SPF kaydı (Sender Policy Framework), bir alan adı sahibinin kendi adına e-posta göndermeye yetkili sunucuların IP adreslerini herkese açık olarak ilan ettiği bir DNS kaydıdır. Alıcı sunucu bir e-posta aldığında, mektubu gönderen IP adresinin bu listede olup olmadığını kontrol eder. Böylece rastgele bir sunucunun sizin alan adınızı göndericiymiş gibi kullanması tespit edilebilir hale gelir.

SPF kaydı, bir alan adı adına kimin posta gönderebileceğini DNS üzerinden ilan eden ve yetkisiz göndericileri alıcıya işaret eden bir izin listesidir.

Kayıt Nasıl Yayınlanır ve Okunur?

SPF, alan adının TXT türündeki bir DNS kaydı olarak yayımlanır ve v=spf1 ifadesiyle başlar. Kaydın gövdesi, yetkili göndericileri tanımlayan mekanizmalardan oluşur: ip4 ve ip6 belirli adres bloklarını, a ve mx alan adının kendi kayıtlarındaki sunucuları, include ise başka bir sağlayıcının SPF politikasını devralmayı ifade eder. Örneğin bir kurum kendi posta sunucusunu mx ile, bulut e-posta hizmetini include ile aynı kayıtta birleştirebilir.

Kaydın sonundaki nitelik, eşleşmeyen göndericilere ne yapılacağını belirler. -all sert reddi (yetkisiz her sunucu başarısız sayılır), ~all ise yumuşak başarısızlığı (şüpheli işaretlenir ama tümden reddedilmez) ifade eder. Kurumlar geçiş döneminde ~all ile başlayıp, gönderim kaynaklarından emin olduklarında -all değerine sertleştirir. Kritik bir sınır, bir SPF değerlendirmesinin en fazla on DNS sorgusu yapabilmesidir; zincirlenmiş include ifadeleri bu sınırı aşarsa kayıt geçersiz sayılır.

Neyi Engeller, Neyi Engellemez?

SPF, mektubun zarfındaki gönderen alan adını (envelope-from) doğrular; ancak kullanıcının ekranda gördüğü From başlığını doğrudan denetlemez. Bu ayrım önemlidir: bir saldırgan geçerli bir SPF kaydına sahip kendi alan adından posta gönderip, görünen From başlığına başka bir kurumu yazabilir. Bu nedenle SPF tek başına her E-posta sahteciliği biçimini durdurmaz ve özellikle marka taklidiyle yürütülen Kimlik avı kampanyalarına karşı tam koruma sağlamaz.

Bir diğer bilinen zayıflık iletim (forwarding) senaryosudur. E-posta bir aracı sunucu üzerinden yönlendirildiğinde, mektubu son alıcıya ulaştıran IP artık orijinal göndericinin değil aracının adresidir ve SPF kontrolü haksız yere başarısız olabilir. Bu kısıtlar, SPF’nin tek başına yeterli olmadığını, tamamlayıcı mekanizmalarla birlikte kurulması gerektiğini gösterir.

Bütünlüklü E-posta Kimliği

Etkili koruma için SPF; iletideki başlıkları kriptografik olarak imzalayan DKIM imzası ve bu iki kontrolün sonucunu görünen From alan adıyla hizalayan DMARC politikasıyla birlikte kullanılır. Üçü bir arada çalıştığında, hem gönderen sunucu yetkilendirilir hem iletinin bütünlüğü doğrulanır hem de politika ihlallerinin raporlanması sağlanır. Bu üçlünün kurumun tüm gönderim kaynaklarıyla tutarlı kurulması, çoğu zaman bir altyapı ve mimari gözden geçirme çalışmasıyla netleşir ve yanlışlıkla engellenen meşru postaların önüne geçer.