s (strict) moduyla hizalama başarısız olabilir. Bu durumda aspf=r (relaxed) tercih edilebilir veya özel gönderim alan adı (bounce.sirketiniz.com) tanımlanabilir.

Adım 3: DKIM İmzasını Doğrulayın

RFC 6376 kapsamında tanımlanan DKIM, mesajın başlık ve gövdesinin gönderim sunucusu tarafından özel anahtarla imzalandığını ve alıcının DNS'teki ortak anahtarla bu imzayı doğrulayabildiğini garanti eder.

DKIM kaydınızı sorgulayın (seçici adını e-posta başlığındaki DKIM-Signature: s= alanından öğrenebilirsiniz):

dig TXT secici._domainkey.sirketiniz.com +short

Yaygın DKIM sorunları:

• İmza bütünlüğü bozulmuş: E-posta iletme (forwarding) sırasında mesaj gövdesi değişirse DKIM geçersiz hale gelir. ARC (Authenticated Received Chain, RFC 8617) bu sorunu çözmek için geliştirilmiştir.
• Anahtar uzunluğu yetersiz: 1024 bit anahtarlar hâlâ yaygın olsa da NIST ve IETF önerileri doğrultusunda en az 2048 bit tercih edilmelidir.
• TTL çok düşük: DNS yayılımı tamamlanmadan gönderim yapılması geçici hatalara yol açar.

Adım 4: DMARC Raporlarını Analiz Edin

DMARC'ın en değerli özelliği raporlamadır. rua= etiketiyle belirttiğiniz adrese günlük XML formatında toplam raporlar gönderilir. Bu raporları elle okumak zahmetlidir; aşağıdaki araçlar süreci kolaylaştırır:

• Google Postmaster Tools (postmaster.google.com): Alan adınızın Gmail'deki itibarını, SPF/DKIM/DMARC uyumunu görsel olarak sunar.
• dmarcian: DMARC raporlarını bulut üzerinde işleyip görselleştirir; ücretsiz katmanı mevcuttur.
• MXToolbox DMARC Analyzer: Hızlı teşhis için kullanışlıdır.
• parsedmarc: Açık kaynaklı Python aracı; raporları ayrıştırıp Elasticsearch'e aktarabilir.

Raporlarda dkim=fail veya spf=fail gördüğünüzde, reddedilen mesajların kaynak IP adresleri ve gönderen alan adları da listelenir. Bu sayede yetkisiz gönderim kaynakları (üçüncü taraf hizmetler, eski sunucular) tespit edilebilir.

Adım 5: Kademeli Politika Geçişi

Mevcut politikanız p=reject ise ve meşru e-postalar reddediliyorsa, politikayı geçici olarak p=none'a çekip sorunu çözdükten sonra yeniden sıkılaştırabilirsiniz. Önerilen geçiş takvimi:

1. 1-2. Hafta: p=none; pct=100; rua=mailto:... — Tüm e-postalar geçer, sadece raporlama aktif.
2. 3-4. Hafta: p=quarantine; pct=10 — Mesajların %10'u spam klasörüne düşer; geri kalan normale devam eder.
3. 5-6. Hafta: p=quarantine; pct=100 — Uyumsuz tüm mesajlar karantinaya alınır.
4. 7. Hafta+: p=reject; pct=100 — Tam uygulama.

Özel Durumlar: Yönlendirme, Listeler ve Üçüncü Taraf Gönderim

E-posta yönlendirmesi (forwarding) DKIM imzasını bozmaz, ancak SPF'i bozabilir. RFC 5321 kapsamında her yönlendirme adımında orijinal gönderici IP'si değişir. ARC (RFC 8617) bu zinciri korumak için tasarlanmıştır; Google ve Microsoft ARC'ı destekler.

Mailchimp, SendGrid, Amazon SES gibi üçüncü taraf gönderim hizmetleri kullanıyorsanız:

• Her hizmetin SPF include: mekanizmasını veya yetkili IP'lerini kayıtlarınıza ekleyin.
• Hizmetin size sağladığı DKIM seçicisini DNS'e TXT kaydı olarak ekleyin.
• Mümkünse gönderim için özel bir alt alan adı (mail.sirketiniz.com) kullanın.

Sık Sorulan Sorular