Kısa cevap: Kurumsal e-postaların spama düşmesinin en yaygın teknik nedeni, alan adında SPF, DKIM ve DMARC kayıtlarının eksik ya da hatalı olmasıdır. SPF sizin adınıza hangi sunucuların gönderebileceğini, DKIM iletinin yolda değişmediğini, DMARC de doğrulamayı geçemeyen iletiye ne yapılacağını söyler. Gmail ve Outlook günde 5.000’den fazla e-posta gönderenlerden, Yahoo da yüksek hacimli gönderenlerden üçünü birden istiyor.

Son güncelleme: 14 Kasım 2026 · Ritz Marketing ekibi

Teklifiniz müşterinin spam klasöründe kaldıysa, fatura e-postanız hiç görülmediyse ya da bülteniniz bir anda açılmaz olduysa sorun çoğu zaman içerikte değil, alan adınızın kimlik bilgilerindedir. Alıcı sunucular her e-postada “Bu ileti gerçekten bu şirketten mi geliyor?” diye sorar ve cevabı alan adınızın DNS kayıtlarında arar.

2024’ten bu yana büyük e-posta sağlayıcıları bu soruyu çok daha sıkı soruyor. Google, Kasım 2025’ten itibaren kurallara uymayan gönderimlere yaptırımı artırdığını ve bu iletilerin geçici ya da kalıcı olarak reddedilebileceğini duyurdu. Microsoft da Outlook.com adreslerine yüksek hacimli gönderim yapanlar için aynı üç kaydı 5 Mayıs 2025’ten itibaren şart koştu.

Bu yazıda üç kaydı teknik bilgi gerektirmeden anlatıyor, Gmail, Yahoo ve Outlook gereksinimlerini karşılaştırıyor, Google Workspace ve Microsoft 365 için genel kurulum adımlarını ve kontrol araçlarını paylaşıyoruz.

SPF, DKIM ve DMARC nedir?

SPF, DKIM ve DMARC, alan adınızdan çıkan e-postaların gerçekten size ait olduğunu doğrulayan üç DNS kaydıdır. DNS, alan adınızın internetteki adres defteri demektir; bu kayıtlar da o deftere eklenen kimlik bilgileridir.

• SPF (Sender Policy Framework): Alan adınız adına e-posta göndermeye yetkili sunucuların listesidir. DNS’e TXT kaydı olarak eklenir ve her alan adında yalnızca bir SPF kaydı bulunabilir.

• DKIM (DomainKeys Identified Mail): Gönderdiğiniz her iletiye eklenen dijital imzadır. Alıcı, alan adınızda yayımlanan anahtarla imzayı kontrol eder ve iletinin yolda değiştirilmediğini anlar.

• DMARC: SPF ya da DKIM doğrulamasını geçemeyen iletiye ne yapılacağını söyleyen politikadır: hiçbir şey yapma (none), spam klasörüne gönder (quarantine) ya da reddet (reject). Ayrıca alan adınız adına kimlerin e-posta gönderdiğini gösteren raporlar gönderir.

Bunu bir kargo paketine benzetebilirsiniz. SPF paketi getiren kuryenin yetkili olup olmadığını, DKIM paketin mührünün bozulup bozulmadığını, DMARC de mühür bozuksa paketin ne olacağını belirler.

DMARC’ın bir şartı daha var: hizalama. Hizalama, alıcının gördüğü “Kimden” adresindeki alan adının SPF ya da DKIM ile doğrulanan alan adıyla aynı olması demektir. Bülten aracınız iletileri kendi alan adıyla imzalıyorsa DKIM geçse bile hizalama sağlanmaz ve DMARC başarısız olur.

Kurumsal e-postalar neden spama düşer?

Başlıca nedenler kimlik doğrulama eksikleri, yüksek şikâyet oranı ve izinsiz listelere gönderimdir. Google’ın gönderen yönergeleri de bu üç alanı öne çıkarıyor. İşletmelerde en sık karşılaştığımız teknik nedenler şunlar:

1. SPF kaydı yok ya da e-posta gönderen servislerden biri (CRM, bülten aracı, e-fatura sistemi, web sitesi formu) kayda eklenmemiş.

2. Alan adında birden fazla SPF kaydı var. Microsoft’un belgelerine göre bu durumda SPF kalıcı hata verir.

3. SPF kaydı 10 DNS sorgusu sınırını aşıyor. Kayda eklenen her yeni servis en az bir sorgu ekler.

4. DKIM imzası açılmamış ya da bülten aracı kendi alan adıyla imza atıyor.

5. DMARC kaydı yok. Google’a göre DMARC kaydı olmayan gönderenler teslim desteğinden ve iyileştirme taleplerinden yararlanamıyor.

6. Spam şikâyet oranı yüksek. Google ve Yahoo bu oranın yüzde 0,3’ün altında kalmasını istiyor.

7. Satın alınmış ya da izinsiz listelere gönderim yapılıyor.

Gmail, Yahoo ve Outlook toplu gönderenlerden ne istiyor?

Üç sağlayıcı da toplu gönderenlerden SPF, DKIM ve DMARC’ın üçünü birden, en az “p=none” politikasıyla ve hizalanmış olarak istiyor. Daha az gönderen işletmeler için de Gmail ve Yahoo’da SPF ya da DKIM’den en az biri zorunlu.

Google’a göre bir kez toplu gönderen sayılan alan adı bu statüyü kalıcı olarak korur; gönderim hacminiz sonradan düşse de kurallar geçerli kalır. Aynı ana alan adından giden tüm iletiler birlikte sayılır. Outlook tarafında kurallara uymayan yüksek hacimli gönderimler önce gereksiz klasörüne düşüyor; Microsoft ileride bu iletilerin reddedileceğini duyurdu.

SPF, DKIM ve DMARC kaydınızı nasıl kontrol edersiniz?

En kolay yol, kendinize ait bir Gmail adresine e-posta gönderip iletinin kaynağına bakmaktır. Gmail’de iletiyi açın, Yanıtla simgesinin yanındaki Diğer menüsünden “Orijinali göster”i seçin. Açılan sayfada SPF, DKIM ve DMARC sonuçlarını “PASS” ya da “FAIL” olarak görürsünüz.

• Google Admin Toolbox Check MX: Alan adınızın e-posta kayıtlarını ücretsiz kontrol eder ve eksikleri listeler.

• Google Postmaster Tools: Gmail’e gönderdiğiniz e-postaların spam şikâyet oranını ve kimlik doğrulama sonuçlarını gösterir. Google, toplu gönderenlerin şikâyet oranını buradan izlemesini öneriyor.

• DMARC raporları: DMARC kaydına eklediğiniz rapor adresine alıcı sunucuların gönderdiği özetlerdir. Alan adınız adına e-posta gönderen ve sizin unuttuğunuz servisleri ortaya çıkarır.

• Microsoft Defender portalı: Microsoft 365 kullanıyorsanız e-posta kimlik doğrulama ayarları sayfası DKIM durumunu gösterir.

Pratik öneri: Kontrole başlamadan önce alan adınız adına e-posta gönderen her şeyi listeleyin: kurumsal posta, web sitesi iletişim formu, e-ticaret altyapısı, e-fatura, CRM, bülten aracı, randevu sistemi. SPF kaydına eklenmemiş tek bir servis, o servisten giden bütün e-postaların doğrulamayı geçememesine yol açar.

Google Workspace ve Microsoft 365’te kayıtlar nasıl kurulur?

İki platformda da SPF ve DMARC kayıtlarını alan adınızın DNS panelinden eklersiniz; DKIM için ise önce e-posta platformunun yönetim panelinden anahtar oluşturup sonra DNS’e eklersiniz. Sıra önemlidir: önce SPF ve DKIM, en son DMARC.

Google Workspace için genel adımlar

1. SPF: Yalnızca Google Workspace’ten gönderiyorsanız Google’ın önerdiği TXT kaydı şudur: v=spf1 include:_spf.google.com ~all. Başka servisler de gönderiyorsa onların ifadelerini aynı kayda ekleyin; ikinci bir SPF kaydı açmayın.

2. DKIM: Yönetici konsolunda Gmail ayarlarındaki e-posta kimlik doğrulama (Authenticate email) bölümüne girin, alan adınızı seçip yeni kayıt oluşturun. Sağlayıcınız destekliyorsa 2048 bit seçin. Oluşan değeri google._domainkey adıyla TXT kaydı olarak DNS’e ekleyin. Google’a göre kaydın çalışması 48 saate kadar sürebilir; ardından kimlik doğrulamayı başlatın.

3. DMARC: SPF ve DKIM’den sonra en az 48 saat bekleyin, ardından _dmarc adıyla bir TXT kaydı ekleyin. Başlangıç için örnek kayıt: v=DMARC1; p=none; rua=mailto:dmarc@alanadiniz.com

Microsoft 365 için genel adımlar

1. SPF: Yalnızca Microsoft 365’ten gönderiyorsanız Microsoft’un önerdiği kayıt şudur: v=spf1 include:spf.protection.outlook.com -all

2. DKIM: Microsoft Defender portalında e-posta kimlik doğrulama ayarları sayfasının DKIM sekmesine gidin. Portalın verdiği iki CNAME kaydını (selector1._domainkey ve selector2._domainkey) DNS’e ekleyin, ardından imzalamayı etkinleştirin.

3. DMARC: Google Workspace ile aynı mantıkla _dmarc TXT kaydını ekleyin.

Microsoft, kontrolünüz dışındaki toplu e-posta servisleri için ana alan adı yerine alt alan adı (örneğin bulten.alanadiniz.com) kullanmayı öneriyor. Böylece bülten tarafındaki bir sorun, çalışanlarınızın günlük yazışmalarının itibarını etkilemez; her alt alan adı ayrıca kendi 10 sorgu sınırına sahip olur.

Pratik öneri: DMARC’ı ilk gün “reject” ile açmayın. Google da p=none ile başlamayı, raporlarda bütün meşru servislerinizin doğrulandığını gördükten sonra quarantine ve reject’e geçmeyi öneriyor. Aceleyle sıkı politikaya geçmek, unuttuğunuz bir servisin (örneğin e-fatura) bütün e-postalarının reddedilmesine yol açabilir.

Toplu e-posta araçlarında nelere dikkat etmelisiniz?

Bülten ve kampanya e-postalarını gönderdiğiniz aracın kendi alan adınızla DKIM imzası atmasını sağlayın ve aracın verdiği SPF ifadesini mevcut SPF kaydınıza ekleyin. Bu ayarlar araçlarda genellikle alan adı doğrulama ya da gönderen kimliği bölümünde yer alır.

• Gönderen adresi olarak ücretsiz posta adresi değil, kendi alan adınızı kullanın.

• Tek tıkla abonelikten çıkma başlığının açık olduğunu kontrol edin; Gmail bunu pazarlama e-postalarında istiyor.

• Abonelikten çıkış taleplerini en geç 48 saat içinde işleyin.

• Gönderim hacmini kademeli artırın; Google ani hacim sıçramalarından kaçınmayı öneriyor.

• Yalnızca izinli listelere gönderin. Türkiye’de ticari e-posta için İleti Yönetim Sistemi’nde (İYS) kayıtlı onay gerekiyor; izinsiz gönderim hem spam şikâyetini hem yasal riski artırır.

İzin tarafını GDPR ve KVKK uyumlu e-posta pazarlaması yazımızda, segmentasyon ve otomatik akışları da e-posta pazarlama otomasyonu rehberimizde anlattık. Otomatik kampanya kurulumunun adımları için e-posta otomasyonu kurulum yazımıza da bakabilirsiniz.

En sık yapılan hatalar

İkinci bir SPF kaydı eklemek. Yeni bir servis eklerken ayrı bir SPF kaydı açmak, iki kaydın da geçersiz sayılmasına yol açar. Yeni servisi mevcut kaydın içine ekleyin.

DMARC’ı doğrudan reject ile açmak. Raporlara bakmadan sıkı politikaya geçmek, fatura ya da form e-postaları gibi kritik iletileri sessizce kaybetmenize neden olabilir.

DMARC raporlarını hiç okumamak. DMARC kaydı açıp raporlara bakmamak, alan adınızı taklit eden gönderimleri ve hatalı ayarlanmış servislerinizi görmemek demektir.

Bülten aracını alan adı doğrulaması yapmadan kullanmak. Araç kendi alan adıyla imza attığında hizalama sağlanmaz; toplu gönderen sayılıyorsanız iletileriniz reddedilebilir.

Ritz Marketing olarak kurumsal e-posta ve bülten altyapınızın SPF, DKIM ve DMARC ayarlarını kontrol ediyor, e-posta pazarlamanızı dijital iş geliştirme ve danışmanlık kapsamında kuruyoruz. Alan adınızı ve web sitenizi birlikte ele almak için web sitesi tasarımı sayfamıza bakabilir ya da bizimle iletişime geçebilirsiniz.

Sıkça Sorulan Sorular

Kayıtları kurunca e-postalarım hemen gelen kutusuna düşer mi?

Kayıtlar gerekli ama tek başına yeterli değil. SPF, DKIM ve DMARC iletinin sizden geldiğini kanıtlar; gelen kutusuna düşmesi ise ayrıca gönderim itibarınıza, şikâyet oranınıza, listenizin izinli olmasına ve içeriğe bağlıdır. Kayıtları kurduktan sonra birkaç hafta Postmaster Tools ve DMARC raporlarını izleyin.

Günde 5.000’den az e-posta gönderiyorum, yine de DMARC gerekli mi?

Gmail ve Yahoo, daha az gönderenler için SPF ya da DKIM’den birini zorunlu tutuyor; DMARC bu gruba şart değil. Yine de DMARC, alan adınızın taklit edilmesini zorlaştırır ve size e-posta gönderen servislerinizi gösteren raporlar sağlar. Bu nedenle küçük işletmelere de en azından p=none ile DMARC kurmalarını öneriyoruz.

DNS değişikliği ne kadar sürede etkili olur?

Değişikliğin yayılma süresi DNS sağlayıcınıza göre değişir. Google, DKIM kaydının çalışmaya başlamasının 48 saate kadar sürebileceğini ve DMARC’ı SPF ile DKIM kurulduktan 48 saat sonra eklemeyi öneriyor. Bu sürede test e-postası gönderip “Orijinali göster” ile sonucu kontrol edin.

SPF kaydında ~all mı, -all mı kullanmalıyım?

İkisi de geçerlidir. ~all, listede olmayan kaynaktan gelen iletinin şüpheli işaretlenmesini, -all ise reddedilmesini ister. Google Workspace’in örnek kaydında ~all yer alıyor; Microsoft ise DKIM ve DMARC da kuruluysa -all kullanılmasını öneriyor. Bütün servislerinizin kayıtta olduğundan emin değilseniz ~all ile başlayın.

DMARC raporlarını nasıl okurum?

Raporlar XML biçiminde gelir ve doğrudan okunması zordur. Ücretsiz ya da ücretli DMARC rapor analiz araçları bu dosyaları tabloya çevirir; hangi sunucunun sizin adınıza kaç e-posta gönderdiğini ve doğrulamayı geçip geçmediğini gösterir. Tanımadığınız bir kaynak görürseniz ya meşru bir servisinizi SPF’e eklemediniz ya da alan adınız taklit ediliyor demektir.

Kaynaklar

• Google: E-posta gönderen yönergeleri

• Google: Gönderen yönergeleri sık sorulan sorular

• Yahoo: Sender Best Practices

• Microsoft: Outlook’un yüksek hacimli gönderenler için yeni gereksinimleri

• Microsoft Learn: Microsoft 365 alan adınız için SPF ayarlama