E-posta teslim edilebilirliğinin (Deliverability) temeli olan SPF (Sender Policy Framework) kaydı, alıcı sunuculara sizin adınıza kimin e-posta gönderebileceğini söyler. Bu kaydın sonundaki ifade, SPF doğrulamasında listelenmeyen bir sunucudan e-posta geldiğinde ne yapılacağını belirleyen nihai politikadır. Bu politikalar, SPF Hardfail / Softfail olarak adlandırılır.
Bu iki politika arasındaki farkı bilmek, e-postalarınızın anında reddedilmesi (Hardfail) veya spam klasörüne düşmesi (Softfail) arasındaki ince çizgiyi çizmek demektir.
Bu rehber, SPF Hardfail ve Softfail’in teknik anlamlarını, e-posta güvenliğinize etkilerini ve E-E-A-T uyumlu bir gönderici olarak hangi politikayı ne zaman tercih etmeniz gerektiğini detaylıca açıklayacaktır.
SPF Hardfail ($-\text{all}$) Nedir? Kesin Reddetme Politikası
SPF kaydının sonundaki $-all$ etiketi, Hardfail (Kesin Hata) politikasını ifade eder. Bu, en katı ve en güvenli politikadır.
Hardfail, alıcı sunucuya şunu söyler: “Bu alan adı adına gönderim yapan, ancak benim SPF kaydımda listelenmeyen herhangi bir sunucudan gelen e-postayı kesinlikle reddet.”
Hardfail, alan adınızı kimlik avı (phishing) saldırılarına karşı korumanın en etkili yoludur. Kötü niyetli bir üçüncü taraf, sizin alan adınızı taklit ederek e-posta göndermeye çalıştığında, alıcı sunucular bu e-postayı anında reddeder. Bu, alan adınızın itibarını (Domain Reputation) korur.
Hardfail kullanmanın tek riski şudur: Eğer pazarlama, faturalama veya kurumsal e-posta gönderimi için kullandığınız yetkili bir servisin SPF mekanizmasını (örneğin $include:servers.mcsv.net$) SPF kaydınıza eklemeyi unutursanız, o servisten giden tüm meşru e-postalar Hardfail nedeniyle reddedilir.
SPF Softfail ($~\text{all}$) Nedir? Şüpheli İşaretleme Politikası
SPF kaydının sonundaki $~all$ etiketi, Softfail (Yumuşak Hata) politikasını ifade eder. Bu, daha az katı ve genellikle geçici olarak kullanılan bir politikadır.
Softfail, alıcı sunucuya şunu söyler: “Bu alan adı adına gönderim yapan, ancak benim SPF kaydımda listelenmeyen bir sunucudan gelen e-postayı şüpheli olarak işaretle, ancak hemen reddetme.”
Softfail, SPF kaydınızı ilk kez kurduğunuzda veya yeni bir gönderim servisini entegre ederken test amaçlı bir güvenlik ağı sağlar. Hangi meşru servislerinizin kayıtta eksik olduğunu tespit edene kadar, e-postalarınızın anında reddedilmesini önler.
Softfail kullanmak, kimlik avı (phishing) saldırılarına kapı açabilir. Kötü niyetli kişiler, sizin alan adınızı taklit ettiğinde e-postaları doğrudan reddedilmez; bunun yerine şüpheli olarak işaretlenir ve bazı durumlarda (özellikle alıcının filtreden beklentisi düşükse) gelen kutusuna düşebilir. Bu durum, alan adınızın itibarını (Domain Reputation) riske atar.
$ -all$ vs. $ \sim all$: Hangi Politikayı Ne Zaman Seçmeli?
| Kriter | Hardfail (−all) | Softfail ( all) |
| Güvenlik | Maksimum (Kimlik avını reddeder) | Orta (Şüpheli işaretler, reddetmez) |
| Kalıcı Kullanım | ÖNERİLİR (Tüm meşru servisler biliniyorsa) | ÖNERİLMEZ (Sadece geçici test amaçlı) |
| Etki | Yanlış ayarda meşru maili REDDEDER. | Yanlış ayarda meşru maili SPAM’E DÜŞÜRÜR. |
| DMARC İlişkisi | DMARC $p=reject$ politikasına geçiş için KRİTİKTİR. | DMARC tam koruma sağlamaz. |
E-posta Deliverability uzmanları, Hardfail’i kalıcı politika olarak tavsiye eder. Bir e-postanın Hardfail nedeniyle reddedilmesi, spam’e düşmesinden daha iyidir. Reddedildiğinde, sorunu anında fark eder ve düzeltebilirsiniz. Spam’e düştüğünde ise sorunu fark etmeniz zaman alır, bu da Domain Reputation kaybına ve ticari iletişimin yavaşça aksamasına yol açar. Tüm yetkili gönderici servislerinizi kaydınıza eklediğinizden emin olduğunuz anda Hardfail’e geçmelisiniz.
Softfail kullanmanın tek geçerli nedeni, geçici olarak SPF kaydınızı test etmektir. Örneğin, Shopify, Ticimax veya yeni bir cold email servisini entegre ederken, meşru e-postaların yanlışlıkla reddedilmediğinden emin olmak için kısa bir süre Softfail kullanabilirsiniz. Test tamamlanır tamamlanmaz hemen Hardfail’e geri dönülmelidir.
Deliverability’de Hardfail’in Mutlak Önemi (DMARC İlişkisi)
DMARC, e-posta güvenliğinde bir sonraki ve en üst düzey adımdır. DMARC politikası, e-postalarınızın Hardfail nedeniyle kesinlikle reddedilmesi (DMARC $p=reject$) seviyesine yükseltildiğinde tam koruma sağlar. Hardfail ($-\text{all}$) kullanmak, DMARC’ın en yüksek güvenlik seviyesine geçişiniz için teknik ve zihinsel hazırlıktır.
E-ticaret siteleri, pazarlama ve işlemsel e-postalar için çok sayıda üçüncü taraf servisi kullanır.
Örnek: Eğer Ticimax ve Google Workspace kullanıyorsanız, tek bir SPF kaydınız şöyle görünmelidir:
$$v=spf1 \text{ include:spf.ticimax.com} \text{ include:\_spf.google.com} \text{ -all}$$
Kaydın sonundaki $-all$ etiketi, bu iki servis dışındaki herhangi bir sunucunun sizin adınıza e-posta göndermeye kalkışmasını kesinlikle engeller.
Cold Email gönderimleri, itibar (reputation) açısından zaten yüksek risk taşır. Hardfail kullanmak, alan adınızın yetkisi dışındaki sahte gönderimlerin (ki bu, soğuk e-posta dünyasında sık görülür) itibarınızı daha fazla zedelemesini engeller.
Yaygın SPF Kayıt Hatası: $all$ Öncesi Mekanizmaların Eksik Olması
$ -all$ veya $ ~all$ politikası, SPF kaydınızdaki son mekanizma olmalıdır. Bu, diğer tüm yetkili sunucuların listelendiği alandan sonra gelir. SPF kaydı, yetkili sunucuları listelerken şu mekanizmaları kullanır:
SPF kaydında yapılan en büyük hata, birden fazla SPF TXT kaydı oluşturmaktır. Alıcı sunucu birden fazla SPF kaydı gördüğünde PermError verir ve bu, e-postalarınızın reddedilmesine neden olur. Hardfail veya Softfail kullanmadan önce, tüm servislerinizi tek bir SPF kaydında birleştirdiğinizden emin olmalısınız.
SSS (People Also Ask) Bölümü
Hayır, tam tersi. SPF $ -all$ (Hardfail) kullanmak, e-postalarınızın spam’e düşmesini engellemeye yardımcı olur. Yanlış ayarda e-posta spam’e düşmek yerine reddedilir. Bu sayede sorunu anında tespit edebilir ve Domain Reputation kaybını önleyebilirsiniz.
Temel fark, alıcı sunucunun ne yaptığıdır:
Softfail ($~\text{all}$) sadece test ve geçiş aşamaları için kullanılmalıdır. Yeni bir gönderim servisini SPF kaydınıza eklediğinizde, bu servisten giden e-postaların başarıyla doğrulanıp doğrulanmadığını kontrol etmek için birkaç gün kullanın. Testler başarılı olduğunda, derhal Hardfail ($-\text{all}$) politikasına dönmelisiniz.
Hayır, $?all$ (Nötr) kullanmanın güvenlik veya Deliverability açısından hiçbir faydası yoktur. Bu, alıcı sunucuya “Bu e-posta hakkında hiçbir fikrim yok, istediğin gibi davran” der. Kimlik avı saldırılarına karşı koruma sağlamadığı için kesinlikle önerilmez.
SPF politikasını Hardfail ($-\text{all}$) olarak belirlemek, e-posta güvenliğinizin en kritik adımıdır, ancak yanlış yapıldığında tüm e-postalarınızın reddedilmesine neden olabilir. Softfail ($~\text{all}$) kullanmak ise alan adınızı kimlik avı saldırılarına karşı savunmasız bırakır.
Eposta Uzmanı olarak e-ticaret e-posta pazarlaması, deliverability ve cold email otomasyonlarında profesyonel çözümler sunuyoruz. SPF, DKIM ve DMARC ayarlarınızı Hardfail politikasına uygun olarak kusursuzca kurmak ve kalıcı olarak %99+ teslimat garantisi sağlamak için ücretsiz analiz ve kesin çözüm garantisi için bizimle iletişime geçin.
