SPF, DKIM ve DMARC Kontrolü

Bir alan adına gönderilen e-postanın ulaşıp ulaşmayacağı ve o alan adından geldiğini iddia eden e-postaya güvenilip güvenilmeyeceği neredeyse tamamen birkaç DNS kaydıyla belirlenir. Bu araç hepsini tek seferde okur.

MX kayıtları, alan adına gelen e-postayı kabul eden sunucuları tercih sırasıyla (küçük sayı önce) listeler. Her MX sunucusunun kendi A veya AAAA kaydı olmalıdır; araç ilk beşini çözümler. Tek bir 0 . MX kaydı boş MX’tir (RFC 7505): alan adı hiç e-posta kabul etmediğini bildirir.

SPF (RFC 7208), v=spf1 ile başlayan ve alan adı adına gönderme yetkisi olan sunucuları listeleyen bir TXT kaydıdır: adres aralıkları (ip4:, ip6:), başka alan adlarının listeleri (include:) ve geri kalan her şey için son kural; genellikle -all (reddet) ya da ~all (şüpheli işaretle). Bir alan adı yalnızca bir SPF kaydı yayımlayabilir ve değerlendirmesi, eklenen kayıtların içindekiler dahil her include, a, mx, ptr, exists ve redirect sayılarak en fazla on DNS sorgusu gerektirebilir. Onu aşınca alıcılar kalıcı hata döndürür; birçok bulut göndericiyi listeleyen SPF kayıtları sessizce bu yüzden bozulur.

DMARC (RFC 7489), _dmarc.<alan-adı> adresinde durur ve alıcılara hem SPF hem DKIM hizalamasından geçemeyen e-postayla ne yapacaklarını söyler: hiçbir şey (p=none), spam klasörü (quarantine) ya da reddet (reject); toplu raporların nereye gönderileceğini de belirtir (rua=). Olağan yol p=none ile başlamak, raporları okumak ve sonra politikayı sıkılaştırmaktır.

MTA-STS (RFC 8461) ve TLS raporlama (RFC 8460), gönderen sunuculardan TLS kullanmayı zorunlu kılmalarını ve hataları bildirmelerini ister. DNS kaydı yalnızca bir politikanın varlığını duyurur; politikanın kendisi mta-sts.<alan-adı> üzerindeki bir dosyadır ve bu araç onu indirmez.

DKIM anahtarları <seçici>._domainkey.<alan-adı> adresindedir. Seçiciyi e-postayı imzalayan taraf belirler ve DNS’ten listelenemez: alınmış bir iletinin DKIM-Signature başlığındaki s= değerini bulup yukarıya girin.

Buradaki her şey çözümleyicimiz üzerinden herkese açık DNS’ten gelir. Alan adının e-posta sunucularıyla hiçbir bağlantı kurulmaz.