Neden Kurumsal E-posta Önemli?

Gmail veya Hotmail gibi ücretsiz servisler kişisel kullanım için yeterli olabilir; ancak bir işletme olarak @gmail.com ile gönderilen e-postalar potansiyel müşterilerde güven açığı yaratır. Google Workspace'in kendi yayımladığı araştırma verilerine göre alan adına bağlı kurumsal e-posta kullanan işletmeler, ücretsiz e-posta adresine kıyasla yanıt oranlarında ortalama %30 artış bildirmektedir.

Bunun ötesinde, KVKK'nın 12. maddesi uyarınca kişisel veri işleyen işletmelerin teknik ve idari güvenlik tedbirlerini alması zorunludur. Kurumsal e-posta altyapısı bu yükümlülüğün yerine getirilmesinde kritik bir rol oynar; şifreleme, erişim yönetimi ve denetim kaydı yetenekleri ücretsiz servislerden çok daha gelişmiştir.

Adım 1: Alan Adınızı Edinin

Eğer henüz bir alan adınız yoksa .com.tr uzantısı için NIC.TR kayıt sürecini tamamlamanız gerekir. .com.tr kayıtları BTK'ya bağlı NIC.TR tarafından yönetilir; kayıt için vergi levhası veya ticaret sicil belgesi zorunludur. Yıllık alan adı maliyeti 2026 itibarıyla tipik olarak 300–600 TL arasında değişmektedir (kur değişkendir, son güncelleme: Haziran 2026).

Alan adınızı edindikten sonra DNS yönetim panelinize erişiminizi doğrulayın. Tüm sonraki adımlar bu panel üzerinden gerçekleşecektir.

Adım 2: E-posta Servis Sağlayıcısı Seçin

Kurumsal e-posta için üç temel yaklaşım mevcuttur:

Türkiye'deki çoğu KOBİ için yönetilen bir servis tercih edilir; çünkü spam filtresi, antivirüs, yedekleme ve güncelleme yükü servis sağlayıcısına devredilir. Self-hosted çözümler tam kontrol sağlasa da Postfix/Dovecot gibi açık kaynak yazılımların yapılandırılması deneyimli bir sistem yöneticisi gerektirir.

Adım 3: MX Kaydı Oluşturun

MX (Mail Exchanger) kaydı, RFC 5321'e göre gelen e-postaların hangi sunucuya iletileceğini belirler. Servis sağlayıcınız size özel MX kayıtları verecektir. DNS panelinizde şu şekilde görünür:

MX kaydı oluşturduktan sonra DNS yayılımı 15 dakika ile 48 saat arasında sürebilir. dig MX sirketiniz.com.tr komutuyla yayılımı doğrulayabilirsiniz. Windows kullanıcıları nslookup -type=MX sirketiniz.com.tr komutunu tercih edebilir.

Adım 4: SPF Kaydı — Sahte Gönderimini Önleyin

SPF (Sender Policy Framework), RFC 7208'de tanımlanmıştır ve alan adınız adına e-posta göndermeye yetkili sunucuları belirtir. Bu kayıt olmadan e-postalarınız alıcı sunucular tarafından spam olarak işaretlenebilir.

~all (softfail) ile -all (hardfail) arasındaki fark önemlidir: ~all yetkisiz kaynaklardan gelen postaları şüpheli olarak işaretler ancak reddetmez; -all ise doğrudan reddeder. Yeni kurulumlar için önce ~all ile başlayıp birkaç hafta izleme yapmanız önerilir.

RFC 7208'e göre bir alan adı için yalnızca bir adet SPF TXT kaydı tanımlanmalıdır; birden fazla SPF kaydı tanımlamak kalıcı hata (permerror) ile sonuçlanır.

Adım 5: DKIM Kaydı — Dijital İmzalama

DKIM (DomainKeys Identified Mail), RFC 6376'da standartlaştırılmıştır. E-posta içeriğinin iletim sırasında değiştirilmediğini kriptografik olarak kanıtlar. Servis sağlayıcınız size bir public key verecektir; bu anahtarı DNS'e TXT kaydı olarak eklemeniz yeterlidir.

2048-bit RSA anahtarı, 1024-bit'e kıyasla çok daha güvenlidir. Google ve Yahoo, Şubat 2024'ten itibaren yüksek hacimli göndericiler için DKIM zorunluluğunu resmi olarak duyurdu; bu nedenle DKIM artık isteğe bağlı değil, fiilen zorunludur.

Adım 6: DMARC Kaydı — Politika ve Raporlama

DMARC (Domain-based Message Authentication, Reporting and Conformance), RFC 7489'da tanımlanmıştır ve SPF ile DKIM'i bir politika çerçevesine bağlar. Alıcı sunucuya, kimlik doğrulama başarısız olduğunda ne yapılması gerektiğini söyler.

Politika seviyeleri şöyle özetlenebilir:

• p=none: Yalnızca raporlama; e-postayı reddetmez. Başlangıç için önerilir.
• p=quarantine: Başarısız e-postaları spam klasörüne gönderir.
• p=reject: Başarısız e-postaları tamamen reddeder. Tam koruma sağlar.

Sophos resmi teknik belgelerine göre DMARC raporlarını düzenli analiz etmek, alan adınızın phishing amaçlı kötüye kullanılıp kullanılmadığını tespit etmenin en etkili yöntemidir. İlk ay p=none ile başlayıp raporları inceledikten sonra p=quarantine ya da p=reject'e geçmeniz önerilir.

Adım 7: E-posta İstemcinizi Bağlayın

DNS kayıtları yayıldıktan sonra e-posta istemcinizi (Outlook, Thunderbird, Apple Mail veya mobil uygulama) yapılandırabilirsiniz. Servis sağlayıcınız size IMAP/SMTP sunucu bilgilerini verecektir. Genel parametreler şöyledir:

RFC 8314'e göre port 465 (implicit TLS) tercih edilmeli; port 587 STARTTLS ile kullanılmalıdır. Şifrelenmemiş port 25, yalnızca sunucular arası iletişim (MTA-to-MTA) için kullanılır; son kullanıcı istemcilerinde kesinlikle tercih edilmemelidir.

Adım 8: Kurulumu Doğrulayın

Tüm adımları tamamladıktan sonra şu araçlarla doğrulama yapın:

• MXToolbox (mxtoolbox.com): MX, SPF, DKIM ve DMARC kayıtlarını tek panelden kontrol eder.
• mail-tester.com: Gerçek bir e-posta göndererek spam skorunuzu ölçer; 10 üzerinden 10 hedefleyin.
• Google Admin Toolbox — Check MX: Google Workspace kullanıcıları için resmi doğrulama aracıdır.
• dig / nslookup: Komut satırından anlık DNS sorgusu yapmanızı sağlar.

Testlerde dikkat edilmesi gereken bir nokta: DKIM imzasının PASS, SPF sonucunun PASS ve DMARC hizalamasının aligned görünmesidir. Herhangi birinin FAIL döndürmesi, ilgili DNS kaydında hata olduğuna işaret eder.

Adım 9: KVKK Uyumu için Ek Önlemler

KVKK'nın 12. maddesi, kişisel verilerin yetkisiz erişime karşı korunmasını zorunlu kılar. Kurumsal e-posta altyapınızda şu önlemleri uygulamanız önerilir:

• İki faktörlü kimlik doğrulama (2FA): Tüm kullanıcı hesapları için zorunlu hale getirin.
• E-posta arşivleme: Yasal uyumluluk ve denetim izi için e-postaları en az 2 yıl arşivleyin.
• Çıkış yapan çalışan prosedürü: Ayrılan personelin e-posta hesaplarını anında devre dışı bırakın; iletme kuralı oluşturun.
• Veri işleme sözleşmesi (DPA): E-posta servis sağlayıcınızla KVKK kapsamında bir veri işleme sözleşmesi imzalayın.