SPF (Sender Policy Framework) kaydı, belirli bir alan adından (domain) e-posta göndermeye yetkili sunucuları tanımlayan bir tür DNS TXT kaydıdır. DNS TXT (metin) kayıtları, alan adı yöneticilerinin DNS sistemine serbest metin bilgisi eklemesine olanak tanır. Başlangıçta alan adıyla ilgili önemli açıklamalar için tasarlanan bu kayıtlar, zamanla e-posta doğrulama gibi daha ileri düzey güvenlik amaçlarıyla da kullanılmaya başlamıştır.
SPF Kaydı Neden Gereklidir?
E-posta iletişiminde kullanılan standart protokol olan SMTP (Simple Mail Transfer Protocol), gönderici adresini doğrudan doğrulamaz. Bu durum, kötü niyetli kişilerin herhangi bir alan adını taklit ederek sahte e-postalar göndermesine olanak tanır. İşte bu noktada SPF devreye girer.
SPF kaydını, yalnızca belirli kişilerin yer aldığı bir misafir listesi gibi düşünebilirsiniz. Liste dışındaki bir kişi geldiğinde nasıl içeri alınmıyorsa, SPF kaydında yer almayan IP adreslerinden gelen e-postalar da sunucular tarafından reddedilir ya da spam olarak işaretlenir.
SPF Kaydı Nasıl Çalışır?
Bir e-posta sunucusu SPF kaydını doğrularken şu adımları izler:
-
Birinci sunucu (örnek: IP adresi 192.0.2.0) bir e-posta gönderir. E-posta, “email@returnpath.com” gibi bir return-path (geri dönüş) adresi içerir.
-
Alıcı sunucu (ikinci sunucu), bu geri dönüş adresinin alan adını alır ve ilgili SPF kaydını DNS üzerinden arar.
-
Eğer SPF kaydı varsa, gönderici IP adresinin listede olup olmadığını kontrol eder:
-
IP adresi listede varsa, e-posta geçerli sayılır.
-
IP adresi listede yoksa, e-posta reddedilir veya spam klasörüne düşer.
-
SPF Kaydı Nasıl Görünür?
Bir SPF kaydı belirli bir formatta olmalıdır. Örnek bir SPF kaydı şu şekildedir:
Bu ifadenin anlamı:
-
v=spf1: Bu bir SPF kaydıdır (her SPF kaydı bu ifade ile başlamalıdır). -
ip4:192.0.2.0veip4:192.0.2.1: Bu IP adresleri e-posta göndermek için yetkilidir. -
include:examplesender.email: Bu etki alanı üzerinden gelen e-postalar da yetkilidir. -
-all: Liste dışındaki tüm IP adreslerinden gelen e-postalar reddedilmelidir.
Alternatif olarak:
-
~all: Liste dışındakiler kabul edilir ama şüpheli (spam) olarak işaretlenir. -
+all: Tüm sunucular e-posta gönderebilir (güvensiz, önerilmez).
SPF Kayıtlarında Dikkat Edilmesi Gerekenler
-
Bir alan adının yalnızca tek bir SPF kaydı olabilir.
-
Kayıt,
allveyaredirect=ile sonlandırılmalıdır. -
SPF kayıtlarında büyük harf kullanılmamalıdır.
-
SPF kayıtları DNS üzerinden kolayca kontrol edilebilir.
SPF Kaydının Avantajları
✅ Saldırıları Engeller
Alan adınızı taklit ederek yapılan oltalama (phishing) ve spam saldırılarını azaltır.
✅ E-posta Teslimatını Artırır
SPF kaydı olmayan domain’lerden gönderilen e-postalar spam’e düşebilir veya hiç ulaşmayabilir. Bu da iş süreçlerinizi ve müşteri iletişiminizi olumsuz etkileyebilir.
✅ DMARC Uyumluluğu Sağlar
DMARC (Domain-based Message Authentication, Reporting and Conformance), SPF ve DKIM doğrulamasına dayanan bir e-posta güvenlik sistemidir. SPF kontrolü başarısız olduğunda, DMARC politikalarına göre e-postalar reddedilebilir, spam olarak işaretlenebilir ya da raporlanabilir.
Sonuç:
SPF kayıtları, alan adınızı kötüye kullanmak isteyen kişilere karşı güçlü bir savunma katmanı sağlar. E-posta güvenliğini artırmak ve gönderdiğiniz iletilerin doğru alıcılara ulaşmasını sağlamak için SPF, DKIM ve DMARC gibi doğrulama yöntemlerini mutlaka kullanmalısınız.