Körlemesine Yayımlamak: DMARC Kayıtlarının Çoğu Hiç Rapor İstemiyor

Yayımlanma 2026-07-03 · güncellendi 2026-07-03

2026-06-29 tarihi itibarıyla rakamlar · metodoloji v7. Ayrıştırılabilir bir DMARC kaydı yayımlayan her alan adı üzerinde, alan adı başına yinelenenler kaldırılarak yapılan sayım verileri. rua= varlığı tüm kayıtlar üzerinde ölçülür, dolayısıyla herhangi bir tek politikayla tam örtüşmesi türetilemez — bu makale o örtüşme hakkında iddialar öne sürdüğünde, tam çapraz tablolar değil, sınırlar belirtir. Tüm rakamlar toplamdır — hiçbir zaman bir işletmenin bireysel notunu yayımlamayız.

DMARC kayıtlarının çoğu izlemiyor

DMARC kaydı yayımlayan 65 milyon alan adının yalnızca 23 milyonu — %35.7‘i — toplu rapor talep eden rua= etiketini içeriyor. Diğer %64.3‘i körlemesine yayımlıyor: kayıtta bir politika var, ama altında neler olup bittiğinin kendisine anlatılmasını kimse istememiş. Bu, kendisine hiçbir şey gösteremeyen bir DMARC kaydına sahip 42 milyon alan adı demektir.

Raporlama olmayan bir DMARC kaydı, kimsenin evde olmadığı bir kapı zilidir. Posta alıcıları her mesajı ona karşı özenle kontrol eder — ve bulguları, alan adınız olarak gönderim yapan herkesin listesi, hiçbir yere gitmez. Mekanizma çalışır; sahibi sadece dinlemiyor.

`rua=` aslında ne yapar

DMARC’ın iki yarısı vardır. Politika yarısı (p=none, quarantine veya reject) alıcılara kimlik doğrulamada başarısız olan postayla ne yapacaklarını söyler. Raporlama yarısı — rua= etiketi, bir posta kutusu adresi — alıcılardan size günlük toplu raporlar göndermelerini ister: hangi sunucular alan adınız olarak gönderim yaptı, ne kadar posta, ve SPF ile DKIM’i geçip geçmediği.

O ikinci yarı, geri bildirim döngüsünün tamamıdır. Raporlar, kimsenin belgelemediği bülten platformunu, pazarlamanın bağladığı faturalama aracını, başka bir bölgedeki gölge göndericiyi — onları uygulamaya koyup bozmadan önce — nasıl keşfettiğinizdir. rua= olmadan bu istihbaratın hiçbiri size hiç ulaşmaz. Onu eklemek tek bir DNS düzenlemesine mal olur: mevcut kayda rua=mailto:[email protected] (veya bir izleme hizmetinin adresini) ekleyin.

2. ve 3. Aşamalar arasındaki boşluk: yayımlanmış ve kör

DMARC olgunluğunun altı aşamasında, 3. Aşama — Gözlem — DMARC yayımlandığında ve toplu raporlar akmaya başladığında başlar. rua= içermeyen bir kayıt buna uymaz. 2. ve 3. Aşamalar arasındaki boşlukta oturur — yayımlanmış ve kör — modelin kasıtlı olarak kendine ait bir sayı olmadan bıraktığı bir yer.

Bu önemlidir çünkü ondan sonraki her aşama raporlara bağlıdır. Hiç almadığınız raporlardan göndericilerinizi tanımlayamazsınız (4. Aşama); göndericilerinizi bilmeden güvenle uygulamaya koyamazsınız (5. Aşama). Kör bir kayıt yolculuktaki erken bir adım değildir — onun hemen yanındaki bir cep yoludur. Ve sayım, kayıt sahiplerinin çoğunun orada ya da yakınında park etmiş olduğunu düşündürüyor: tüm DMARC kayıtlarının %57.5‘i hiçbir zaman uygulamaya ulaşmıyor.

İşe yaramazdan da beter, çünkü ilerleme gibi hissettiriyor

Eksik bir DMARC kaydı en azından olduğu şeye benzer: bir boşluk. Kör olan bir onay işareti gibi görünür. Biri bir uyum kontrol listesi, ya da bir teslim edilebilirlik kılavuzu, ya da bir satıcıdan tek satırlık bir düzeltme uyguladı — v=DMARC1; p=none yayımladı — ve tarayıcı yeşile döndü. Kuruluş artık hiç kaydı olmayan kuruluştan daha ileride hissediyor, oysa işlevsel olarak aynı yerde: görünürlük yok, uygulama yok, ikisine de giden yol yok.

Sonuç sessiz ve birikimlidir. Kör kayıtlar yüksek sesle başarısız olmaz; sadece bir sonraki adımı haklı çıkaracak kanıtı asla üretmezler. Yıllar sonra kayıt hâlâ p=none der, hangi göndericilerin meşru olduğunu kimse söyleyemez, ve uygulamaya koymak her zamankinden daha riskli hissettirir — tam olarak hiçbir zaman rapor toplanmadığı için.

Sayım neyi söyleyebilir ve neyi söyleyemez

rua= varlığı, politika başına çapraz tablolanarak değil, tüm 65 milyon kayıt üzerinde ölçüldüğü için, aynı zamanda kör olan p=none kayıtlarının tam sayısı bu marjinallerden türetilemez. Yine de sınırlar çarpıcıdır. 37 milyon kayıt (kayıt sahiplerinin %57.4‘i) p=none konumundadır; tüm sayımda yalnızca 23 milyon kayıt rapor talep eder. Yani bu p=none kayıtlarından en fazla 23 milyonu rapor alıyor olabilir — ve sayımdaki her raporlama adresi bir p=none alan adına ait olsa bile, en az 14 milyonu kesinlikle almıyor. Örtüşme gerçekte nasıl düşerse düşsün, milyonlarca alan adı monitörü fişten çekilmiş halde “izleme modunda” oturuyor.

Tek düzenlemelik çözüm

DMARC kaydınızda rua= etiketi yoksa, çözüm tek bir DNS değişikliğidir ve her politika seviyesinde güvenlidir:

Bir raporlama hedefi seçin — gerçekten işleyeceğiniz bir posta kutusu, ya da XML’i okunabilir bir şeye dönüştüren ücretsiz/ücretli bir DMARC izleme hizmeti.
Kayda ekleyin: v=DMARC1; p=none; rua=mailto:[email protected]. Hedef farklı bir alan adıysa, o alan adının raporlarınızı almayı yetkilendirmesi gerekir (kendi tarafında küçük bir ek DNS kaydı).
Birkaç gün bekleyin, sonra okuyun. Raporlar büyük alıcılardan günlük olarak gelir. Gösterdikleri şey — alan adınız olarak gönderim yapan her kaynak — yolculuğun geri kalanının haritasıdır.

O zaman kayıt mobilya olmaktan çıkar ve bir enstrüman olmaya başlar. (DMARC’ı Düzelt →.)

Sıkça sorulan sorular

DMARC rua raporu nedir? Katılan posta alıcılarının, hangi kaynakların alan adınız olarak posta gönderdiğini ve SPF ile DKIM hizalamasını geçip geçmediğini özetleyerek, kaydınızın rua= etiketindeki adrese (genellikle günlük) gönderdiği toplu bir XML raporudur. Hiçbir mesaj içeriği barındırmaz — yalnızca gönderici altyapısı ve geçme/kalma sayımları.

rua olmadan DMARC değersiz mi? Değersiz değil — uygulayan bir politika onsuz da sahtekârlığı engeller. Ama p=none konumunda, rua= içermeyen bir kayıt hiçbir şeyi engellemez ve size hiçbir şey göstermez — kalan tek işi posta kutusu sağlayıcılarının asgari gereksinim kutusunu işaretlemektir. Ve raporlama olmayan uygulayan alan adları bile, yeni göndericiler ortaya çıktıkça uygulamayı güvende tutan sapma tespitini kaybeder. p=none koruma değildir her iki durumda da — raporlar olmadan hazırlık bile değildir.

rua= herhangi bir posta kutusuna işaret edebilir mi? Evet, farklı bir alan adındaki biri dâhil — çoğu izleme hizmeti tam olarak bu şekilde çalışır. Alıcı alan adı, raporlarınızı yetkilendiren küçük bir doğrulama kaydı yayımlar. Önemli olan, bir şeyin XML’i gerçekten işlemesidir; kimsenin okumadığı bir posta kutusu, fazladan adımlarla körlüktür.

Toplu raporlar özel verileri açığa çıkarır mı? Hayır. rua toplu raporları gönderim kaynağı ve kimlik doğrulama istatistikleri taşır, mesaj gövdelerini veya alıcı listelerini değil. (Ayrı ruf= başarısızlık raporları mesaj parçaları içerebilir, bu yüzden birçok alıcı artık bunları göndermez — önemli olan rua’dır.)

Kaydınızın izleyip izlemediğini kontrol edin

Hiç rapor istemeyen bir DMARC kaydı, tüm yolculuktaki düzeltilmesi en kolay bulgulardan biridir — tek bir DNS düzenlemesi körü Gözleme dönüştürür. Gizli ve ücretsiz kontrol edebilir, 34 kontrolden hangilerini geçtiğinizi ve geçemediklerinizi nasıl düzelteceğinizi görebilirsiniz.

Alan adınızı kontrol edin → · DMARC olgunluğunun 6 aşaması → · DMARC sütunu → · Yalnızca toplu veriler. Veriler AB’de saklanır ve işlenir.