Rehber · 31 Ekim 2026

Gmail, Yahoo ve Outlook toplu gönderici kuralları

Hazırlayan: Kemal Özleyen, Cybersecurity Engineer · Check Point Workspace Security Expert · Kinetik Bilişim

Kişisel Gmail hesaplarına günde 5.000’e yakın ya da daha fazla ileti gönderen toplu gönderici sayılır: SPF ve DKIM, en az p=none DMARC, tek tıkla abonelikten çıkma ve %0,3’ün altında spam oranı gerekir. Yahoo ve Outlook benzer kurallar uygular.

Kaydınızı şimdi denetleyin

Kime uygulanıyor

Üç sağlayıcı da kuralları kendi kullanıcılarına gelen posta için koyar. Google’ın SSS’sine göre Gmail kuralları yalnız kişisel Gmail hesaplarına (@gmail.com, @googlemail.com) gönderilen iletilere uygulanır, Google Workspace hesaplarına gidenlere uygulanmaz.

Sağlayıcı	Toplu gönderici kimdir	Yürürlük
Gmail	Kişisel Gmail hesaplarına 24 saatte 5.000’e yakın ya da daha fazla ileti gönderen. Aynı birincil alan adından gidenler birlikte sayılır; eşiği bir kez aşan kalıcı olarak toplu gönderici sayılır.	1 Şubat 2024. Tek tıkla abonelikten çıkma: 1 Haziran 2024. Kasım 2025’ten itibaren yaptırım sıkılaştı: uymayan iletiler geçici ya da kalıcı olarak reddedilebiliyor.
Yahoo	Önemli hacimde gönderen; Yahoo sayısal eşik açıklamıyor. Gönderici, kimliği doğrulanmış alan adı ya da From alan adı düzeyinde değerlendirilir.	Şubat 2024, kademeli. Tek tıkla abonelikten çıkma: Haziran 2024.
Outlook	Outlook.com tüketici hizmetine (`outlook.com`, `hotmail.com`, `live.com`) günde 5.000’den fazla ileti gönderen alan adları.	5 Mayıs 2025.

Her göndericiye uygulanan kurallar

Gmail ve Yahoo kurallarının bir kısmı hacimden bağımsızdır; günde birkaç yüz ileti gönderen bir kurum da bunlara uymak zorundadır:

SPF ya da DKIM: en az biri. İkisini birden kurmak toplu gönderici kuralıdır.
İleri ve ters DNS: gönderen alan adlarının ya da IP’lerin geçerli ileri ve ters DNS (PTR) kaydı olmalı. PTR kaydını alan adı sahibi değil, IP adresinin sahibi yönetir.
Biçim: iletiler RFC 5322’ye (Yahoo ayrıca RFC 5321’e) uygun olmalı.
Spam oranı: %0,3’ün altında.
TLS (Gmail): iletiler TLS bağlantısıyla aktarılmalı; Gmail From başlığı taklit edilmemeli.

Toplu göndericiye ek kurallar

Hizalama şartı, gönderimi bir bülten aracına ya da e‑posta hizmet sağlayıcısına yaptıranları doğrudan ilgilendirir: araç iletiyi kendi alan adıyla imzalıyorsa DKIM geçer, ama From adresinizdeki alan adıyla hizalı olmadığı için DMARC açısından sayılmaz. Microsoft’un SSS’si de gönderimi dışarıya verseniz bile kayıtların sizin alan adınızda olması gerektiğini söyler.

Kural	Gmail	Yahoo	Outlook
SPF ve DKIM	İkisi de	İkisi de	İkisi de geçmeli
DMARC	En az `p=none`	En az `p=none`; DMARC geçmeli	En az `p=none`
Hizalama	From alan adı SPF ya da DKIM alan adıyla hizalı	Aynı; gevşek hizalama yeterli	SPF ya da DKIM ile, tercihen ikisiyle
Tek tıkla abonelikten çıkma	Zorunlu (pazarlama ve abone olunan iletiler) + gövdede görünür bağlantı	Zorunlu (pazarlama ve abone olunan iletiler); RFC 8058 POST şiddetle önerilir, `mailto:` kabul + gövdede görünür bağlantı	Zorunlu değil; çalışan, görünür bir çıkma bağlantısı önerilir
Çıkma talebini işleme	48 saat içinde	2 gün içinde	Belirtilmiyor
Spam oranı	Postmaster Tools’ta %0,1’in altında; asla %0,3’e ulaşmamalı	%0,3’ün altında	Belirtilmiyor
DKIM anahtarı	En az 1024 bit	En az 1024 bit; 2048 önerilir	Belirtilmiyor

Kaynak: sağlayıcıların kendi sayfaları, 31 Ekim 2026’da okundu. “Belirtilmiyor”, o sayfada bu konuda bir kural bulamadığımız anlamına gelir.

Tek tıkla abonelikten çıkma (RFC 8058)

Eski List-Unsubscribe başlığındaki bağlantıyı istenmeyen posta yazılımları kendiliğinden açabildiği için göndericiler bir onay sayfası koyuyordu; bu da çıkmayı tek tıktan uzun hâle getiriyordu. RFC 8058’de alıcı sistem, kullanıcının onayıyla, başlıktaki HTTPS adresine bir POST isteği gönderir ve gönderici bunu onay sormadan işler (RFC 8058 §3.2).

Gönderici tarafındaki kurallar (RFC 8058 §3.1): List-Unsubscribe tek bir HTTPS adresi içermeli (yanında mailto: olabilir); List-Unsubscribe-Post yalnız List-Unsubscribe=One-Click içermeli; ileti bu iki başlığı kapsayan geçerli bir DKIM imzası taşımalı; adres, alıcıyı ve listeyi tanıtacak, tahmin edilmesi zor bir belirteç içermeli; sunucu POST isteğine yönlendirme dönmemeli.

Gmail ve Yahoo’nun SSS’lerine göre bu kural pazarlama ve tanıtım iletileri içindir; şifre sıfırlama, sipariş onayı gibi işlem iletileri kapsam dışıdır.

İletideki başlıklar (adres ve belirteç örnek):

List-Unsubscribe: <https://ornek.com.tr/abonelik/cik?u=8f3a1c9e>, <mailto:cik@ornek.com.tr?subject=cik>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

DMARC: `p=none` asgaridir, koruma değildir

Üç sağlayıcı da p=none politikasını yeterli sayar. Ama p=none alıcıya hiçbir şey yaptırmaz; alan adınız adına sahte posta gönderilmesini durdurmaz, yalnız rapor almanızı sağlar. Yahoo’nun SSS’si sahtecilik sorunu yaşayanların her durumda quarantine ya da reject uygulamasını söyler; Microsoft da none’dan quarantine’e, oradan reject’e kademeli geçişi önerir.

Yahoo raporların gönderileceği bir rua adresini şiddetle önerir. rua olmadan toplu rapor gelmez; p=none aşamasının tek faydası da bu raporlardır.

Toplu gönderici için asgari kayıt:

_dmarc.ornek.com.tr  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@ornek.com.tr"

p=none’dan p=reject’e adım adım

Kurallara uymayan postaya ne oluyor

Gmail: kimliği doğrulanmamış iletiler spam olarak işaretlenebilir ya da 5.7.26 hatasıyla reddedilebilir. Google, Kasım 2025’ten itibaren uymayan trafiğe yaptırımı sıkılaştırdığını ve bunun geçici ve kalıcı retleri de kapsadığını söyler; kurallara uymayan göndericiye teslim sorunlarında destek vermez.
Yahoo: iletiler spam klasörüne gidebilir ya da reddedilebilir.
Outlook: Microsoft’un 29 Nisan 2025 güncellemesine göre 5 Mayıs 2025’ten itibaren kimlik doğrulama şartlarını karşılamayan iletiler 550; 5.7.515 Access denied ile reddedilir. Aynı duyurunun ilk metnindeki “önce Önemsiz klasörüne” cümleleri sayfada hâlâ duruyor; Microsoft güncellemeyi bunların üstüne eklemiş.

Mailskop neyi gösterir, neyi gösteremez

DNS’te yayımlanan kısmı Mailskop tek taramada denetler: SPF kaydı ve 10 sorgu sınırı, DMARC politikası, rua adresi ve hizalama kipleri, DKIM anahtarı ve uzunluğu. DKIM seçici adları DNS’ten listelenemediği için Mailskop yalnız denediği seçicileri söyler; “bulunamadı”, DKIM’in kapalı olduğu anlamına gelmez.

Spam oranı, tek tıkla çıkma başlıkları ve iletinin gerçekten hizalı imzalanıp imzalanmadığı DNS’te görünmez. Spam oranı için Google Postmaster Tools’a bakın; imza ve hizalama için gönderdiğiniz bir iletinin başlığını Mailskop’un header analizine yapıştırın: alıcının yazdığı Authentication-Results satırı SPF, DKIM ve DMARC sonucunu gösterir.

Sık sorulanlar

Günde 5.000’den az gönderiyorum; bu kurallar beni ilgilendirir mi?

Evet, bir kısmı. Gmail ve Yahoo’nun her göndericiye uyguladığı kurallar (SPF ya da DKIM, ileri ve ters DNS, %0,3’ün altında spam oranı) hacimden bağımsızdır. Yahoo sayısal eşik açıklamadığı için hangi hacimde toplu sayılacağınızı bilemezsiniz.

İşlem iletilerinde tek tıkla abonelikten çıkma gerekir mi?

Hayır. Gmail ve Yahoo’nun SSS’lerine göre şart yalnız pazarlama ve tanıtım iletileri içindir; şifre sıfırlama ya da sipariş onayı gibi işlem iletileri kapsam dışıdır.

Google Workspace kullanan bir kuruma gönderim bu kurallara tabi mi?

Google’ın SSS’sine göre hayır: kurallar ve yaptırım yalnız kişisel Gmail hesaplarına gönderilen iletiler içindir. Sizin Workspace kullanmanız ise sizi muaf tutmaz; kişisel Gmail hesaplarına gönderirken siz de bu kurallara tabisiniz.

DMARC’ta `p=none` yeterli mi?

Kuralları karşılamak için yeterli, alan adınızı korumak için değil. p=none alıcıya hiçbir şey uygulatmaz; sahte postayı durdurmak için raporlarla meşru göndericileri hizaladıktan sonra quarantine ve reject’e geçmeniz gerekir.

İlgili terimler

Kaynaklar

Diğer rehberler

Son güncelleme: 31 Ekim 2026