Eğitim: Önerilen DMARC kullanıma sunma işlemi

Alan Adı Tabanlı İleti Kimlik Doğrulaması, Raporlaması ve Uygunluğu (DMARC), kademeli olarak kullanıma sunulacak şekilde tasarlanmıştır. Başlangıçta politikanızı none olarak belirleyerek yalnızca e-posta akışını izleyin ve sonra kimliği doğrulanmamış tüm iletileri reddeden bir politikaya geçin.

None politikası, iletilerinizin reddedilmesi veya spam'e gönderilmesi riskini almadan rapor almaya başlayabilmenizi sağlar. DMARC politikanızı, kuruluşunuzdan gönderilen iletilerin yalnızca belirli bir yüzdesine uygulanacak şekilde de ayarlayabilirsiniz. Bu iki özellik posta akışınızın kontrolünü elinizde tutarken DMARC'yi kademeli olarak dağıtmanıza olanak tanır.

Önemli: DMARC'yi yapılandırmadan önce DomainKeys Identified Mail (Alan Anahtarları Tarafından Tanımlanan Posta - DKIM) ve Gönderen Politikası Çerçevesi'ni (SPF) yapılandırın. DKIM ve SPF, DMARC'yi açmadan önce en az 48 saat boyunca iletilere kimlik doğrulaması yapmalıdır. SPF ve DKIM'yi ayarlamakla ilgili ayrıntılı adımlar için Adres sahteciliği, kimlik avı ve spam'i önlemeye yardımcı olma başlıklı makaleyi inceleyin.

1. Fazla kısıtlayıcı olmayan bir DMARC politikasıyla başlayın

Zorunlu kılma ayarı none olarak belirlenmiş bir DMARC kaydı ve günlük DMARC raporları almak üzere yapılandırılmış bir e-posta adresiyle başlayın. Bu şekilde alanınızdan gönderilen iletilerin alıcı sunucular tarafından reddedilmesi ya da spam olarak işaretlenmesi riski olmadan raporları almaya başlayabilirsiniz. Bu kaydı en az bir hafta boyunca kullanmanızı öneririz. Bir hafta genellikle günlük raporların tüm posta akışlarınızı temsil eden verileri içermesi için yeterlidir.

Alanınızdan gönderilen iletilerin, bilinen yetkili sunucular tarafından gönderildiğini ve kimlik doğrulama kontrollerini geçtiğini doğrulamak için günlük DMARC raporlarınızı inceleyin.

Fazla kısıtlayıcı olmayan veya posta trafiğinizin yalnızca küçük bir yüzdesi için geçerli olan bir DMARC politikası ile başlamanızı öneririz. Örneğin:

1. Alan sağlayıcınızdaki DMARC DNS TXT kaydını güncellemek için alan barındırıcınızda oturum açın.
2. İletilerin %100'ü için geçerli olan ancak zorunlu kılma ayarı none: olarak belirlenmiş bir politika girin

   v=DMARC1; p=none; rua=mailto:[e-mail]

Politika, posta sunucuları tarafından alınan iletilerin tamamına uygulanır. Ancak, zorunlu tutma ayarı none olarak belirlendiği için iletiler DMARC kimlik doğrulamasını geçemese bile normal şekilde teslim edilir. Alanınızdan posta alan her posta sunucusu, [e-mail] adresine günlük raporlar gönderir.

2. DMARC raporlarını inceleyin

Aşağıdaki konularda bilgi edinmek üzere aldığınız raporları her gün inceleyin:

• Alanınız için hangi sunucuların veya üçüncü taraf gönderenlerin posta gönderdiği
• Alanınızdan gönderilen iletilerin yüzde kaçının DMARC kontrolünün başarılı olduğu
• DMARC kontrolünde başarısız olan iletileri hangi sunucuların veya hizmetlerin gönderdiği

Aşağıdakilere benzer sorun eğilimlerini arayın:

• Gönderdiğiniz geçerli iletiler alıcılara ulaşıyorsa ancak spam klasörüne gönderiliyorsa.
• Alıcılardan geri dönen iletiler veya hata mesajları alıyorsanız.

Alanınızdan gönderilen iletilerin reddedilmesi veya spam klasörüne gönderilmesi ile ilgili sorunları gidermek için DMARC sorunlarını giderme başlıklı makaleyi inceleyin.

Güncellenen kaydın hala e-posta veya posta kutusu adresinizi barındıran rua etiketini içerdiğini doğrulayarak günlük raporları almaya devam edin. Bir sonraki aşamaya geçmeden önce en az 7 gün boyunca bu aşamada kalmanızı öneririz. Bu aşamanın devam süresi, kuruluşunuzun büyüklüğüne ve posta akışına bağlı olarak değişir.

DMARC raporlarınızı okuma hakkında daha fazla bilgi edinin.

3. İletilerin küçük bir kısmını karantinaya alın

DMARC raporlarını olumsuz sonuçla karşılaşmadan en az bir hafta boyunca izledikten sonra, politikanızı quarantine olarak güncelleyin ve politikayı postalarınızın küçük bir yüzdesine uygulamak için pct etiketini ekleyin. Örneğin:

1. Alan sağlayıcınızdaki DMARC DNS TXT kaydını güncellemek için alan barındırıcınızda oturum açın.
2. İletilerin %5'i için geçerli olan ve zorunlu kılma ayarı quarantine olarak belirlenmiş bir politika ekleyin. Bu %5'lik dilim içinde kalan ve DMARC'yi geçemeyen iletiler, alıcıların spam klasörüne gönderilir:

   v=DMARC1; p=quarantine; pct=5; rua=mailto:[e-mail]

Bu politika, posta sunucuları tarafından alınan iletilerin yalnızca %5'ine uygulanır. DMARC'yi geçemeyen iletiler, alıcıların spam klasörüne gönderilir. İletilerin yalnızca küçük bir kısmı etkilenir ve alıcılar spam'e gönderilen iletileri inceleyebilir. Alanınızdan posta alan her posta sunucusu, [e-mail] adresine günlük raporlar gönderir.

Küçük kuruluşlar, posta akışlarının tamamına daha iyi hakim olabilir ve bu politikayı büyük kuruluşlara göre iletilerin daha büyük bir kısmına uygulayabilir. Büyük kuruluşların genellikle eski sunucuları ve üçüncü taraf gönderenleri de içeren birden fazla posta akışı olur.

Çok sayıda iletinin reddedilmesi veya spam olarak işaretlenmesi riskini azaltmak için büyük kuruluşların, etkilenen iletilerin yüzdesini aşamalı olarak artırmasını öneririz. Küçük bir kuruluş %10'luk bir bölümü, çok büyük bir kuruluş ise %1'lik bir bölümü karantinaya almakla başlayabilir.

4. Kimliği doğrulanmayan tüm iletileri reddedin

Bu, DMARC'yi dağıtmanın son adımıdır. Alanınızdan gönderilen iletilerin çoğunun veya tamamının hizalandığından ve kimlik doğrulamasını (SPF ve DKIM) geçtiğinden emin olunca daha sıkı bir DMARC politikasını zorunlu kılabilirsiniz.

DMARC beklendiği gibi çalışıyorsa politikanızı, DMARC kayıt politikası ayarı kuruluşunuzdan gönderilen iletilerin %100'ü için reddet olacak şekilde güncelleyin. Örneğin:

1. Alan sağlayıcınızdaki DMARC DNS TXT kaydını güncellemek için alan barındırıcınızda oturum açın.
2. Kaydı daha katı olacak şekilde güncelleyin. Örneğin:

   v=DMARC1; p=reject; rua=mailto:[e-mail],[e-mail]

Politika, posta sunucuları tarafından alınan iletilerin tamamını etkiler. Kayıt, pct etiketini içermiyorsa politika, alanınızdan gönderilen iletilerin %100'üne uygulanır. DMARC kimlik doğrulamasını geçemeyen tüm iletiler reddedilir. Gönderen, reddedilen her ileti için geri dönen ileti alabilir. Alanınızdan posta alan her posta sunucusu, [e-mail] ve [e-mail] adreslerine günlük raporlar gönderir.