SPF, DKIM ve DMARC’ın ne işe yaradığını, DMARC’ı güvenle reject politikasına nasıl taşıyacağınızı ve e-posta doğrulamasının neleri koruyamadığını öğrenin.
E-posta, güvenin varsayıldığı bir dönemde tasarlandı. Temel protokol, gönderen sunucunun “Kimden” (From) satırına istediği adresi yazmasına izin verir; dolandırıcıların sizin alan adınızdan geliyormuş gibi görünen mesajlar gönderebilmesinin nedeni budur. DNS tabanlı üç standart, yani SPF, DKIM ve DMARC, alıcı e-posta sunucularının bir mesajın gerçekten sizden gelip gelmediğini kontrol etmesini ve gelmiyorsa ne yapması gerektiğini bilmesini sağlar.
SPF: kimlerin gönderim yetkisi var?
Sender Policy Framework (SPF), alan adınızın DNS’inde yer alan ve sizin adınıza e-posta göndermeye yetkili sunucuları ve hizmetleri listeleyen bir TXT kaydıdır. Basit bir kayıt v=spf1 include:_spf.example.net -all şeklinde olabilir; anlamı “listelenen sağlayıcıdan gelen e-postalar kabul edilir, geri kalan her şey reddedilir” demektir.
Bilinmesi gereken iki sınırlama vardır. Birincisi, SPF alıcının gördüğü “Kimden” adresini değil, teknik zarf göndericisini (Return-Path) kontrol eder. İkincisi, SPF bir mesaj yönlendirildiğinde (forward) sıklıkla başarısız olur; ayrıca standart, bir kaydın tetikleyebileceği DNS sorgusu sayısını sınırlar. Bu yüzden uzun include zincirleri kaydı sessizce bozabilir. Bu nedenle SPF tek başına marka koruması için yeterli değildir; asıl belirleyici rolü DMARC üstlenir.
DKIM: bütünlüğü kanıtlayan imza
DomainKeys Identified Mail (DKIM), giden her mesaja kriptografik bir imza ekler. E-posta platformunuz özel anahtarla imzalar, siz de eşleşen açık anahtarı DNS’te bir “selector” adı altında yayımlarsınız. Alıcı sunucu imzanın geçerli olduğunu kontrol eder; bu da mesajın imzalayan alan adı tarafından yetkilendirildiğini ve yolda değiştirilmediğini kanıtlar. DKIM, yönlendirmeye genellikle SPF’ten daha dayanıklıdır. Pazarlama platformunuzdan destek sisteminize kadar sizin adınıza e-posta gönderen her hizmet, kendi alan adınızla imza atmalıdır. Anahtarları düzenli aralıklarla yenilemek ve artık kullanılmayan selector kayıtlarını kaldırmak da iyi bir uygulamadır.
DMARC: insanların gördüğü adrese bağlamak
SPF ve DKIM’i marka korumasına dönüştüren DMARC’tır. DMARC, hizalama (alignment) kavramını getirir: bir mesajın geçmesi için görünen “Kimden” adresindeki alan adının, SPF ya da DKIM ile doğrulanan alan adıyla eşleşmesi gerekir. Ayrıca _dmarc.example.com adresindeki bir TXT kaydıyla, doğrulamayı geçemeyen e-postalara ne yapılacağını belirten bir politika yayımlamanızı sağlar:
- p=none: hiçbir işlem yapma, yalnızca rapor gönder. İzleme aşamasında kullanılır.
- p=quarantine: başarısız e-postaları şüpheli say; genellikle istenmeyen (spam) klasörüne düşer.
- p=reject: başarısız e-postaları doğrudan reddet.
DMARC, rua etiketinde belirtilen adrese gönderilen toplu raporlar da sunar. Bu raporlar alan adınızı kullanarak hangi kaynakların e-posta gönderdiğini ve doğrulamayı geçip geçmediklerini gösterir; güvenli bir geçişin temeli de bunlardır. Büyük e-posta sağlayıcıları da son yıllarda gereksinimlerini sıkılaştırarak toplu gönderim yapanlardan SPF, DKIM ve bir DMARC kaydı beklemeye başladı.
Güvenli bir geçiş planı
- Tüm göndericilerin envanterini çıkarın. Kurumsal e-posta, pazarlama ve bülten araçları, CRM, faturalama, insan kaynakları ve bordro sistemleri, destek masaları. Unutulan göndericiler sorunların başlıca kaynağıdır.
- DMARC’ı p=none ile yayımlayın, raporlamayı açın ve raporları birkaç hafta boyunca inceleyin.
- Her meşru kaynağın doğrulamasını düzeltin: uygun olduğunda SPF’e ekleyin ve kendi alan adınızla DKIM imzalamayı etkinleştirin.
- p=quarantine politikasına geçin; isterseniz önce e-postaların belirli bir yüzdesine uygulayın ve meşru e-postaların etkilenip etkilenmediğini izleyin.
- Meşru trafiğiniz istikrarlı biçimde doğrulamayı geçtiğinde p=reject politikasına geçin. Zamanla yeni araçlar ekleneceği için raporları izlemeye devam edin.
Hiç e-posta göndermeyen alan adlarını da unutmayın. Park edilmiş ve savunma amaçlı kaydedilmiş alan adları, hiçbir göndericiye izin vermeyen bir SPF kaydı (v=spf1 -all) ve reject politikalı bir DMARC kaydıyla kilitlenebilir; böylece sahtecilik için kullanılamazlar.
DMARC neyi yapmaz?
DMARC yalnızca sizin alan adınızın birebir kendisini korur. Saldırganların kendi kontrollerindeki ve kusursuz biçimde doğrulayabilecekleri examp1e.com gibi bir benzer alan adından e-posta göndermesini engellemez. Gönderen adında markanızın yazdığı ama adresin ilgisiz olduğu görünen ad hilelerini durdurmaz; gerçek bir e-posta hesabının ele geçirildiği durumlarda da yardımcı olmaz. Bu nedenle e-posta kimlik doğrulaması en iyi sonucu, benzer alan adı izleme ve kampanyalarda kullanılan alan adlarının ve sayfaların hızla kaldırılmasıyla birlikte verir.
Kalan açıkları kapatın
Kendi alan adınız kilitlendiğinde saldırganlar sizinkine yalnızca benzeyen alan adlarına yönelir. Phishvoid, e-posta kayıtlarıyla hazırlanmış olanlar dahil bu benzer alan adlarını bulur ve kayıt firmaları, barındırma firmaları ve engel listeleri üzerinden askıya aldırır. Hangi benzer alan adlarının sizin adınıza e-posta göndermeye hazır olduğunu görmek için ücretsiz tarama isteyin ya da oltalama sitesi bildirin.
Markanızı taklit eden biri mi var?
Benzer domainleri ve kopya sayfaları bulup kaldırtıyoruz. Ücretsiz maruziyet taramasıyla başlayın.