Kısa cevap: Mailleriniz büyük ihtimalle alan adınızda SPF, DKIM ve DMARC kayıtları eksik veya hatalı olduğu için spam'e düşüyor. Gmail, Yahoo ve Outlook artık kimliği doğrulanamayan e-postalara güvenmiyor; günde 5.000'den fazla mail gönderenler için bu üç kayıt zorunlu, diğer herkes için de en az SPF veya DKIM şart. Bu rehberde kurumsal e-posta açmaktan DNS kayıtlarını eklemeye kadar her adımı anlatıyoruz.
Teklif gönderdiniz, cevap gelmedi. Fatura yolladınız, müşteri "hiç almadım" dedi. Sitenizdeki iletişim formu çalışıyor ama bildirimler size ulaşmıyor. Bu senaryoların ortak noktası çoğu zaman aynı: e-postalarınız alıcının spam (gereksiz) klasörüne düşüyor ve kimse fark etmiyor.
Gmail ve Outlook Mailleri Neden Spam'e Atıyor?
E-posta, 1970'lerden kalma ve kimlik doğrulaması olmadan tasarlanmış bir sistem. Herkes "kimden" alanına istediği adresi yazabilir. Dolandırıcılar da bunu kullanarak bankaların, kargo şirketlerinin ve sizin adınıza sahte mail gönderir.
Buna karşı büyük e-posta sağlayıcıları ortak bir tavır aldı:
- Şubat 2024: Gmail ve Yahoo, gönderici kurallarını zorunlu hâle getirdi. Tüm göndericiler en az SPF veya DKIM ile kimlik doğrulamalı; günde 5.000+ mail gönderenler SPF, DKIM ve DMARC'ın üçünü de kurmalı, tek tıkla abonelikten çıkma sunmalı ve spam şikâyet oranını %0,3'ün altında tutmalı.
- 5 Mayıs 2025: Microsoft da Outlook.com, Hotmail ve Live adresleri için aynı kuralları uygulamaya başladı ve kurallara uymayan toplu gönderimleri reddetmeye başladı.
Sonuç: Kimliğini kanıtlayamayan mail, ya spam klasörüne gider ya da hiç teslim edilmez. Küçük bir işletme için bu, kaybolan teklifler ve cevapsız kalan müşteriler demek.
Gmail adresiyle iş yapmak neden sorun?
"isletmem@gmail.com" ile iş yapmak teknik olarak mümkün, ama üç dezavantajı var:
- Güven: Alıcı, "info@isletmeniz.com" ile gelen teklife, Gmail adresinden gelene göre daha çok güvenir.
- Kontrol: Kurumsal alan adınızın DNS kayıtlarını siz yönetirsiniz; Gmail adresinin itibarı ise tamamen Google'ın elindedir.
- Toplu gönderim: Kampanya veya bülten araçlarında Gmail/Outlook gibi ücretsiz adresleri "gönderen" olarak kullanmak, bu sağlayıcıların kendi DMARC politikaları nedeniyle teslim edilememe riskini artırır.
Kurumsal E-posta Nasıl Açılır?
Kurumsal e-posta, kendi alan adınızla (ad@firmaniz.com.tr) çalışan e-posta hesabıdır. Açmak için iki şeye ihtiyacınız var: bir alan adı ve bir e-posta sağlayıcısı. Alan adınızı henüz sitenize bağlamadıysanız önce alan adı bağlama rehberimize göz atın.
Seçenekleri karşılaştıralım
| Seçenek | Kimler için uygun? | Artısı | Eksisi |
|---|---|---|---|
| Google Workspace | Gmail arayüzüne alışkın ekipler, Drive/Meet kullananlar | Yüksek teslim oranı, güçlü spam filtresi, mobil uygulama | Kullanıcı başı aylık ücret, döviz bazlı fiyat |
| Microsoft 365 | Word/Excel/Teams ağırlıklı çalışan firmalar | Office paketiyle entegre, kurumsal güvenlik | Kurulum ve yönetim paneli daha karmaşık |
| Hosting firmasının e-postası | Bütçesi kısıtlı, az kullanıcılı işletmeler | Genelde hosting paketine dâhil, ek maliyet yok | Paylaşımlı sunucu IP'si nedeniyle teslim sorunları yaşanabilir, kota düşük |
| Zoho Mail ve benzerleri | Küçük ekipler, uygun fiyat arayanlar | Ücretsiz/düşük maliyetli planlar | Türkçe destek ve entegrasyonlar sınırlı olabilir |
Güncel fiyatlar sık değiştiği ve çoğu döviz bazlı olduğu için karar öncesi sağlayıcının kendi fiyat sayfasını kontrol edin.
Kurulum 5 adımda
- Sağlayıcıyı seçin ve alan adınızla kayıt olun.
- Alan adı sahipliğini doğrulayın: Sağlayıcı size bir TXT kaydı verir; bunu alan adınızın DNS paneline eklersiniz.
- MX kayıtlarını değiştirin: MX kaydı, alan adınıza gelen maillerin hangi sunucuya teslim edileceğini söyler. Sağlayıcının verdiği MX değerlerini girin, eski MX kayıtlarını silin.
- SPF, DKIM ve DMARC'ı kurun (bir sonraki bölümde detaylı).
- Kullanıcıları açın: info@, satis@, ad.soyad@ gibi adresleri oluşturun; telefonlara ve bilgisayarlara kurun.
Dikkat: MX değişikliği sırasında birkaç saat mail kaybı yaşamamak için değişikliği mesai dışında yapın ve eski hesaplardaki önemli mailleri önceden yedekleyin.
SPF, DKIM ve DMARC Nedir? Sade Anlatım
Bu üç kaydı bir kargo benzetmesiyle düşünün:
| Kayıt | Benzetme | Ne yapar? |
|---|---|---|
| SPF | Yetkili kurye listesi | Alan adınız adına hangi sunucuların mail gönderebileceğini listeler |
| DKIM | Paketin üzerindeki mühür | Her maile dijital imza ekler; yolda değiştirilmediğini kanıtlar |
| DMARC | Depo müdürünün talimatı | SPF/DKIM'den geçmeyen mailin ne yapılacağını söyler ve size rapor gönderir |
Üçü birlikte çalışır. DMARC'tan geçmek için mailin SPF veya DKIM'den geçmesi ve bu doğrulamanın "Kimden" alanındaki alan adınızla eşleşmesi (alignment) gerekir. En sık atlanan nokta budur: SPF geçer ama başka bir alan adı adına geçtiği için DMARC yine başarısız olur.
1. SPF kaydı
SPF, alan adınızın DNS'ine eklenen tek satırlık bir TXT kaydıdır. Örnek (Google Workspace kullanan ve sitesinden de form maili gönderen bir firma):
Tür: TXT
Ad: @
Değer: v=spf1 include:_spf.google.com include:spf.ornek-saglayici.com ~all
SPF'te en sık 4 hata:
- İki ayrı SPF kaydı eklemek. Bir alan adında yalnızca bir SPF kaydı olabilir. Yeni bir servis eklediğinizde yeni kayıt açmayın, mevcut satıra
include:ekleyin. - 10 DNS sorgusu sınırını aşmak. Her
includebir sorgu sayılır; çok fazla servis eklenince SPF "permerror" verir ve tamamen geçersiz olur. - Kullanılan servisi unutmak. CRM, bülten aracı, e-fatura sistemi, web sitesi formu... Sizin adınıza mail gönderen her sistem SPF'te olmalı.
- Sonu yanlış bitirmek.
~all(yumuşak red) başlangıç için güvenlidir; tüm gönderen servislerden eminseniz-all(kesin red) kullanabilirsiniz.+allise herkese izin verir; asla kullanmayın.
2. DKIM kaydı
DKIM anahtarını siz üretmezsiniz; e-posta sağlayıcınızın panelinden oluşturursunuz (Google Workspace'te Yönetici Konsolu > Gmail > E-postanın kimliğini doğrula). Sağlayıcı size bir ad (selector) ve uzun bir değer verir:
Tür: TXT
Ad: google._domainkey
Değer: v=DKIM1; k=rsa; p=MIIBIjANBgkqh...(uzun anahtar)
Kaydı ekledikten sonra sağlayıcı panelinden "Kimlik doğrulamayı başlat" demeyi unutmayın; çoğu kişi kaydı ekleyip bu adımı atlıyor. Anahtar uzunluğu olarak 2048 bit tercih edin; 1024 bitin altındaki anahtarlar Gmail tarafından reddediliyor.
Mail gönderen her servis (bülten aracı, CRM vb.) kendi DKIM kaydını ister; her biri ayrı bir selector ile eklenir ve birbirini bozmaz.
3. DMARC kaydı
DMARC'ı SPF ve DKIM çalıştıktan sonra ekleyin. Kademeli ilerleyin:
Tür: TXT
Ad: _dmarc
Değer: v=DMARC1; p=none; rua=mailto:dmarc@firmaniz.com.tr
| Aşama | Politika | Anlamı | Ne zaman? |
|---|---|---|---|
| 1 | p=none | Sadece izle, raporla; hiçbir maili engelleme | İlk 2–4 hafta |
| 2 | p=quarantine | Doğrulanamayan mailleri spam'e at | Raporlarda tüm meşru gönderimler temiz çıkınca |
| 3 | p=reject | Doğrulanamayan mailleri tamamen reddet | Birkaç hafta sorunsuz geçtikten sonra |
rua adresine gelen günlük raporlar, alan adınız adına kimlerin mail gönderdiğini gösterir. Unuttuğunuz bir servisi (ör. muhasebecinin kullandığı e-fatura sistemi) bu raporlar sayesinde yakalarsınız. Doğrudan p=reject ile başlamak, kendi meşru maillerinizi engellemenin en hızlı yoludur.
Bonus: DMARC'ı p=quarantine veya p=reject seviyesine çıkarmak, dolandırıcıların alan adınızı taklit ederek müşterilerinize sahte fatura göndermesini de büyük ölçüde engeller.
Kayıtlar Doğru Ama Mailler Hâlâ Spam'e Düşüyor: Diğer 7 Neden
SPF, DKIM ve DMARC giriş biletidir; içeri girdikten sonra davranışınız da puanlanır.
- Yeni alan adı, sıfır itibar. Yeni açılmış bir alan adından ilk günden yüzlerce mail göndermek şüphe uyandırır. İlk haftalarda gönderim hacmini yavaş yavaş artırın ("ısındırma").
- Paylaşımlı sunucu IP'si. Ucuz hosting e-postalarında aynı IP'yi kullanan başka bir site spam gönderiyorsa, siz de etkilenirsiniz. IP'nizin kara listede olup olmadığını kontrol edin.
- Web sitesi formları "Kimden" alanını yanlış kullanıyor. Pek çok form eklentisi, ziyaretçinin adresini (ör. ali@gmail.com) gönderen olarak kullanır. Bu mail sizin sunucunuzdan Gmail adına çıktığı için DMARC'tan kalır. Doğrusu: Gönderen siz (form@firmaniz.com.tr), ziyaretçi "Yanıtla (Reply-To)" alanında.
- Spam tetikleyen içerik. Tamamen büyük harfli konu satırları, "ÜCRETSİZ!!!", tek bir büyük görselden oluşan mailler, kısaltılmış linkler ve eşleşmeyen link metinleri filtreleri tetikler.
- Abonelikten çıkış yok. Toplu gönderimlerde tek tıkla abonelikten çıkış artık zorunlu. Çıkış yolu bulamayan alıcı "spam" butonuna basar; bu da itibarınızı düşürür.
- Eski ve izinsiz listeler. Yıllardır güncellenmemiş listelerde kapanmış adresler (hard bounce) ve tuzak adresler bulunur. Ayrıca Türkiye'de ticari elektronik ileti göndermek için alıcının onayı ve İYS (İleti Yönetim Sistemi) kaydı gerekir; izinsiz gönderim hem yasal hem teknik risk taşır. Kişisel veri tarafı için web sitesi KVKK rehberimize bakabilirsiniz.
- Ters DNS (PTR) ve TLS eksikliği. Kendi mail sunucunuzu işletiyorsanız, IP adresinizin ters DNS kaydının ve şifreli bağlantının (TLS) doğru olması gerekir. Google Workspace veya Microsoft 365 kullanıyorsanız bunlar sağlayıcı tarafından yönetilir.
Hızlı kontrol listesi
- ☐ Alan adında tek bir SPF kaydı var ve tüm gönderen servisleri içeriyor
- ☐ DKIM her gönderen servis için aktif
- ☐ DMARC kaydı var (en az p=none) ve raporlar takip ediliyor
- ☐ Web sitesi formları kendi alan adınızdan gönderiyor, ziyaretçi Reply-To'da
- ☐ Toplu maillerde tek tıkla abonelikten çıkış var
- ☐ Ticari iletiler için alıcı onayı ve İYS kaydı mevcut
- ☐ Sunucu IP'si kara listelerde değil
Ayarlarınızı 2 Dakikada Test Edin
Kayıtları ekledikten sonra (DNS değişikliklerinin yayılması birkaç dakika ile birkaç saat sürebilir) şu kontrolü yapın:
- Kurumsal adresinizden kişisel bir Gmail hesabına mail gönderin.
- Gmail'de maili açın, sağ üstteki üç noktadan "Orijinali göster" seçeneğine tıklayın.
- Açılan sayfada SPF: PASS, DKIM: PASS ve DMARC: PASS satırlarını arayın. Üçü de PASS ise temel kurulum tamamdır.
- Toplu gönderim yapıyorsanız, Google Postmaster Tools'a alan adınızı ekleyerek spam şikâyet oranınızı ve alan adı itibarınızı düzenli takip edin.
FAIL gördüğünüz satır, hangi kaydın eksik veya hatalı olduğunu doğrudan söyler.
Sık Sorulan Sorular
Kurumsal e-posta ücretsiz açılabilir mi?
Bazı hosting paketleri ve Zoho gibi sağlayıcıların ücretsiz planları kurumsal e-posta imkânı sunar. Ancak ücretsiz çözümlerde depolama, kullanıcı sayısı ve teslim oranı genellikle sınırlıdır. Teklif, fatura gibi kritik yazışmalar için ücretli bir sağlayıcı daha güvenlidir.
SPF, DKIM ve DMARC'ın üçü de zorunlu mu?
Günde 5.000'den fazla Gmail, Yahoo veya Outlook adresine mail gönderiyorsanız üçü de zorunludur. Daha az gönderiyorsanız en az SPF veya DKIM şarttır; ancak teslim oranı ve sahtecilikten korunma için üçünü birden kurmanızı öneririz.
DNS kayıtları ne zaman etkinleşir?
Genellikle birkaç dakika ile birkaç saat arasında; nadiren 48 saate kadar sürebilir.
Web sitemin iletişim formundan gelen mailler bana neden ulaşmıyor?
En yaygın neden, formun ziyaretçinin e-posta adresini "Kimden" alanında kullanmasıdır. Formu kendi alan adınızdan gönderecek şekilde ayarlayın, ziyaretçinin adresini "Yanıtla" alanına koyun ve sitenizin gönderim servisini SPF kaydınıza ekleyin.
Maillerim "Promosyonlar" sekmesine düşüyor, bu da spam mı?
Hayır. Promosyonlar sekmesi Gmail'in içerik sınıflandırmasıdır, spam değildir. Bültenlerin oraya düşmesi normaldir; kişisel yazışma tonundaki teklif ve bilgilendirme mailleri ise genellikle Gelen Kutusu'na gider.
DMARC'ı doğrudan p=reject yapabilir miyim?
Yapabilirsiniz ama önermiyoruz. Önce p=none ile birkaç hafta raporları izleyin; adınıza mail gönderen tüm meşru servisleri tespit edip SPF/DKIM'e ekledikten sonra kademeli olarak yükseltin.
Siteniz, Formlarınız ve Mailleriniz Tek Çatı Altında
ComSuite ile kurduğunuz web sitesinde kendi alan adınız ve otomatik SSL hazır gelir; müşteri taleplerinizi tek yerde takip etmek için CRM modülünü kullanabilirsiniz; böylece talepler sadece e-posta kutusuna bağımlı kalmaz. Yorum isteme e-postalarınızı da bu altyapıyla güvenle gönderebilirsiniz; detaylar Google yorumları rehberimizde.
Sitenizin teknik sağlığını merak ediyor musunuz? Ücretsiz Website Sağlık Aracı ile kontrol edin veya ekibimizle iletişime geçin.
Kaynaklar
- Gmail, Yahoo ve Outlook gönderici kuralları özeti (Courier)
- Gmail ve Yahoo DMARC gereklilikleri; Microsoft'un 5 Mayıs 2025 uygulaması (dmarcian)
- Outlook'un yüksek hacimli göndericiler için yeni kuralları (Microsoft Tech Community)
- Toplu gönderici gereklilikleri: SPF, DKIM, DMARC (Higher Logic)
