E-Posta Başlıklarını (Headers) Okuma ve Analiz Etme

Her e-posta, görünür mesaj metninin çok ötesinde gizli bir yol haritası taşır: başlıklar (headers). Bir iletinin kimden geldiğini, hangi sunuculardan geçtiğini, güvenlik protokollerinin onu imzalayıp imzalamadığını ve spam filtrelerinin ne tepki verdiğini anlatan bu teknik kayıtlar, e-posta güvenliğinin temel çözümleme aracıdır. Kimlik avı (phishing) saldırılarını tespit etmek, teslimat sorunlarını çözmek ve yasal kanıt toplamak için başlıkları okumayı bilmek artık temel bir dijital okuryazarlık becerisidir.

E-Posta Başlığı Nedir?

İnternet e-postasının teknik temeli RFC 5322 (İnternet Mesaj Biçimi) standardıyla belirlenmiştir. Bu standart, her mesajın iki bölümden oluştuğunu tanımlar: boş bir satırla ayrılan başlık bölümü (header section) ve gövde (body). Başlıklar, Alan-Adı: değer biçiminde satırlardan oluşur ve posta istemcileri bunları genellikle kullanıcıdan gizler; oysa içerdikleri bilgi son derece zengindir.

Bir başlık alanı en basit hâliyle şöyle görünür:

From: Ahmet Yılmaz <ahmet@ornek.com>
To: fatma@hedef.com
Subject: Toplantı Daveti
Date: Mon, 06 Apr 2026 09:00:00 +0300
Message-ID: <20260406090000.12345@ornek.com>

Ancak asıl analitik değer, posta sunucularının iletiye otomatik olarak eklediği Received, Authentication-Results, DKIM-Signature ve X-Spam-Status gibi alanlarda yatar.

Temel Başlık Alanları ve Anlamları

Aşağıdaki tablo, en sık karşılaşılan başlık alanlarını, tanımlarını ve güvenlik açısından ne ifade ettiklerini özetlemektedir:

Received Zincirini Okuma: İletinin Yolculuğu

Received başlıkları, SMTP protokolünün (RFC 5321) en şeffaf özelliğidir. Her aktarım ajanı (MTA) iletiyi aldığında bu alana kendi damgasını vurur. Kritik nokta, son alınan sunucunun kaydının en üstte, ilk gönderenin kaydının en altta yer almasıdır. Bu nedenle zinciri alttan yukarıya okumak gerekir.

Örnek bir Received satırı:

Received: from mail.ornek.com (mail.ornek.com [203.0.113.10])
        by mx.hedef.com (Postfix) with ESMTPS id A1B2C3D4E5
        for <fatma@hedef.com>; Mon, 06 Apr 2026 09:00:45 +0300 (TRT)

Bu satırda 203.0.113.10 IP adresi iddia edilen gönderen sunucudur. Bu IP'nin gerçekten ornek.com alan adına ait olup olmadığı, ters DNS (rDNS) sorgusuyla doğrulanabilir. Zincirde beklenmedik bir sunucu görünüyorsa, iletiyi ele geçiren bir ara düğüm olabilir.

Kimlik Doğrulama Protokollerini Anlama: SPF, DKIM ve DMARC

Modern e-posta güvenliği üç birbirini tamamlayan protokole dayanır. Bunların başlıklardaki izleri, iletinin meşruiyeti hakkında en güvenilir bilgiyi verir.

SPF (Sender Policy Framework — RFC 7208): Alan adının DNS kaydında hangi IP adreslerinin o alan adı adına posta gönderebileceği listelenir. Alıcı sunucu, gönderenin IP'sini bu listeyle karşılaştırır. Sonuç Authentication-Results alanında spf=pass veya spf=fail olarak görünür.

DKIM (DomainKeys Identified Mail — RFC 6376): Gönderen sunucu, mesaj gövdesinin ve seçili başlıkların hash değerini özel anahtarıyla imzalar. Bu imza DKIM-Signature başlığına eklenir. Alıcı sunucu, alan adının DNS'inden açık anahtarı çekerek imzayı doğrular. İmzanın geçerliliği dkim=pass olarak raporlanır. Mesaj aktarım sırasında değiştirilmişse imza bozulur.

DMARC (Domain-based Message Authentication, Reporting and Conformance — RFC 7489): SPF ve DKIM sonuçlarını bir politikayla birleştirir: none (yalnızca raporla), quarantine (spam klasörüne gönder) veya reject (iletimi reddet). DMARC aynı zamanda alan adı sahibine hizalama (alignment) kontrolü sağlar: From adresinin, SPF veya DKIM tarafından doğrulanmış alan adıyla aynı olmasını zorunlu kılar.

Üç protokol de geçerliyse başlıkta şuna benzer bir sonuç görürsünüz:

Authentication-Results: mx.hedef.com;
  spf=pass smtp.mailfrom=ornek.com;
  dkim=pass header.d=ornek.com;
  dmarc=pass action=none header.from=ornek.com

Başlıkları Nerede ve Nasıl Görüntülersiniz?

Her posta istemcisi başlıkları farklı bir menü altında sunar. En yaygın yöntemler:

• Gmail: Mesajı açın → sağ üstteki üç nokta → "Orijinali göster" (Show original)
• Outlook (masaüstü): Mesajı açın → Dosya → Özellikler → İnternet üstbilgileri kutusu
• Apple Mail: Mesajı seçin → Görünüm menüsü → İleti → Ham Kaynak (Raw Source)
• Thunderbird: Mesajı açın → Görünüm → Mesaj Kaynağı (Ctrl+U)

Ham başlık metnini kopyaladıktan sonra analiz için çeşitli araçlar kullanabilirsiniz. Google'ın Message Header Analyzer ve MXToolbox'ın Email Header Analyzer aracı, zinciri görsel olarak düzenleyerek her adımdaki gecikmeyi ve kimlik doğrulama durumunu gösterir.

Sahte Gönderici (E-posta Sahteciliği) Tespiti

E-posta sahteciliği (email spoofing), saldırganın From alanını keyfi biçimde değiştirmesine dayanır. SMTP protokolü tarihsel olarak bu alana erişimi kısıtlamaz. Başlık analizinde sahtecilik belirtileri şunlardır:

• From alan adı ile Return-Path alan adının farklı olması
• Received zincirindeki ilk (en alttaki) IP'nin, iddia edilen gönderenin SPF kaydıyla eşleşmemesi
• dkim=fail veya dmarc=fail sonuçları
• Message-ID alan adının From alan adından farklı bir etki alanı içermesi
• Received zincirinin geriye doğru izlendiğinde yabancı veya tanımsız sunuculara dayanması

Tüm bu işaretler tek başına kesin kanıt olmasa da birlikte değerlendirildiğinde güçlü bir kimlik avı göstergesi oluşturur.

Türk Hukuku Açısından E-Posta Başlıkları

Türkiye'de ticari elektronik ileti (TEİ) gönderimine ilişkin temel düzenleme 6563 sayılı Ticari İletişim ve Ticari Elektronik İletiler Hakkında Kanun (RG: 05.11.2014, Sayı: 29166) ve bu kanuna dayanan Ticari Elektronik İletilere İlişkin Yönetmelik (RG: 04.01.2020, Sayı: 31001)'dir. Söz konusu mevzuat, ticari e-postaların From ve Reply-To alanlarında gerçek gönderici bilgisi içermesini zorunlu kılmaktadır (Yönetmelik md. 6). Yanıltıcı başlık kullanan gönderenler BTK tarafından idari para cezasına çarptırılabilir.

Öte yandan kişisel veri niteliği taşıyan X-Originating-IP gibi başlık bilgileri, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında değerlendirilir. Bu verilerin üçüncü taraflarla paylaşılması veya log amaçlı saklanması KVKK'nın 5. ve 12. maddelerine uyumu gerektirir.

Hukuki süreçlerde e-posta başlıkları delil olarak kullanılabilir; ancak 5651 sayılı Kanun kapsamında delil zincirinin bütünlüğü (chain of custody) titizlikle korunmalı, hash değerleriyle doğrulanmalıdır.

Sık Sorulan Sorular

Kaynaklar ve İleri Okuma

• RFC 5322 – Internet Message Format — E-posta başlıklarının temel biçimini tanımlayan IETF standardı; From, To, Message-ID gibi alanların sözdizimi burada tanımlanmıştır.
• RFC 6376 – DomainKeys Identified Mail (DKIM) Signatures — DKIM imza mekanizmasını açıklayan standart; DKIM-Signature başlığının yapısını ve doğrulama sürecini kapsamaktadır.
• RFC 7489 – DMARC: Domain-based Message Authentication, Reporting, and Conformance — SPF ve DKIM sonuçlarını birleştiren politika çerçevesi; Authentication-Results yorumlaması için temel referans.
• 6563 Sayılı Ticari İletişim ve Ticari Elektronik İletiler Hakkında Kanun — Türkiye'de ticari e-posta gönderimini düzenleyen temel yasa; gönderici kimliği ve onay zorunluluklarını belirler.
• Ticari Elektronik İletilere İlişkin Yönetmelik (RG: 04.01.2020) — 6563 sayılı Kanun'a dayalı yönetmelik; yanıltıcı başlık yasağı dahil teknik gereklilikleri kapsar.
• Google Apps Toolbox – Message Header Analyzer — Ham başlık metnini yapılandırılmış biçimde görüntüleyen, gecikme noktalarını ve kimlik doğrulama sonuçlarını vurgulayan ücretsiz araç.