Online mağazalar için SPF, DKIM ve DMARC: Gmail ve Yahoo gönderen kurallarına uyum

Gmail ve Yahoo'nun gönderen kurallarına uymak için her online mağazanın gönderim yaptığı alan adında SPF veya DKIM bulunmalıdır. Toplu gönderenlerin ise ikisine birden, ayrıca en az p=none politikasına sahip bir DMARC kaydına ve görünen From (Kimden) alan adının SPF veya DKIM ile hizalı olmasına ihtiyacı vardır. Toplu gönderenler bunlara ek olarak pazarlama e-postalarında tek tıkla abonelikten çıkma imkânı sunmalı ve bildirilen spam oranlarını %0,3'ün altında tutmalıdır. Shopify'da bu, yönetici panelinde gönderen alan adınızın kimliğini doğrulamak ve bir DMARC kaydı eklemek demektir. WooCommerce kullanıyorsanız, kimliği doğrulanmış bir e-posta sağlayıcısı üzerinden gönderim yapmanız gerekir. DMARC raporları tüm meşru postalarınızın doğrulamadan geçtiğini gösterdiğinde politikayı p=reject yönünde sıkılaştırabilirsiniz.

Temel noktalar

• 1 Şubat 2024'ten bu yana Gmail, tüm gönderenlerin SPF veya DKIM, toplu gönderenlerin ise SPF, DKIM ve DMARC kurmasını şart koşuyor (Google (yeni sekmede açılır)).
• Gmail, 24 saat içinde kişisel Gmail hesaplarına 5.000'e yakın mesaj gönderdiğinizde sizi toplu gönderen olarak kabul eder ve bu statünün süresi dolmaz (Gmail SSS (yeni sekmede açılır)).
• Kasım 2025'ten itibaren Gmail, kurallara uymayan trafiğe yönelik yaptırımları geçici ve kalıcı reddetmeler de dahil olmak üzere artırdı (Gmail SSS (yeni sekmede açılır)).
• Outlook.com, 5 Mayıs 2025'ten bu yana günde 5.000'den fazla e-posta gönderen alan adlarından SPF, DKIM ve DMARC şart koşuyor (Microsoft (yeni sekmede açılır)).
• SPF, her kontrolde DNS sorgusu gerektiren en fazla 10 terime izin verir; sınır aşılırsa sonuç permerror olur (RFC 7208 (yeni sekmede açılır)).
• DMARC, Mayıs 2026'da güncellendi: RFC 9989 (yeni sekmede açılır), RFC 7489'u geçersiz kılıyor ve pct etiketinin yerine t etiketini getiriyor.

SPF, DKIM ve DMARC tam olarak ne işe yarar?

SPF alan adınız adına kimlerin e-posta gönderebileceğini listeler, DKIM her mesajı imzalar, DMARC ise ikisini müşterilerinizin gördüğü From (Kimden) adresine bağlar.

Hizalama kolayca gözden kaçabilir. E-posta platformunuz, From adresinizde mağazanızın alan adı görünürken kendi geri dönen posta (bounce) alan adı için SPF doğrulamasından geçebilir. Bu mesaj SPF'den geçer, ancak DKIM imzası sizin alan adınızla atılmadıkça DMARC'tan kalır.

Gmail ve Yahoo gönderenlerden ne istiyor?

İkisi de her gönderenden kimlik doğrulaması ister ve toplu gönderenler için daha sıkı kurallar ekler.

Gmail tüm gönderenlerden SPF veya DKIM, geçerli ileri ve geri (reverse) DNS kayıtları, TLS, RFC 5322 biçimine uygunluk ve Postmaster Tools'ta %0,3'ün altında bir spam oranı ister (Google (yeni sekmede açılır)). Yahoo en az SPF veya DKIM ve %0,3'ün altında bir spam oranı ister (Yahoo Sender Hub (yeni sekmede açılır)). Toplu gönderenler için:

Mağazalar için bazı ayrıntılar önemlidir:

• Gmail alan adı bazında sayar. Aynı birincil alan adından gelen mesajlar 5.000 sınırına dahil edilir; yani sipariş e-postaları, pazarlama e-postaları ve destek yanıtları toplanır.
• Yalnızca kişisel Gmail hesapları sayılır. Bu kurallar Google Workspace hesaplarına gönderilen mesajlar için geçerli değildir.
• İşlemsel e-postalar tek tıkla abonelikten çıkma şartından muaftır. Sipariş onaylarının yine de kimlik doğrulamasına ihtiyacı vardır.

Tek tıkla abonelikten çıkma, RFC 8058'de (yeni sekmede açılır) tanımlanan iki başlığı kullanır. Bu RFC ayrıca bu başlıkları kapsayan geçerli bir DKIM imzası da şart koşar:

List-Unsubscribe: <https://example.com/unsubscribe/opaquepart>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Pazarlama platformunuzun bu başlıkları eklediğini doğrulamak için kendi kampanyalarınızdan birinin ham kaynağını açın.

Şubat 2024'ten sonra neler değişti?

Yaptırımlar adım adım sıkılaştı ve diğer e-posta sağlayıcıları da benzer kurallar benimsedi.

Outlook.com kuralları tüketicilere yönelik adresleri (outlook.com, hotmail.com ve live.com) kapsar. Bu kurallar SPF ve DKIM'in geçmesini ve SPF veya DKIM ile hizalı, en az p=none olan bir DMARC kaydını şart koşar.

Shopify'da SPF, DKIM ve DMARC nasıl kurulur?

Shopify yönetici panelinde gönderen alan adınızın kimliğini doğrulayın, ardından DNS sağlayıcınıza tek bir DMARC kaydı ekleyin.

Shopify'ın e-posta kurulum rehberine (yeni sekmede açılır) göre 1 Şubat 2024 itibarıyla Gmail ve Yahoo, markalı bir adresten gönderim yapmak için kimliği doğrulanmış bir alan adı ve bir DMARC kaydı şart koşuyor. Kimlik doğrulama kayıtları yapılandırılmamışsa Shopify, gönderen adresinizi store+123@shopifyemail.com biçimine dönüştürür. Adımlar:

1. Shopify yönetici panelinde Ayarlar > Bildirimler (İngilizce arayüzde Settings > Notifications) bölümüne gidin.
2. Sender email bölümünde authenticate your domain bağlantısına tıklayın.
3. Gösterilen tüm CNAME kayıtlarını DNS sağlayıcınıza ekleyin. Kayıt sayısı değişebilir. Shopify'a göre bu kayıtlar gönderen adresiniz için SPF ve DKIM'i yönetir ve IP adresi eklemeniz gerekmez.
4. DNS değişikliklerinin geçerli olması için 48 saate kadar bekleyin.
5. Adı _dmarc, değeri v=DMARC1; p=none; olan bir TXT kaydı ekleyin; Shopify varsayılan olarak bu değeri kullanır.

Alan adınızı Shopify'dan satın aldıysanız veya Shopify'a taşıdıysanız bu kayıtları Shopify sizin için yönetir. Shopify ayrıca bir alan adının yalnızca bir DMARC kaydı olabileceği ve katı hizalama ayarlarının (adkim=s veya aspf=s) kaldırılması ya da r olarak değiştirilmesi gerektiği konusunda uyarır.

Shopify'daki kimlik doğrulama, Shopify'ın gönderdiği postaları kapsar. Kampanyalar için başka bir platform, bir yardım masası (help desk) veya çalışan e-postaları için Google Workspace kullanıyorsanız, bunların her biri kendi DKIM kurulumunu gerektirir; geri dönen postalar için alan adınızı kullanıyorsa SPF kaydınızda kendine ait bir girdi de gerekir.

WooCommerce için e-posta kimlik doğrulaması nasıl yapılır?

WooCommerce dokümantasyonunun da önerdiği gibi, mağaza e-postalarını alan adınızla imzalayan ayrı bir sağlayıcı üzerinden gönderin.

WooCommerce, postaları WordPress'in wp_mail() fonksiyonuyla gönderir. E-posta SSS sayfası (yeni sekmede açılır) ise kendi sunucunuzun mail fonksiyonuna kıyasla ayrı bir SMTP sağlayıcısını daha güvenilir bir seçenek olarak önerir. Tipik bir kurulum:

1. Bir işlemsel e-posta sağlayıcısı seçin ve alan adınızı bu sağlayıcıda doğrulayın. Sağlayıcı size yayımlamanız gereken DKIM kayıtlarını ve SPF include değerini verir.
2. WordPress'i bir SMTP veya API eklentisiyle bu sağlayıcıya bağlayın.
3. WooCommerce > Settings > Emails altındaki From address alanına kendi alan adınızdaki bir adresi girin. WooCommerce, Gmail veya Yahoo gibi herkese açık bir servisteki adresin spam klasörüne düşme veya engellenme ihtimalinin yüksek olduğu konusunda uyarır.
4. _dmarc.yourdomain adresinde bir DMARC kaydı yayımlayın.
5. Hangi mesajların gönderildiğini veya başarısız olduğunu görmek için WooCommerce > Status > Logs sayfasını açın ve transactional-emails kaynağına göre filtreleyin.

Web barındırma (hosting) sağlayıcınız da alan adınız adına posta gönderiyorsa, onun da kimliğini doğrulayın ya da bu gönderimi kapatın. Alan adınız adına hizalı SPF veya DKIM olmadan gönderim yapan her sistem DMARC'tan kalır.

SPF 10 DNS sorgusu sınırı nedir, altında nasıl kalınır?

Bir SPF kontrolü, DNS sorgusu gerektiren en fazla 10 terim kullanabilir; bir fazlası permerror sonucunu verir ve SPF geçmez.

RFC 7208, bölüm 4.6.4 (yeni sekmede açılır) sayılan terimleri listeler: include, a, mx, ptr ve exists mekanizmaları ile redirect değiştiricisi. ip4, ip6 ve all mekanizmaları sayılmaz. Sınır tüm değerlendirmeye uygulandığı için include ettiğiniz kayıtların içindeki iç içe include'lar da sayılır. RFC ayrıca yanıt döndürmeyen sorguların, yani "void lookup"ların, ikiyle sınırlandırılmasını önerir ve ptr mekanizmasının yayımlanmaması gerektiğini belirtir.

10'un altında kalmanın yolları:

• Artık kullanmadığınız hizmetlerin include'larını kaldırın.
• Sabit adresli kendi sunucularınız için ip4 veya ip6 kullanın.
• Pazarlama postalarınızı news.example.com gibi, kendi SPF kaydı ve kendi sorgu sayısı olan bir alt alan adına taşıyın.
• Asla iki SPF kaydı yayımlamayın. RFC 7208 birden fazla kaydı yasaklar ve bu durumda değerlendirme permerror döndürür.

example.com.        TXT  "v=spf1 include:_spf.google.com include:spf.example-esp.com ~all"
news.example.com.   TXT  "v=spf1 include:spf.example-marketing.com ~all"

spf.example-esp.com ve spf.example-marketing.com, sağlayıcılarınızın size kullanmanızı söylediği değerlerin yerine örnek olarak verilmiştir.

DMARC'ta p=none'dan p=reject'e nasıl geçilir?

Raporlamayla birlikte p=none ile başlayın, raporların ortaya çıkardığı her meşru kaynağı düzeltin, ardından politikayı sıkılaştırın.

Bir sonraki aşamaya ancak raporlar mağaza platformunuzun, pazarlama aracınızın, yardım masanızın ve çalışan e-postalarınızın tamamının doğrulamadan geçtiğini gösterdiğinde geçin. Toplu raporlar RFC 9990'da (yeni sekmede açılır) tanımlanır. rua adresi bir raporlama hizmeti gibi başka bir alan adındaysa, o alan adının raporları yetkilendiren bir kayıt yayımlaması gerekir.

Eski rehberler geçişi pct=25 veya pct=50 ile yapmayı önerir. RFC 9989, 0 ve 100 dışındaki değerler tutarsız biçimde uygulandığı için pct etiketini kaldırdı (kayıt defterindeki girdisi artık "historic" durumunda). Onun yerine t=y, alıcılardan bir alt seviyedeki politikayı uygulamalarını ister; örneğin reject yerine quarantine. Bir deneme adımı istiyorsanız kısmi yüzdeler yerine t=y kullanın.

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com"
_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

Yaptırım uygulayan bir politika, destekleyen gelen kutularında logonuzu gösteren BIMI'nin de önünü açar. Gmail bunun için DMARC'ın p=quarantine veya p=reject olmasını ve bir Verified Mark Certificate ya da Common Mark Certificate şart koşar (Google (yeni sekmede açılır)). Alan adınıza gelen postalar içinse MTA-STS (RFC 8461 (yeni sekmede açılır)), posta sunucularınız güvenilir bir sertifikayla TLS sunmuyorsa gönderen sunuculara teslimatı reddetmelerini bildirmenizi sağlar.

Mağazanızın kayıtlarını nasıl kontrol edebilirsiniz?

Üç kayıt türünü dig ile sorgulayın ya da bunları sizin için okuyan bir denetleme aracı kullanın.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short TXT selector._domainkey.example.com

DKIM seçicisi (selector) sağlayıcınızdan gelir; gönderdiğiniz bir mesajın DKIM-Signature başlığındaki s= değerinde bulabilirsiniz. E-posta Teslim Edilebilirlik Raporu herkese açık DNS kayıtlarınızı okur, SPF sorgularını sayar, yaygın DKIM seçicilerini dener ve DMARC politikasını, rua, pct, BIMI ve MTA-STS ayarlarını kontrol eder. Doğru kayıtlar işe yarar, ancak hiçbir kayıt seti gelen kutusuna düşmeyi garanti etmez, çünkü e-posta sağlayıcıları spam şikayetlerini ve gönderim davranışını da değerlendirir.

Sık sorulan sorular

Mağazam günde 5.000'den az e-posta gönderiyorsa DMARC'a ihtiyacım var mı?

Gmail yalnızca toplu gönderenlerden DMARC ister; ancak Shopify, Gmail ve Yahoo'nun markalı bir adresten gönderim yapmak için kimliği doğrulanmış bir alan adı ve DMARC kaydı şart koştuğunu belirtiyor. p=none kaydı düşük risklidir ve size rapor sağlar; bu nedenle çoğu mağaza bir DMARC kaydı yayımlamalıdır.

Alan adımın iki SPF kaydı olabilir mi?

Hayır. RFC 7208'e göre bir alan adının birden fazla SPF kaydı olmamalıdır; olduğunda SPF değerlendirmesi permerror döndürür. Tüm gönderenleri tek bir kayıtta birleştirin.

p=reject, Shopify sipariş e-postalarımı engeller mi?

Shopify'ın CNAME kayıtları yerindeyse ve DMARC raporlarınız Shopify postalarının hizalı DKIM doğrulamasından geçtiğini gösteriyorsa engellemez. p=none aşamasını geçmeden önce raporları kontrol edin ve Shopify'ın önerdiği gibi hizalamayı esnek (relaxed) tutun.

DMARC pct etiketi hâlâ geçerli mi?

Mayıs 2026'da yayımlanan RFC 9989, pct etiketini kaldırdı ve test modu için t=y etiketini getirdi. Google'ın BIMI rehberi hâlâ pct=100 istiyor; bu, etiket yokken zaten varsayılan değerdir. Bu nedenle yeni kayıtlarda pct etiketini hiç eklememek en basit seçenektir.

SPF, DKIM ve DMARC'tan geçmek e-postalarımın gelen kutusuna ulaşmasını garanti eder mi?

Hayır. Kimlik doğrulama bir gerekliliktir, garanti değildir. Gmail ve Yahoo ayrıca spam şikayet oranlarına, abonelikten çıkma taleplerinin nasıl işlendiğine ve mesaj biçimine de bakar.

Kaynaklar

• Email sender guidelines (yeni sekmede açılır), Google, erişim tarihi 22 Ekim 2026
• Email sender guidelines FAQ (yeni sekmede açılır), Google, erişim tarihi 22 Ekim 2026
• Sender best practices (yeni sekmede açılır), Yahoo Sender Hub, erişim tarihi 22 Ekim 2026
• Strengthening Email Ecosystem: Outlook's New Requirements for High-Volume Senders (yeni sekmede açılır), Microsoft Tech Community, 2 Nisan 2025, güncelleme 29 Nisan 2025
• Setting up your email (yeni sekmede açılır), Shopify Yardım Merkezi, erişim tarihi 22 Ekim 2026
• Email FAQ (yeni sekmede açılır), WooCommerce dokümantasyonu, erişim tarihi 22 Ekim 2026
• RFC 7208: Sender Policy Framework (SPF) (yeni sekmede açılır), IETF, Nisan 2014
• RFC 6376: DomainKeys Identified Mail (DKIM) Signatures (yeni sekmede açılır), IETF, Eylül 2011
• RFC 7489: Domain-based Message Authentication, Reporting, and Conformance (DMARC) (yeni sekmede açılır), IETF, Mart 2015 (RFC 9989 ile geçersiz kılındı)
• RFC 9989: Domain-Based Message Authentication, Reporting, and Conformance (DMARC) (yeni sekmede açılır), IETF, Mayıs 2026
• RFC 9990: DMARC Aggregate Reporting (yeni sekmede açılır), IETF, Mayıs 2026
• RFC 8058: Signaling One-Click Functionality for List Email Headers (yeni sekmede açılır), IETF, Ocak 2017
• RFC 8461: SMTP MTA Strict Transport Security (MTA-STS) (yeni sekmede açılır), IETF, Eylül 2018
• Set up BIMI (yeni sekmede açılır), Google Workspace Yönetici Yardımı, erişim tarihi 22 Ekim 2026