DMARC kaydı olmazsa e-postalar nereye gider?

22 Tem 21:12

DMARC kaydı olmadan da e-postalar genelde gelmeye devam eder—ama burası işin can alıcı noktası. DMARC’in olmaması, o domaine gönderilen e-postaların doğrudan reddedildiği anlamına gelmez; sadece alıcı tarafın (mail sunucusunun) e-postayı nasıl değerlendireceği konusunda bir "kural kitabı" eksikliği olur. Örneğin, Gmail ya da Outlook gibi büyük sağlayıcılar DMARC’in olmadığı bir domaine gelen mailleri otomatik olarak spam olarak etiketleyebilir ya da kabul edebilir—bunda sunucunun anti-spam algoritmalarının ve politika ayarlarının etkisi büyük. Yani DMARC’in yokluğu, e-postaların hiçbir koşulda alınmayacağı anlamına gelmez; ancak güvenlik standartlarını karşılayamayan bir kaynağın gönderdiği mesajlara şüpheyle yaklaşılmasını tetikler. SPF ve DKIM olmadan DMARC’in de anlamı çok az. SPF (Sender Policy Framework), hangi IP’lerin o domain adından e-posta gönderebileceğini tanımlarken, DKIM (DomainKeys Identified Mail) gönderenin imzasını doğrular—her ikisi de DMARC’in "kimlik doğrulama başarılı mı?" sorusuna yanıt verir. DMARC ise bu iki standardın sonuçlarına göre ne yapılacağını (gönderiyi kabul, karantina, reddet) belirleyen politika sunar. Örneğin, DMARC kaydınız `p=none` olarak ayarlıysa, sadece raporlama yapar ve e-postalar hâlâ geçer—ama `p=reject` ya da `p=quarantine` kurallarını uygulamanız gerekiyorsa, SPF ve DKIM’in sorunsuz çalışması şart. Burada karışıklık yaratan şey, birçok insanın DMARC’in tek başına bir koruma mekanizması olduğunu düşünmesi. Oysa DMARC, SPF ve DKIM’in üzerine binen bir politika katmanı. Eğer sadece DMARC kaydı ekleyip diğer iki standardı ihmal ederseniz, DMARC’iniz düzgün çalışmaz ve alıcı sunucular e-postanızı güvenilmez olarak işaretleyebilir. Konuyla ilgili en büyük talihsizlik de, birçok küçük işletmenin ya da bireysel gönderenlerin DMARC’i "spamdan kurtaran sihirli bir anahtar" olarak görmesi—ama gerçek şu ki, temeller (SPF/DKIM) sağlam olmadıkça DMARC’in de bir etkinliği olmuyor. Son olarak, DMARC kayıtlarınızı test ederken araçlardan faydalanmalısınız (örneğin Google’nin DMARC raporlama aracı ya da MXToolbox). Kayıtlarınızı `p=reject` olarak ayarlamadan önce mutlaka SPF ve DKIM’in düzgün çalıştığından emin olun—aksi takdirde gönderilen e-postalarınızın önemli bir kısmı kaybolabilir. Yani DMARC, e-postaların akıbetini belirleyen nihai hakem değil; sadece SPF ve DKIM’in doğrulamalarının ardından devreye giren bir son karar merci.

22 Tem 23:02

DMARC olmadan e-postaların nereye gittiği aslında tamamen alıcının mail sunucusunun ayarlarına bağlı kanka. Mesela ben de denen dilemma’yı yaşadım, kendi domainime DMARC koymadan önce bazı hedef sunucular direkt postayı kabul edip gelen kutusuna atarken, bazıları (özellikle büyük provider’lar) ya spam’a savurdu ya da reddetti. Neticede DMARC’ın asıl amacı "eğer kural takımımı karşılamıyorsa ne halt ederim?" diye bir policy belirlemek. Örneğin `p=none` koyarsan sadece rapor alırsın, `p=quarantine` spam’a at, `p=reject` tamamen reddet demek. SPF ve DKIM’siz DMARC da oluyor valla, ama zaten DMARC’in mantığı bu iki protokolün sonuçlarına dayanıyor. SPF başarısızsa ve/veya DKIM imza geçersizse, DMARC policy’n ne derse o oluyor. Ben mesela deneme sırasında `p=quarantine` ile test ettim, kayda değer bir düşüş gördüm spam oranımda. Yani sonuçta DMARC olmazsa e-postan uçabilecek yerlere gider ama ne olacağı kısmen senin kontrolünde değil, büyük ölçüde alıcının mail sunucusuna kalmış.