Google Workspace için SPF, DKIM ve DMARC kurulumu

Google’ın belgesine göre yalnız Google Workspace ile gönderiyorsanız kayıt v=spf1 include:_spf.google.com ~all olur. Yönetici konsolunda bir şey yapmanız gerekmez; kayıt alan adınızın DNS’ine eklenir ve çalışmaya başlaması 48 saati bulabilir. Her alan adında tek SPF kaydı olur: başka gönderen hizmetleriniz varsa aynı kayda eklenir ve kayıt 10 DNS sorgusunu aşmamalıdır.

Google ~all önerir; -all’da alıcı sunucuların kayıtta olmayan göndericilerin iletilerini reddedebileceğini söyler. DMARC açısından ikisinin farkı küçülür: DMARC, SPF’in hizalı olarak geçip geçmediğine bakar; softfail de fail de “geçmedi” demektir.

Yalnız Google Workspace ile gönderiyorsanız:

ornek.com.tr  TXT  "v=spf1 include:_spf.google.com ~all"

DKIM anahtarı Yönetici konsolunda üretilir; İngilizce arayüzdeki adlarıyla yol Menu > Apps > Google Workspace > Gmail > Authenticate email’dir. Bu işi yalnız süper yönetici yapabilir. Google’a göre Gmail kuruluşunuzda açıldıktan sonra anahtarın konsolda görünmesi için 24–72 saat beklemek gerekir.

Anahtar uzunluğunu seçerken alan adı sağlayıcınız destekliyorsa 2048 bit, desteklemiyorsa 1024 bit seçin. Seçici öneki varsayılan olarak google’dır ve Google Workspace için önerilen budur; alan adınızda google önekli başka bir anahtar varsa farklı bir önek girersiniz. Kayıt google._domainkey adında bir TXT kaydıdır ve değeri v=DKIM1; k=rsa; p=… biçimindedir.

Kaydı DNS’e ekledikten sonra konsola dönüp Start authentication düğmesine tıklayın. Google, DKIM’in çalışmaya başlamasının 48 saati bulabileceğini söyler; durum “Authenticating email with DKIM” olduğunda imzalama açıktır.

2048 bit anahtar, DNS’teki 255 karakterlik tek bir metin dizgisine sığmaz. Google’ın çözümü anahtarı birden çok dizgiye bölüp her birini ayrı tırnak içine almaktır; DNS paneliniz buna da izin vermiyorsa 1024 bit seçeneğine dönülür.

Biçim (anahtar kısaltıldı; değeri konsoldan alın):

google._domainkey.ornek.com.tr  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA…" "…IDAQAB"

Google, DMARC’ı SPF ve DKIM’den en az 48 saat sonra kurmanızı ister; SPF ve DKIM kurulmadan DMARC açılırsa alan adınızdan giden posta teslim sorunu yaşayabilir. Kayıt _dmarc adında bir TXT kaydıdır. Google’ın önerdiği başlangıç bir hafta p=none’dır; sonra quarantine’e ve reject’e geçilir. rua isteğe bağlıdır ama Google her zaman eklenmesini önerir; Gmail ruf etiketini desteklemez, hata raporu göndermez.

Google’ın kademeli geçiş örneği p=quarantine; pct=5 gibi ara yüzdeler kullanır. RFC 9989’da pct artık tanımlı değil; Ek A.6’ya göre ara değerler alıcıdan alıcıya farklı uygulanıyordu. Test etmek istiyorsanız pct=0; t=y birlikte yazın: yeni standarda göre çalışan alıcı t=y’yi, RFC 7489’a göre çalışan alıcı pct=0’ı okur ve ikisi de politikayı bir kademe aşağı uygular.

Başlangıç:

_dmarc.ornek.com.tr  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@ornek.com.tr"

Test aşaması (iki standartta da bir kademe aşağı):

_dmarc.ornek.com.tr  TXT  "v=DMARC1; p=quarantine; pct=0; t=y; rua=mailto:dmarc@ornek.com.tr"

Google Workspace kullanmanız sizi Gmail’in gönderici kurallarından muaf tutmaz. Google’a göre günde 5.000’den fazla ileti gönderenler SPF, DKIM ve DMARC’ın üçünü de kurmak zorundadır; her gönderici için asgari şart SPF ya da DKIM’den biridir. Bu kurallar yalnız kişisel Gmail hesaplarına giden posta için geçerlidir.

Mailskop’un Eylül 2026 ölçümünde posta altyapısı Google Workspace olarak tespit edilen 2.546 alan adının %49,5’inde geçerli bir DMARC kaydı yoktu; reject uygulayanlar %8,0 idi. Aynı ölçümde Microsoft 365 alan adlarında DMARC’ı olmayanlar %37,9 idi.

Google Workspace’te seçici öneki değiştirilebildiği için Mailskop google._domainkey’de kayıt bulamadığında DKIM’in kapalı olduğunu söylemez; yalnız varsayılan önekte kaydın yayında olmadığını bildirir. Microsoft 365’te seçici adları sabit olduğu için orada yokluk kanıttır.