KılavuzlarKılavuzlar · E-posta güvenliği

Şirket e-postalarınız neden spam klasörüne düşüyor ve bu sorunu kalıcı olarak nasıl çözebilirsiniz?

İş e-postalarının spam klasörüne düşmesinin dört nedeni, SPF, DKIM ve DMARC’in gerçekte ne işe yaradığı, Gmail ve Outlook’in artık her göndereni neye tabi tuttuğu ve 20 dakikada yapabileceğiniz bir kontrol.

8 dakikalık okumaGüncellendi

Kısa cevap

On vakadan dokuzunda sorun kimlik doğrulamadan kaynaklanır: etki alanınız, hangi hizmetlerin sizin adınıza e-posta gönderebileceğini herkese bildirmiyor ya da bu kayıtlar güncellenmeden yeni bir araç eklenmiştir. Gmail ve Outlook artık her gönderenin SPF, DKIM ve DMARC kayıtlarına sahip olmasını beklemektedir ve bir sorun olduğunda e-postaları sessizce spam klasörüne yönlendirmektedir. Kayıtları düzeltin, etki alanınız adına e-posta gönderen her araçta DKIM'i etkinleştirin, DMARC'i izleme modunda başlatın; böylece teslimat sorunlarının çoğu bir veya iki gün içinde ortadan kalkacaktır.

Olasılık sırasına göre dört neden

  1. E-postanızın kimliği doğrulanmadı. Alıcı sunucu, mesajın gerçekten sizin etki alanınızdan geldiğini doğrulayamıyor. Genellikle bir kayıt eksik, yeni bir araç (CRM, faturalama, haber bülteni, web sitesi formu, yardım masası, hatta bir tarayıcı) hiç eklenmemiş ya da SPF kaydı sınırını aşmış ve hiçbir uyarı vermeden tüm işlemlerde hataya neden olmuş olabilir.
  2. Mesaj spam gibi görünüyor. Bağlantı kısaltıcılar, çok sayıda resim ve az sayıda kelime, büyük harfler, altı logodan oluşan bir imza, kimsenin istemediği ekler veya reklam gibi yazılmış bir konu başlığı. Filtreler bunların her birini puanlar.
  3. Etki alanınızın itibarı zarar gördü. Bir posta kutusu ele geçirildi ve bir hafta sonu boyunca spam gönderildi, birisi Outlook'tan 400 alıcıya bir güncelleme gönderdi ve herkesi Gizli (Bcc) olarak ekledi ya da postalarınız kötü niyetli bir komşunun bulunduğu paylaşımlı bir sunucu üzerinden gönderiliyor.
  4. Alıcının tarafı. Bir kural, dolu bir posta kutusu, kişisel bir adrese yapılan yönlendirme ya da adresinizi bir keresinde istenmeyen posta olarak algılamış bir filtre. İnsanların sandığından daha az yaygın bir durumdur ve bunu yalnızca alıcı düzeltebilir.

SPF, DKIM ve DMARC aslında ne işe yarar?

Bu üçü de etki alanınızın DNS'sinde bulunan küçük metin kayıtlarıdır. Şirketinizdeki hiç kimse bunları görmez, ancak yazıştığınız her posta sunucusu bunları kontrol eder.

KayıtBasitçe söylemek gerekirseBu olmadan ne gibi sorunlar yaşanır?
SPFEtki alanınız adına e-posta göndermesine izin verilen hizmetlerin listesi; örneğin, Microsoft 365 ve faturalama aracınız.Listede yer almayan bir hizmetten gelen postalar başarısız olur. Ondan fazla arama içeren bir liste, her durumda başarısız olur.
DKIMHer mesaja eklenen dijital imza, mesajın sizin etki alanınızdan geldiğini ve yol boyunca değiştirilmediğini kanıtlar.Mesajlar imzalanmamış olarak gelir ve sahte mesajlardan hiçbir farkı yoktur.
DMARCAlıcılara yönelik talimatınız: Sizin adınıza gönderildiğini iddia eden bir mesaj yukarıdaki kontrolleri geçemediğinde ne yapılmalı ve raporlar nereye gönderilmeli?Alıcılar tahminde bulunur ve siz farkında olmadan herkes sizin adınıza e-posta gönderebilir.

Önemli bir ayrıntı var: uyum. Kullanıcıların gördüğü "Gönderen" adresindeki etki alanı, SPF veya DKIM'i geçen etki alanıyla eşleşmelidir. Sizin etki alanınız adına gönderim yapan ancak kendi etki alanıyla imzalayan bir haber bülteni aracı, kendisi için DKIM'i geçse de sizin adınıza DMARC'i geçemez.

Gmail, Outlook ve Yahoo artık neleri gerektiriyor?

2024 yılından itibaren büyük e-posta sağlayıcıları, tahminlerde bulunmak yerine kurallar yayınlamaya başladı ve 2025 yılının sonlarında Google, daha fazla reddetme kararı alarak uygulamayı sıkılaştırdı. Ekim 2026 itibarıyla yayınladıkları gereklilikler şunlardır:

GereksinimlerGmail’de (tüm gönderenler)Outlook.com ve Yahoo
SPF ve DKIMHer ikisi de kurulumuHer ikisi de günde yaklaşık 5.000 mesaj veya daha fazlasını gönderen herkes için ayarlanmıştır; diğer herkesten de bu konuda güçlü bir beklenti vardır
DMARC kaydıYayınlandı, en azından p=yokYayınlanmış, en az p=none, SPF veya DKIM ile uyumlu
Etki alanı uyumluEvet, SPF veya DKIM ileEvet
Ters DNS ve TLSGerekliBeklenen
Spam şikayet oranıYüzde 0,3'ün altında, hedef yüzde 0,1Düşük seviyede tutuluyor; Microsoft itibarını yakından takip ediyor
Tek tıklamayla abonelikten çıkmaToplu gönderenlerden gelen pazarlama e-postalarıToplu gönderenlerden gelen pazarlama e-postaları

Bu kurallar resmi olarak kişisel Gmail, Outlook.com ve Yahoo adreslerine gönderilen e-postaları kapsar. Uygulamada ise Microsoft 365 ve Google Workspace, kurumsal posta kutularına da aynı kontrolleri uygular; bu nedenle müşterileriniz hangi platformu kullanırsa kullansın çözüm aynıdır.

20 dakikalık kontrol

  1. Etki alanınız adına gönderim yapan her şeyi listeleyin. Microsoft 365 veya Google Workspace; CRM, faturalama ve bordro araçları; haber bülteni platformu; web sitesinin iletişim formu; yardım masası; takvim ve rezervasyon araçları; ve e-postaya tarama yapabilen o tek yazıcı. Çoğu etki alanında beş ila sekiz tane bulunur.
  2. SPF kaydınızı okuyun. Tam olarak bir tane olmalıdır. Listedeki tüm hizmetleri içermeli, on DNS sorgusunun altında kalmalı ve -all veya ~all ile bitmelidir. İkinci bir SPF kaydı veya on birinci bir sorgu, tüm testleri geçememeye neden olur.
  3. DKIM'i her yerde etkinleştirin. Microsoft 365’te bu ayar, Defender portalında “E-posta kimlik doğrulama ayarları” altında; Google Workspace’te ise “Uygulamalar”, “Google Workspace”, “Gmail”, “E-postayı doğrula” altında bulunur. Her üçüncü taraf aracın, eklemeniz gereken iki veya üç DNS kaydı sağlayan kendine özgü bir DKIM ayarı vardır.
  4. DMARC’ı izleme düzeyinde yayınlayın. p=none ayarlı ve raporlama adresi belirtilmiş bir kayıt şimdilik hiçbir şeyi değiştirmez, ancak birkaç gün içinde raporlar, unuttuğunuz hizmetler ve kimliğinizi taklit edenler de dahil olmak üzere, sizin adınıza gönderi yapan tüm hizmetleri gösterir.
  5. Bir test gönderin ve sonucu okuyun. Kişisel bir Gmail hesabına e-posta gönderin, mesajı açın, "Orijinali göster" seçeneğini seçin ve SPF: PASS, DKIM: PASS ve DMARC: PASS ibarelerini arayın. Outlook.com da mesaj başlıklarında aynı bilgileri gösterir. Bir "FAIL" ibaresi, tam olarak hangi kaydı düzeltmeniz gerektiğini gösterir.
  6. DMARC'ı adım adım sıkılaştırın. İki ila dört hafta boyunca temiz raporlar aldıktan sonra, p=karantina aşamasına geçin, ardından p=reddet aşamasına geçin. Reddet aşamasında, hiç kimse sizin adınıza e-posta gönderemez ve alıcılar size daha fazla güvenir.

Kimlik doğrulama gibi görünen ancak aslında olmayan sorunlar

  • Güvenliği ihlal edilmiş bir posta kutusu. Bir gecede mesaj teslimatı azaldıysa, her şeyden önce etkilenen hesapların oturum açma günlüklerini ve gelen kutusu kurallarını kontrol edin. Saldırganlar, yanıtları gizleyen bir kural ekler ve gerçek hesaptan spam gönderir.
  • Normal bir posta kutusundan toplu e-posta gönderimi. Outlook ve Gmail, kampanyalar için değil, iletişim için tasarlanmıştır. Yüzlerce kişiye gönderilen güncellemeler, uygun bir araçta yapılmalı ve news.yourcompany.com gibi bir alt etki alanından gönderilmelidir; böylece orada yaşanan bir sorun, ana etki alanınızı etkilemez.
  • Yoğun imza kullanımı ve bağlantı kısaltıcılar. Daha az görsel, kısaltılmış bağlantı yok ve bir insan tarafından yazılmış gibi okunan metin.
  • Yepyeni bir alan adı. Geçmişi olmayan etki alanları, ilk birkaç hafta boyunca şüpheli olarak değerlendirilir. Düşük hacimlerle ve gerçek sohbetlerle başlayın.
  • Satın alınmış veya toplanmış listeler. Şikayet oranının yüzde 0,3'ün üzerine çıkması, sağlayıcıların gözünden bir hafta süreyle düşmenize neden olur ve hiçbir kayıt düzeltmesi bunu telafi edemez.

Sırayla sıralayın

  • SPF ve DKIM'e e-posta gönderen her yeni aracı, kurulduğu gün listeye ekleyin
  • DMARC raporlarını her ay okuyun ya da bir başkasına okutun
  • Pazarlama ve işlem e-postalarını kendi alt etki alanlarında tutun
  • Google Postmaster Tools ve Microsoft’un gönderen araçlarında şikayet oranını takip edin
  • Gelen kutusu kuralları ve yönlendirmeleri kimlerin oluşturabileceğini gözden geçirin; çünkü bunlar, bir saldırganın ilk olarak değiştireceği unsurlardır
SSS

Bize sorulan sorular

Kurucuların ve finans yöneticilerinin bize en sık sorduklarına kısa cevaplar.

Bize başka bir şey sorun

Genellikle dört durumdan biri söz konusudur: SPF’ye eklenmeden etki alanınız adına gönderim yapmaya başlayan yeni bir araç, SPF kaydının on sorgu sınırını aşması, bir posta kutusunun ele geçirilmesi veya Google’ın 2025’in sonlarında yaptığı gibi bir sağlayıcının denetimlerini sıkılaştırması. Yukarıdaki 20 dakikalık kontrol, sorunun hangisi olduğunu tespit eder.

SF3 Technologies nasıl yardımcı olur?

Etki alanınız adına gönderi yapan tüm hizmetleri tespit eder, SPF'yi düzeltir, Microsoft 365, Google Workspace ve her bir araçta DKIM'yi etkinleştirir, DMARC'yi yayınlar ve raporları incelerken reddetme ayarlarını kademeli olarak yükseltiriz; böylece e-postalarınız ulaşır ve kimse sizin adınıza e-posta gönderemez. Kayıtlar, sizin kontrolünüz altında, DNS'nizde ve kiracınızda kalır.

Gönderen gereksinimleri, Google ve Microsoft tarafından Ekim 2026'da yayınlanan şekliyle geçerlidir ve zamanla değişebilir. Bir eşik değerine güvenmeden önce, her sağlayıcının güncel gönderen yönergelerini kontrol edin.