DMARC (Domain-based Message Authentication, Reporting and Conformance), bir alan adının gönderdiği e-postaların kimliğini doğrulamak ve doğrulamayı geçemeyen iletilerin akıbetini belirlemek için yayımlanan bir DNS politikasıdır. Kendi başına bir doğrulama yapmaz; bunun yerine iki mevcut mekanizmanın, SPF ve DKIM’in sonuçlarını bir kurala bağlar ve gönderen alan adının bu kuralı denetleyebilmesini sağlar.

DMARC, alan adı sahibinin ‘benim adıma yollandığını iddia edip kimliğini kanıtlayamayan postaya şunu yapın’ dediği, DNS’te yayımlanan makine-okur bir talimattır.

Hizalama: DMARC’ın Asıl Katkısı

DMARC’ın çekirdek fikri hizalamadır (alignment). Bir SPF kaydı gönderen sunucunun IP’sini, bir DKIM imzası ise iletinin bütünlüğünü doğrular; ancak ikisi de kullanıcının gördüğü From adresini tek başına korumaz. DMARC, bu doğrulamalarda kullanılan alan adının, kullanıcıya görünen From alanındaki alan adıyla eşleşmesini şart koşar. Böylece saldırgan kendi kontrolündeki bir alan adıyla SPF’i geçse bile, From’da sizin alan adınızı gösteremez; hizalama bu boşluğu kapatır.

Üç Politika Seviyesi

Politikanın sertliği DNS kaydındaki p etiketiyle belirlenir ve kademeli olarak sıkılaştırılır.

• p=none: hiçbir posta engellenmez, yalnızca raporlanır; keşif ve izleme aşaması için kullanılır
• p=quarantine: doğrulamayı geçemeyen ileti spam/karantina klasörüne yönlendirilir
• p=reject: doğrulamayı geçemeyen ileti alıcı sunucu tarafından tümden reddedilir

Doğru uygulama neredeyse her zaman p=none ile başlar. Bu aşamada gelen toplu (aggregate) raporlar, alan adınız adına posta yollayan tüm kaynakları, bu arada unuttuğunuz pazarlama araçlarını ve fatura sistemlerini ortaya çıkarır. Bu kaynakları SPF ve DKIM’e usulünce ekledikten sonra, meşru postayı yanlışlıkla düşürme riski olmadan p=reject’e geçebilirsiniz.

Neyi Engeller, Neyi Engellemez?

DMARC’ın koruduğu şey, tam olarak sizin alan adınızın From alanında taklit edilmesidir; bu da doğrudan E-posta sahteciliği ile mücadelenin temelidir. p=reject yayımlayan bir kurumun adını birebir kullanan sahte postalar alıcının kutusuna hiç ulaşamaz. Buna karşılık DMARC, size benzeyen ama farklı bir alan adından (örneğin harf değiştirilmiş bir varyanttan) gelen Kimlik avı iletilerini durduramaz; o alan adı sizin denetiminizde olmadığı için politikanız da orada geçerli değildir. Bu yüzden DMARC, marka izleme ve benzer alan adlarını izlemeyle birlikte yürütülür.

Kurumsal Etki

DMARC’ı p=reject’e taşımak, bir kurumun markasının doğrudan taklit edilerek müşterilerine dolandırıcılık postası yollanmasını fiilen imkânsız kılar; bu hem itibarı hem de teslim edilebilirlik puanını korur. Ancak yanlış yapılandırılmış bir kayıt, meşru bültenleri ve sistem bildirimlerini sessizce reddedebilir. SPF, DKIM ve DMARC hizalamasının tüm gönderen kaynaklar için tutarlı kurulduğunu doğrulamak, bir altyapı ve mimari gözden geçirme çalışmasının rutin bir parçasıdır.