E-posta güvenliği testi: SPF, DKIM, DMARC
Alan adınızın SPF, DKIM, DMARC, MTA-STS, TLS-RPT ve BIMI kayıtlarını okur; başkasının sizin adınıza e-posta gönderip gönderemeyeceğini ve kayıtlarınızı nasıl sıkılaştıracağınızı gösterir.
Bu test ne yapar?
E-posta güvenliği kontrolü, alan adınızın DNS'teki SPF, DKIM ve DMARC kayıtlarını okuyarak başkasının sizin adınıza sahte e-posta gönderip gönderemeyeceğini söyler. MTA-STS, TLS-RPT ve BIMI'yi de denetler, SPF'nin kayıtsız alan adlarına bağlanıp bağlanmadığına bakar. E-posta göndermez, posta sunucunuza bağlanmaz.
Kaynaklar ve yöntem
Herkese açık DNS kayıtlarını, varsa MTA-STS politika dosyasını (tek istek) ve SPF hedeflerinin alan adı kaydını (RDAP) okur. E-posta göndermez, posta sunucunuza bağlanmaz.
Neyi kontrol eder, nasıl düzeltilir
Testin baktığı her madde, neden önemli olduğu ve eksikse ne yapmanız gerektiği. Sonuç ekranında yalnızca sizin sitenizde eksik olanlar çıkar.
Posta sunucuları (MX)
Alan adınıza gelen postayı hangi sunucuların kabul ettiğini gösterir.
Nasıl düzeltilir
Bilgi amaçlıdır.
SPF kaydı
Alan adınız adına hangi sunucuların e-posta gönderebileceğini ilan eder. Yoksa alıcı sunucu sahte gönderimi ayırt edemez.
Nasıl düzeltilir
Kullandığınız tüm gönderim hizmetlerini tek bir SPF kaydında toplayın.
alanadiniz.com. TXT "v=spf1 include:_spf.google.com -all"SPF sonlandırıcısı
Kaydın sonundaki ‘all’ ifadesi listede olmayan sunuculara ne olacağını belirler. ?all ve +all hiçbir koruma sağlamaz.
Nasıl düzeltilir
Tüm gönderenleri listelediğinizden eminseniz -all, emin değilseniz geçiş sürecinde ~all kullanın.
SPF DNS sorgu sınırı
SPF en fazla 10 DNS sorgusuna izin verir. Sınır aşılırsa kayıt tamamen geçersiz sayılır ve korumanız sessizce ortadan kalkar.
Nasıl düzeltilir
Kullanılmayan include’ları çıkarın, gerekirse sabit IP bloklarına çevirin.
SPF include hedefi kayıtsız
SPF kaydınızdaki include:/redirect= bir başka alan adına güvenir. O alan adının kaydı süresi dolup serbest kalmışsa, onu kaydeden kişi sizin adınıza SPF-geçerli e-posta gönderebilir (oltalama, dolandırıcılık). Kullanılmayan bir e-posta sağlayıcısının include’u yıllarca kayıtta kalır.
Nasıl düzeltilir
Artık kullanmadığınız sağlayıcıların include:/redirect= kayıtlarını SPF’ten çıkarın. Kayıtsız görünen hedefi hemen kaldırın; kaydı yakında bitiyorsa sağlayıcıyla teyit edin.
alanadiniz.com. TXT "v=spf1 include:_spf.google.com include:eski-saglayici.example -all"DKIM imzası
Giden postaları kriptografik olarak imzalar; içeriğin yolda değiştirilmediğini ve gerçekten sizden geldiğini kanıtlar.
Nasıl düzeltilir
E-posta sağlayıcınızın panelinden DKIM’i açın ve verdiği kaydı DNS’e ekleyin. Seçici adını bildiğiniz hâlde kayıt bulunamadıysa kaydın yayında olduğunu kontrol edin.
google._domainkey.alanadiniz.com. TXT "v=DKIM1; k=rsa; p=MIIBIjAN…"DMARC kaydı
SPF ve DKIM’den geçemeyen postaya ne yapılacağını alıcı sunuculara söyler ve size rapor gönderilmesini sağlar. Oltalama saldırılarında alan adınızın kullanılmasını engelleyen asıl katman budur.
Nasıl düzeltilir
Önce p=none ile raporları toplayın, meşru gönderenleri düzelttikten sonra quarantine, en sonunda reject’e geçin.
_dmarc.alanadiniz.com. TXT "v=DMARC1; p=none; rua=mailto:dmarc@alanadiniz.com"DMARC politikası
p=none yalnızca izler, sahte postayı durdurmaz. Koruma quarantine ya da reject ile başlar.
Nasıl düzeltilir
Raporlarda meşru gönderen kalmayınca politikayı kademeli olarak sıkılaştırın.
_dmarc.alanadiniz.com. TXT "v=DMARC1; p=reject; rua=mailto:dmarc@alanadiniz.com"MTA-STS
Size gelen postaların sunucular arasında şifreli taşınmasını zorunlu kılar; bağlantının şifresize düşürülmesini engeller.
Nasıl düzeltilir
Bir politika dosyası yayımlayıp DNS’e _mta-sts kaydını ekleyin.
MTA-STS politika dosyası
DNS kaydı tek başına bir şey yapmaz; gönderen sunucular politikayı mta-sts.alanadiniz.com adresinden okur. Dosya yoksa ya da mode: testing ise şifresiz teslimat yine kabul edilir.
Nasıl düzeltilir
Politika dosyasını HTTPS ile yayımlayın; MX sunucularınızı mx: satırlarına yazın ve raporlar temizse mode: enforce yapın.
version: STSv1
mode: enforce
mx: mail.alanadiniz.com
max_age: 604800TLS-RPT
Gönderen sunucular size şifreli bağlanamadığında (sertifika hatası, düşürme girişimi) bunu TLS-RPT adresine raporlar. Kayıt yoksa MTA-STS sorunlarını hiç duymazsınız.
Nasıl düzeltilir
_smtp._tls kaydına rapor adresini yazın.
_smtp._tls.alanadiniz.com. TXT "v=TLSRPTv1; rua=mailto:tlsrpt@alanadiniz.com"DKIM anahtar uzunluğu
1024 bitlik RSA anahtarı günümüzde kırılabilir sınıra yaklaştı; 512 bit zaten kırılmıştır. Anahtar kırılırsa saldırgan adınıza geçerli imzalı posta gönderir.
Nasıl düzeltilir
Seçicileri 2048 bit RSA (ya da Ed25519) anahtarla yenileyin; eski seçiciyi bir süre sonra DNS'ten kaldırın.
DMARC uygulama oranı (pct)
pct=100'den küçükse politika postaların yalnızca bir kısmına uygulanır; sahte postaların bir bölümü yine teslim edilir. Geçiş için kullanışlıdır, kalıcı ayar değildir.
Nasıl düzeltilir
Raporlar temizlenince pct satırını kaldırın ya da 100 yapın.
BIMI
Bilgi amaçlı: BIMI, DMARC'ı zorunlu (quarantine/reject) kullanan alan adlarının logosunu destekleyen posta istemcilerinde gösterir; sahte posta logosuz görünür.
Nasıl düzeltilir
DMARC reject'e geçtikten sonra SVG logo ve (Gmail için) doğrulanmış marka sertifikasıyla default._bimi kaydını yayımlayın.
DNSSEC
DNS yanıtlarınızın yolda değiştirilmediğini doğrular. Tüm yukarıdaki kayıtlar DNS’e güvendiği için alttaki katmanı korur.
Nasıl düzeltilir
Alan adı kayıt firmanızın ve DNS sağlayıcınızın panelinden açılır.
Hızlı sorgular
Tek soruya tek cevap: SPF kaydım doğru mu, site çöktü mü, sertifikam ne zaman doluyor? Günlük tarama hakkınızdan düşmez, hesap gerekmez.
SPF kaydı kontrolü
SPF kaydı sorgulama ve doğrulama
DKIM kaydı kontrolü
DKIM sorgulama: anahtar ve seçici kontrolü
DMARC kaydı kontrolü
DMARC sorgulama ve kayıt doğrulama
MX kaydı sorgulama
MX kaydı sorgulama (MX lookup)
Sık sorulan sorular
DMARC p=none yeterli mi?
SPF'de 10 DNS sorgusu sınırı nedir?
Ücretsiz mi, hesap gerekiyor mu?
Sitemde çalıştırmak güvenli mi?
Birincil kaynaklar
Diğer testler
SSL/TLS kontrolü
Sertifikanızın geçerliliğini, bitiş tarihini ve bağlantının güncel şifrelemeyle kurulup kurulmadığını gösterir.
Güvenlik başlıkları testi
Sitenizin tarayıcıya gönderdiği güvenlik ayarlarını (HSTS, CSP, çerezler) puanlar ve eksikleri gösterir.
DNS ve alan adı güvenliği
Alan adınızın bitiş tarihine, transfer kilidine ve DNS kayıtlarının korunmasına (DNSSEC, CAA) bakar.
Çerez ve KVKK onayı
Ziyaretçi izin vermeden önce Google Analytics, Meta Pixel gibi izleyicilerin yüklenip yüklenmediğini gösterir.
JavaScript kütüphane açıkları
Sitenizdeki jQuery, Bootstrap gibi kütüphanelerin sürümünde bilinen açık olup olmadığını ve güvenli sürümü söyler.
Alt alan adı keşfi
Alt alan adlarınızı bulur; unutulmuş ve başkasının ele geçirebileceği kayıtları işaretler.
Saldırı yüzeyi keşfi
Bir saldırganın herkese açık kaynaklardan sizin hakkınızda öğrenebildiklerini toplar: alt alan adları, yazılımlar, DNS.
Diğer ücretsiz taramalar
WP Lens: WordPress taraması
WordPress çekirdeğinin, eklentilerin ve temaların sürümlerini bilinen açıklarla eşleştirir.
Port taraması
Sunucunuzda dışarıya açık portları ve servis sürümlerini bulur, bilinen açıklarla eşleştirir. Onayınızla çalışır.
Bağımlılık taraması (SBOM)
package-lock, yarn.lock ya da SBOM dosyanızdaki bağımlılıkları bilinen açıklarla eşleştirir.
Banner'dan CVE bulma
Bir servisin sürüm satırını yapıştırın, o sürümün bilinen açıklarını görün. Tarama yapmaz.