Biznes email ünvanı şirkətin internetdəki etibarının əsas hissələrindən biridir. info@domain.az, support@domain.az və ya sales@domain.az kimi ünvanlar müştəriyə daha peşəkar görünür, amma bu email-lərin düzgün işləməsi yalnız mailbox yaratmaqla bitmir. Əgər domain üçün SPF, DKIM və DMARC kimi autentifikasiya qaydaları qurulmayıbsa, göndərilən məktublar spam-a düşə, ümumiyyətlə çatmaya və ya başqaları həmin domain adından saxta email göndərə bilər.
Son illərdə Google, Yahoo və digər böyük email provayderləri göndərən domenlər üçün daha sərt təhlükəsizlik tələbləri tətbiq edir. Bu o deməkdir ki, biznes email infrastrukturu artıq “olsa yaxşıdır” mərhələsindən çıxıb, real çatdırılma və təhlükəsizlik tələbinə çevrilib. BITEP kimi hosting və domain xidmətlərindən istifadə edən bizneslər üçün bu mövzunu düzgün başa düşmək vacibdir.
Email autentifikasiyası nə üçün lazımdır?
Email protokolu tarixən sadə və açıq qurulduğu üçün göndərən ünvanını saxtalaşdırmaq texniki baxımdan çətin deyil. Yəni kimsə nəzəri olaraq sizin domain adınıza bənzər və ya hətta sizin domain-dən göndərilmiş kimi görünən email hazırlaya bilər. Bu, phishing, saxta ödəniş tələbləri və müştəri etibarının zədələnməsi kimi risklər yaradır.
SPF, DKIM və DMARC bu problemi azaltmaq üçün birlikdə işləyən mexanizmlərdir. Onlar email alan serverə belə bir sualın cavabını verir: “Bu məktubu həqiqətən bu domain göndərib, yoxsa kimsə domain adından sui-istifadə edir?” Cavab nə qədər aydın olarsa, email-in inbox-a düşmə ehtimalı da o qədər artır.
Praktik baxımdan bu qaydalar DNS üzərində qurulur. Yəni domain-in DNS panelində xüsusi TXT record-lar əlavə edilir. Bu record-lar email provayderinizə, hosting serverinizə və təhlükəsizlik siyasətinizə uyğun yazılmalıdır. Yanlış record isə bəzən email çatdırılmasını daha da pisləşdirə bilər.
SPF nədir və necə işləyir?
SPF, yəni Sender Policy Framework, hansı serverlərin sizin domain adından email göndərə biləcəyini göstərir. Məsələn, email-ləri hosting serveriniz göndərirsə, SPF record-da həmin serverin IP-si və ya provayderin göndərmə qaydası göstərilir. Əgər Google Workspace, Microsoft 365 və ya başqa mail servisi istifadə edirsinizsə, onların SPF include qaydaları əlavə olunur.
SPF-in əsas məqsədi icazəsiz serverdən gələn email-ləri şübhəli kimi işarələməkdir. Email alan server məktubun göndərildiyi IP-ni domain-in SPF record-u ilə müqayisə edir. Əgər uyğunluq varsa, məktub SPF testindən keçir. Uyğunluq yoxdursa, email spam-a düşə və ya rədd edilə bilər.
SPF qurarkən ən çox edilən səhv birdən çox SPF record yaratmaqdır. Bir domain üçün bir dənə SPF TXT record olmalıdır. Əgər bir neçə servis istifadə edilirsə, hamısı eyni record daxilində birləşdirilməlidir. Məsələn, həm hosting serveri, həm də üçüncü tərəf email marketinq servisi istifadə olunursa, SPF qaydası düşünülmüş formada yazılmalıdır.
DKIM nədir və SPF-dən fərqi nədir?
DKIM, yəni DomainKeys Identified Mail, email-in dəyişdirilmədiyini və həqiqətən domain sahibinin icazəli sistemi tərəfindən imzalandığını təsdiqləyir. SPF daha çox “hansı server göndərə bilər?” sualına cavab verir. DKIM isə “bu məktub göndərildikdən sonra dəyişdirilməyib və kriptoqrafik imza doğrudurmu?” sualını yoxlayır.
DKIM sistemi public/private key prinsipi ilə işləyir. Email göndərən sistem məktuba gizli açarla imza əlavə edir. Domain-in DNS panelində isə public key saxlanılır. Email alan server DNS-dən public key-i oxuyur və imzanı yoxlayır. Əgər imza doğrudursa, email daha etibarlı qəbul edilir.
DKIM xüsusilə forward olunan email-lərdə faydalıdır, çünki bəzi hallarda SPF forward zamanı uğursuz ola bilər. DKIM imzası isə məktubun məzmunu dəyişmədikcə etibarlı qalır. Buna görə peşəkar email infrastrukturu qurularkən SPF ilə kifayətlənmək düzgün deyil, DKIM də aktiv edilməlidir.
DMARC nədir və niyə ən vacib mərhələdir?
DMARC, yəni Domain-based Message Authentication, Reporting and Conformance, SPF və DKIM nəticələrinə əsaslanaraq email alan serverə nə etməli olduğunu bildirir. Məsələn, əgər email SPF və DKIM yoxlamasından keçmirsə, onu qəbul etmək, spam-a atmaq və ya tam rədd etmək siyasəti DMARC ilə müəyyən edilir.
DMARC-ın başqa vacib üstünlüyü hesabat mexanizmidir. Domain sahibi hansı serverlərin onun adından email göndərməyə çalışdığını görə bilər. Bu hesabatlar sayəsində saxta göndərmə cəhdləri, səhv konfiqurasiya olunmuş servislər və çatdırılma problemləri aşkarlanır.
DMARC qurarkən birdən-birə sərt reject siyasəti tətbiq etmək risklidir. Əvvəlcə p=none ilə müşahidə rejimi qurmaq, hesabatları analiz etmək, sonra quarantine və sonda reject mərhələsinə keçmək daha təhlükəsiz yanaşmadır. Bu, real biznes email axınını pozmadan təhlükəsizliyi artırmağa imkan verir.
Biznes saytları üçün praktik konfiqurasiya yanaşması
Əgər domain üzərində həm hosting email-i, həm də üçüncü tərəf servis istifadə olunursa, əvvəlcə bütün göndərmə mənbələri siyahıya alınmalıdır. Buraya hosting serveri, CRM sistemi, newsletter platforması, invoice sistemi və support desk daxil ola bilər. Sonra SPF record bütün bu mənbələri əhatə edəcək formada yazılır.
DKIM üçün hər email provayderinin verdiyi selector və public key DNS-ə əlavə olunur. Bəzi provayderlər bir neçə DKIM record tələb edir. Bu mərhələdə record adını səhv yazmaq çox yayılmış problemdir. Ona görə DNS dəyişikliklərindən sonra provayderin verification aləti ilə yoxlama aparmaq lazımdır.
DMARC üçün başlanğıcda hesabat qəbul edən email ünvanı təyin etmək yaxşıdır. Məsələn, təhlükəsizlik və ya admin email-i bu hesabatları qəbul edə bilər. Hesabatlar texniki formatda gəldiyi üçün onları analiz edən ayrıca alətlərdən istifadə etmək də mümkündür.
Ən çox rast gəlinən səhvlər
Birinci səhv eyni domain üçün iki ayrı SPF record yaratmaqdır. Bu, SPF yoxlamasının fail olmasına səbəb ola bilər. İkinci səhv SPF-də çox geniş icazə verməkdir. Məsələn, lazımsız IP aralıqlarını icazəli etmək təhlükəsizlik riskini artırır.
Üçüncü səhv DKIM-in aktiv olduğunu düşünmək, amma DNS record-u düzgün əlavə etməməkdir. Bəzən record əlavə edilir, amma selector səhv olur və email-lər DKIM imzası ilə keçmir. Dördüncü səhv DMARC-ı heç qurmamaqdır. SPF və DKIM olsa belə, DMARC yoxdursa, domain spoofing-ə qarşı siyasət zəif qalır.
Beşinci səhv DNS propagation müddətini nəzərə almamaqdır. Record əlavə ediləndən dərhal sonra bütün dünyada görünməyə bilər. TTL dəyərindən asılı olaraq dəyişikliklərin tam yayılması bir neçə dəqiqədən bir neçə saata qədər çəkə bilər.
Nəticə
SPF, DKIM və DMARC biznes email-lərinin spam-a düşməməsi və domain adından saxta email göndərilməsinin qarşısının alınması üçün əsas texniki qaydalardır. Bu üç mexanizm birlikdə işləyəndə email infrastrukturu daha etibarlı olur və müştərilərlə kommunikasiya daha stabil aparılır.
Domain və hosting istifadə edən hər biznes üçün bu ayarları düzgün qurmaq vacibdir. Ən yaxşı yanaşma əvvəl göndərmə mənbələrini müəyyən etmək, sonra SPF və DKIM-i düzgün əlavə etmək, DMARC-ı isə müşahidə rejimindən başlayaraq mərhələli sərtləşdirməkdir.
Mənbə və əlavə oxu
Google sender guidelines: https://support.google.com/a/answer/81126
DMARC.org: https://dmarc.org/
Cloudflare DNS documentation: https://developers.cloudflare.com/dns/