Raporlardaki kontrollerin ne anlama geldiği ve nasıl düzeltileceği. Her başlık raporda aynı adla görünür.
Alan adınız adına hangi sunucuların e-posta gönderebileceğini tanımlayan TXT kaydıdır. Alıcı sunucu gelen e-postanın IP adresini bu listeyle karşılaştırır.
Kayıt v=spf1 ile başlar ve -all (listede olmayanı reddet) ya da ~all (şüpheli say) ile biter. include:, a, mx, exists ve redirect en fazla 10 DNS araması yapabilir; aşılırsa SPF geçersiz (permerror) sayılır. Bir alan adında yalnızca bir SPF kaydı olmalıdır.
v=spf1 include:_spf.google.com ~all
Gönderilen e-postaya özel anahtarla dijital imza ekler; alıcı, açık anahtarı DNS'te selector._domainkey.alan-adi adresinden okuyup imzayı doğrular. Mesajın yolda değişmediğini ve alan adınızdan geldiğini kanıtlar.
Selector adını e-posta sağlayıcınız belirler (google, selector1, k1 gibi). Raporumuz yaygın selector'ları dener; sağlayıcınız farklı bir ad kullanıyorsa "bulunamadı" görünebilir. RSA anahtarları en az 2048 bit olmalıdır.
SPF ve DKIM sonuçlarının alan adınızla uyumlu olmasını ister ve başarısız e-postalara ne yapılacağını söyler: p=none yalnızca izle, p=quarantine spam klasörüne, p=reject reddet. rua= ile günlük özet raporlar alırsınız.
Önerilen yol: önce p=none ile raporları izleyin, meşru göndericileri SPF/DKIM'e ekleyin, sonra quarantine ve reject'e geçin.
_dmarc.ornek.com TXT "v=DMARC1; p=quarantine; rua=mailto:[email protected]"
E-posta sunucuları arası bağlantının TLS ile şifrelenmesini zorunlu kılar; ortadaki adam saldırılarına karşı korur. _mta-sts TXT kaydı ve https://mta-sts.alan-adi/.well-known/mta-sts.txt politika dosyası gerekir. Önce mode: testing ile başlayın, sorun yoksa enforce yapın.
DMARC'ı quarantine ya da reject olan alan adlarının logosunu destekleyen posta istemcilerinde gönderen yanında gösterir. default._bimi TXT kaydı, SVG Tiny PS formatında bir logo adresi içerir. İsteğe bağlıdır.
DNS yanıtlarını dijital olarak imzalar; sahte yanıt enjekte etme (önbellek zehirleme) saldırılarını engeller. Güven zinciri kökten başlar: kök bölge → TLD → alan adınız. Her bölgenin DNSKEY anahtarının özeti, üst bölgede DS kaydı olarak bulunmalıdır.
Sık hata: DNS sağlayıcıda DNSSEC açılır ama DS kaydı alan adı kayıt firmasına girilmez (zincir kopuk) ya da sağlayıcı değiştirilirken eski DS kalır (alan adı çözülemez). İkincisi ciddidir; rapor bu durumu "DS eşleşmiyor" olarak gösterir.
Alan adınız için hangi sertifika otoritelerinin (CA) SSL sertifikası verebileceğini belirler. Kayıt yoksa her CA sertifika verebilir. iodef ile reddedilen talepler size bildirilir.
ornek.com CAA 0 issue "letsencrypt.org"
Alan adının yetkili DNS sunucularıdır. En az iki, tercihen farklı ağlarda (ASN) olmalıdır; biri düşerse diğeri yanıt verir. SOA kaydındaki seri numarası tüm sunucularda aynı olmalıdır, aksi halde sunucular bölgenin farklı sürümlerini sunuyordur.
TTL bir kaydın önbellekte kaç saniye tutulacağıdır. Kayıt değiştirmeden önce TTL'i düşürmek yayılımı hızlandırır.
IP adresinden ana makine adına çeviridir. E-posta sunucularında zorunluluğa yakındır: PTR yoksa ya da A kaydıyla eşleşmiyorsa birçok alıcı e-postayı reddeder ya da spam sayar. PTR'ı IP bloğunun sahibi (hosting ya da ISS) tanımlar.
Bir kaydı değiştirdiğinizde dünyadaki çözümleyiciler eski değeri TTL dolana kadar önbellekte tutar. Rapor 12 açık çözümleyiciye aynı soruyu sorar ve yetkili sunucudaki değerle karşılaştırır; "eski değer" döndürenler TTL dolunca güncellenir. Yetkili sunucu doğru değeri veriyorsa yapmanız gereken bir şey yoktur.
Spam ya da kötüye kullanım kaynağı olarak işaretlenmiş IP adresi listeleridir. Mail sunucunuzun IP'si listelenirse e-postalarınız reddedilir. Listeden çıkarma talebi listeyi işleten kuruluşa yapılır; rapordaki bağlantılar ilgili sayfaya gider. Spamhaus PBL, "son kullanıcı IP aralığı" listesidir ve spam yaptığınız anlamına gelmez.
Otonom sistem numarası, bir ağın internet üzerindeki kimliğidir; ISS'ler, hosting firmaları ve büyük kuruluşlar kendi ASN'lerine sahiptir. ASN sayfası o ağın duyurduğu IP bloklarını ve kullandığı ülkeleri gösterir.