E-posta Teslim Edilebilirliği: SPF, DKIM ve DMARC

E-posta pazarlaması dünyası Şubat 2024’te önemli ölçüde değişti. Google ve Yahoo, kullanıcılarına günde 5.000’den fazla mesaj gönderen herkes için zorunlu gereksinimler getirdi. Bu kurallar, kullanıcı hesaplarını dolduran istenmeyen veya sahte e-postaların hacmini azaltmak için oluşturuldu. Bir gönderen bu teknik standartları karşılamazsa, mesajları genellikle hemen reddedilir veya alıcı sunucu tarafından şüpheli olarak işaretlenir.

Bu güncellemeler sadece birer öneri değil; bunlar katı teknik gereksinimlerdir. Yüksek hacimli hesaplarda yaygın bir durum, bu ayarlar yanlış yapılandırıldığında açılma oranlarında ani bir düşüş yaşanmasıdır. Tipik bir hesapta artık odak noktası üç özel kimlik doğrulama protokolüdür: SPF, DKIM ve DMARC. Bunlar olmadan, bir Gmail veya Yahoo kullanıcısının gelen kutusuna ulaşma olasılığı son derece düşüktür. Posta kutusu sağlayıcıları, gönderenin iddia ettiği kişi olduğunu doğrulamak için bu kayıtları kullanır.

Sender Policy Framework (SPF), alan adınız adına e-posta göndermeye hangi posta sunucularının yetkili olduğunu belirten bir DNS kaydıdır. Bunu bir parti için misafir listesi gibi düşünün; eğer bir sunucu listede yoksa, gelen kutusundaki güvenlik görevlisi e-postayı muhtemelen geri çevirecektir. Standart bir SPF kaydı, DNS ayarlarınızdaki bir TXT girdisidir. Genellikle v=spf1 ile başlar ve Mailchimp, Klaviyo veya Microsoft 365 gibi e-posta hizmet sağlayıcınızın IP adreslerini veya ana bilgisayar adlarını içerir.

DKIM veya DomainKeys Identified Mail, gönderdiğiniz her e-postaya dijital bir imza ekleyerek bir güvenlik katmanı ekler. Bu imza, DNS kayıtlarınızda bulunan bir genel anahtar kullanılarak doğrulanır. Alıcı sunucu e-postayı aldığında, mesajın iletim sırasında değiştirilip değiştirilmediğini kontrol etmek için bu anahtarı kullanır. İmza içerikle eşleşirse, sunucu e-postanın orijinal olduğunu bilir. Örneğin, bir Shopify mağazası için tipik bir kurulumda, DKIM’i ayarlamak, e-posta pazarlama platformu tarafından sağlanan iki veya üç CNAME kaydının alan adı kayıt panelinize kopyalanmasını içerir.

DMARC, Domain-based Message Authentication, Reporting, and Conformance (Alan Adı Tabanlı Mesaj Kimlik Doğrulama, Raporlama ve Uyumluluk) anlamına gelir. Bir e-posta SPF veya DKIM kontrollerinden geçemezse posta kutusu sağlayıcılarına ne yapmaları gerektiği konusunda bir talimat kılavuzu görevi görür. DMARC’tan önce, bir sunucu başarısız olan bir e-postayı teslim edip etmeyeceğini veya engelleyip engellemeyeceğini bilemeyebilirdi. Artık sunucuya hiçbir şey yapmamasını (p=none), e-postayı karantinaya almasını (p=quarantine) veya tamamen reddetmesini (p=reject) söyleyen bir politika belirleyebilirsiniz.

Bir ‘none’ politikasıyla başlamak, teslimatı etkilemeden alan adınızı kullanarak kimin posta gönderdiği hakkında raporlar almanıza olanak tanır. Bu, yetkilendirmeyi unutmuş olabileceğiniz meşru üçüncü taraf hizmetlerini belirlemek için yararlıdır. Tüm geçerli posta kaynaklarınızın kimliğinin doğrulandığından emin olduktan sonra, bir ‘karantina’ veya ‘reddet’ politikasına geçmek, sahteciliğe karşı en iyi korumayı sağlar. Bu, kötü niyetli kişilerin alan adınızı kimlik avı saldırıları için kullanmasını engellediği için temiz bir itibarın korunmasına yardımcı olur.

İtibar iki kategoriye ayrılır: IP itibarı ve alan adı itibarı. Posta kutusu sağlayıcıları, kullanıcıların e-postalarınızla zaman içinde nasıl etkileşime girdiğini takip eder. Kullanıcılar mesajlarınızı sık sık açar ve bağlantılara tıklarsa, itibarınız artar. Tersine, kullanıcılar e-postalarınızı görmezden gelirse veya spam olarak işaretlerse, itibarınız zarar görür. Bu nedenle liste hijyeni, başarılı bir stratejinin temel bir parçasıdır.

Alan adı itibarı, IP itibarından giderek daha önemli hale gelmektedir. Bu, e-posta hizmet sağlayıcınızı değiştirseniz veya yeni bir IP adresine geçseniz bile geçmişinizin alan adınızı takip ettiği anlamına gelir. Tipik bir senaryoda, ilgili kitleye alakalı içerik gönderen bir marka, yüksek bir itibar puanını koruyacaktır. Google Postmaster Tools gibi platformlar, itibarınızın ‘Kötü’den ‘Yüksek’e kadar nasıl derecelendirildiğini görebileceğiniz bir kontrol paneli sağlar. ‘Yüksek’ bir derecelendirmeyi hedeflemek, birincil sekmeye tutarlı teslimat için gereklidir.

%0,3 eşiği, Gmail tarafından belirlenen özel bir sınırdır. Her 1.000 alıcıdan üçünden fazlası e-postanızı spam olarak işaretlerse, teslim edilebilirliğiniz muhtemelen zarar görecektir. İdeal olarak, %0,1’in altında bir spam oranını hedeflemelisiniz. Oran yükseldiğinde, filtreler daha agresif hale gelir ve en sadık aboneleriniz bile bültenlerinizi gereksiz klasörlerinde bulmaya başlayabilir. Bu metrik, kitlenizin içeriğinize ne kadar değer verdiğinin doğrudan bir yansımasıdır.

Bu oranı izlemek, posta kutusu sağlayıcıları tarafından sağlanan araçların kullanılmasını gerektirir. Gmail, çoğu ESP’ye spam şikayetleri için geleneksel geri bildirim döngüleri göndermediğinden, Google Postmaster Tools’u manuel olarak veya API aracılığıyla kontrol etmelisiniz. Ayrıca, yüksek spam oranları genellikle liste satın alma veya çift onaylı (double opt-in) süreç kullanmama gibi kötü edinme uygulamalarından kaynaklanır. Sizden gerçekten haber almak isteyen kişilerden oluşan temiz bir liste, yüksek şikayet oranlarına karşı en iyi savunmadır.

Mevcut durumunuzu değerlendirmek için başlıklarınızı analiz eden bir hizmete test e-postası göndererek başlayın. Bu araçlar, SPF, DKIM ve DMARC kayıtlarınızın doğrulamadan geçip geçmediğini size söyleyebilir. Ayrıca gönderen IP’nizin herhangi bir büyük kara listede olup olmadığını da kontrol etmelisiniz. Küçük bir kara listede olmak tüm postaları durdurmayabilir, ancak Spamhaus gibi büyük bir listede olmak önemli teslimat hatalarına neden olacaktır.

Bir diğer adım da geri dönme (bounce) günlüklerinize bakmaktır. Sert geri dönmeler (hard bounces), bir e-posta adresi geçersiz olduğunda veya mevcut olmadığında gerçekleşir. Bunlar hemen kaldırılmalıdır. Yumuşak geri dönmeler (soft bounces), dolu bir gelen kutusu veya geçici bir sunucu sorunu gibi geçici sorunlar nedeniyle gerçekleşir. Bir adres birden çok kez yumuşak geri dönerse, genellikle onu sert bir geri dönme olarak ele almak ve ona göndermeyi durdurmak en iyisidir. Düşük bir geri dönme oranını korumak, sağlayıcılara verilerini dikkatli bir şekilde yöneten sorumlu bir gönderici olduğunuzun sinyalidir.