SPF Kaydı Doğrulama

Alan adınızın v=spf1 TXT kaydını ayrıştırır, include zincirini dolaşır ve RFC 7208'in DNS sorgu sınırına göre kaydınızı değerlendirir.

~/guvenlik/spf-kontrolsunucu sorgusu

Yalnızca girdiğiniz alan adı, IP veya adres sunucumuza gönderilir; sorgular saklanmaz.

Nasıl kullanılır?

01Alan adını yazın, örn. example.com.
02Kontrol et düğmesine basın veya Enter'a basın.
03v=spf1 kaydını, mekanizmaları ve niteleyicileri görün.
04DNS sorgu sayacını ve include/redirect ağacını inceleyin.
05Uyarı ve hataları okuyup kaydınızı düzeltin.

SPF hakkında

## SPF nasıl çalışır?

SPF (Sender Policy Framework), bir alan adı adına e-posta göndermeye yetkili sunucuları TXT kaydında tanımlayan RFC 7208 standardıdır. Kayıt v=spf1 ile başlar, ardından ip4, ip6, a, mx, include, exists ve ptr gibi mekanizmalarla yetkili gönderen listesi tanımlanır. ip4 ve ip6 doğrudan bir IP veya CIDR bloğu belirtirken, a ve mx mekanizmaları alan adının kendi A/AAAA veya MX kayıtlarındaki sunucuları yetkili sayar; include ise başka bir alan adının SPF kaydını zincire dahil eder. Alıcı sunucu gelen postanın zarf gönderen IP'sini bu listeyle karşılaştırır ve sonucu pass, fail, softfail veya neutral olarak değerlendirir.

Her mekanizmanın başında +, -, ~ veya ? niteleyicisi bulunabilir; + (varsayılan) pass, - fail, ~ softfail, ? neutral anlamına gelir. Kayıt genellikle bir all mekanizmasıyla biter ve bu, listede olmayan tüm gönderenler için sonucu belirler; örneğin -all sıkı bir politika uygularken ~all daha toleranslı bir geçiş politikası sayılır ve genelde yeni bir kayda geçerken tercih edilir. Araç kaydınızı ayrıştırıp her mekanizmayı ve niteleyicisini tek tek listeler, böylece hangi sunucuların yetkili sayıldığını ve hangi kuralın sonucu belirlediğini net görürsünüz.

## 10 sorgu ve void lookup sınırı

RFC 7208, SPF değerlendirmesi sırasında yapılabilecek DNS sorgusu sayısını en fazla 10 ile sınırlar; include, a, mx, exists ve redirect mekanizmalarının her biri bu sayaca dahildir ve mx birden çok sunucu döndürürse her biri ayrıca sayılır. Sınır aşılırsa sonuç permerror olur ve posta genellikle reddedilir. Araç include ve redirect zincirini özyinelemeli şekilde çözüp bir ağaç halinde gösterir, toplam sorgu sayısını canlı olarak sayar.

Ayrıca NXDOMAIN döndüren veya hiç yanıt vermeyen sorgular void lookup sayılır ve bunların sınırı 2'dir; bu, yanlış yapılandırılmış include zincirlerinin veya kasıtlı olarak var olmayan alan adlarına yönlendirilen kayıtların kötüye kullanılmasını önler. ptr mekanizması RFC 7208'de kullanımdan kaldırılmış sayılır çünkü hem yavaştır hem de reverse DNS'e güvendiği için DNS sahtekarlığına karşı güvenilmezdir; araç bu mekanizmayı gördüğünde ayrıca uyarır ve yerine a veya ip4/ip6 kullanılmasını önerir.

## Sık görülen hatalar

Bir alan adı için birden fazla SPF TXT kaydı bulunması permerror ile sonuçlanır; RFC 7208 tam olarak bir SPF kaydına izin verir, genellikle bu durum farklı ekiplerin veya servislerin birbirinden habersiz kayıt eklemesinden kaynaklanır. Diğer yaygın sorunlar arasında sondaki all mekanizmasının hiç bulunmaması, +all kullanımı (herkesin gönderen sayılması, ciddi bir güvenlik açığı) ve 255 karakteri aşan TXT dizelerinin birden çok tırnaklı parçaya bölünmeden tek dize olarak yazılması yer alır; bu son hata bazı DNS sağlayıcılarında kaydın sessizce kırpılmasına yol açar.

Araç bu hataların her birini Türkçe açıklamayla işaretler ve syntax hatalarını (bilinmeyen mekanizma adı, hatalı CIDR gösterimi, eksik tırnak gibi) satır bazında gösterir, böylece kaydı elle satır satır incelemeden sorunun tam olarak nerede olduğunu bulabilirsiniz. Sonuçları DKIM Kontrol ve DMARC Kontrol ile birlikte değerlendirmek e-posta kimlik doğrulamasının tam resmini verir; üçünü tek raporda görmek için E-posta Güvenlik Kontrolü sayfasını kullanabilirsiniz.

Sıkça sorulan sorular

SPF kaydı olmazsa ne olur?

Alıcı sunucular gönderen sunucunun yetkili olup olmadığını doğrulayamaz; bu da e-postaların spam'e düşme veya reddedilme riskini artırır, özellikle Gmail ve Yahoo'nun 2024 toplu gönderim kurallarında.

Birden fazla SPF kaydı olabilir mi?

Hayır, RFC 7208'e göre bir alan adının tek bir SPF TXT kaydı olmalıdır; birden fazla kayıt permerror üretir ve doğrulama başarısız olur.

+all neden risklidir?

+all, listede olmayan her IP'nin de yetkili gönderen sayılmasını sağlar; bu SPF'yi fiilen devre dışı bırakır ve sahte e-posta göndermeyi kolaylaştırır.

10 DNS sorgusu sınırını nasıl aşarım?

include zincirini kısaltıp gereksiz servisleri kaldırarak, birden fazla sağlayıcıyı tek include altında birleştirerek veya redirect kullanarak sorgu sayısını azaltabilirsiniz.

SPF tek başına yeterli mi?

Hayır; SPF yalnızca zarf gönderenini doğrular, başlıktaki From adresini doğrulamaz. Tam koruma için DKIM ve DMARC kayıtlarıyla birlikte kullanılmalıdır.