Gönderdiğim e-postalar neden spam'e düşüyor? Alıcı sunucu üç soru sorar

Kısa cevap: çoğu zaman alıcı sunucu postanın gerçekten sizden geldiğini doğrulayamıyordur; bu bir içerik sorunu değil, alan adınızın kayıtlarında eksik üç satır sorunudur. Gmail ve Yahoo 2024'ten, Outlook 2025'ten beri bu kayıtları açıkça şart koşuyor: herkesten en az birini, toplu gönderenden üçünü birden. Kayıtlar tamamsa kalan sebepler bellidir: paylaşılan sunucunun itibarı, siteden giden form postası, yönlendirme ve rızasız liste.

Kurumsal e-posta yazısında ücretsiz adresle çalışmanın üçüncü bedelini "postanız spam'e düşüyor ve haberiniz olmuyor" diye yazmıştık. Bu yazı o cümlenin teşhisi: nereden anlaşılır, alıcı sunucu neye bakar, hangi kural ne zaman geldi ve kayıtlar doğruyken bile neden düşer.

Önce teşhis: reddedildi mi, spam'e mi düştü

İki ayrı durum var. Birincisinde posta geri döner; gelen hata iletisinde Gmail'in 5.7.26 kodu varsa sebep tek kelimeyle yazılıdır: kimlik doğrulanamadı. İkincisi daha sinsidir: posta kabul edilir, spam klasörüne iner ve iki taraf da fark etmez. Müşteri "gelmedi" der, siz "gönderdim" dersiniz, ikiniz de haklısınız.

Teşhisin en kolay yolu kendinize göndermektir. Bir Gmail adresine posta atın, açın, gönderen adının altındaki oku tıklayın: Google'ın tarifine göre "Mailed by" ve "Signed by" satırları görünüyorsa iletinin kimliği doğrulanmıştır; gönderen adının yanında soru işareti varsa doğrulanmamıştır. Başka bir posta programında aynı bilgi üstbilgideki "Authentication-Results" satırında "spf=pass" ya da "dkim=pass" olarak okunur. Doğrulama geçmişse sorun kayıtlarda değildir, aşağıdaki beş nedene inilir; Google'ın kendi uyarısıyla, spam gönderenler de kimlik doğrulayabildiği için tek başına doğrulama teslimi garanti etmez.

Alıcı sunucunun üç sorusu

Bir posta geldiğinde alıcı sunucu gönderenin alan adına üç soru sorar; cevaplar DNS kayıtlarınızda durur ve Google'ın gönderen yönergeleri üçünü de tek paragrafla tanımlar.

Bu sunucu sizin adınıza gönderebilir mi? Cevap SPF kaydıdır (RFC 7208). Google'ın ifadesiyle kayıtta "alanınızın tüm e-posta gönderenleri bulunmalıdır"; listede olmayan üçüncü taraf gönderenlerin iletileri spam'e daha yakın durur. İşletme için anlamı şu: alan adınızdan posta atan her şey bu satırda yazılı olmalıdır — randevu sistemi, web sitesi, muhasebe yazılımı, bülten aracı. Genelde yazılı değildir, çünkü her birini ayrı bir firma kurmuştur ve hiçbiri diğerinin kaydına bakmaz.

Posta yolda değiştirildi mi, gerçekten alan sahibinden mi çıktı? Cevap DKIM imzasıdır (RFC 6376). Gönderen sunucu postayı alan adınıza bağlı bir anahtarla imzalar; alıcı imzayı kayıttan doğrular. Google kişisel Gmail hesaplarına gönderim için en az 1.024 bitlik anahtar ister, 2.048 önerir.

İkisi tutmazsa ne yapılsın? Cevap DMARC politikasıdır (RFC 7489): izle, karantinaya al ya da reddet. İki şartı vardır: SPF ya da DKIM geçmeli ve doğrulayan alan adı, alıcının gördüğü "Kimden" satırındaki alan adıyla aynı olmalı. DMARC'ın raporlama tarafı ayrıca değerlidir; Google'ın deyişiyle "alanınızın kimliğine bürünen gönderenleri belirlemenize yardımcı olur". Adınıza spam atılıyorsa ilk oradan görürsünüz.

2024'ten beri kural

Google, 1 Şubat 2024'ten itibaren kişisel Gmail hesaplarına posta gönderen herkesten şunları istiyor: SPF ya da DKIM; gönderen sunucunun geçerli ileri ve ters DNS kaydı; TLS bağlantısı; Postmaster Tools'ta yüzde 0,3'ün altında spam oranı; standart biçim. Günde 5.000 ya da daha fazla ileti gönderenlerde liste büyür: SPF ve DKIM, DMARC kaydı (politika "none" olabilir), "Kimden" alanıyla uyum, pazarlama postalarında tek tıkla listeden çıkma ve görünür bir çıkış bağlantısı. Yahoo aynı listeyi yayınladı ve çıkış taleplerinin iki gün içinde uygulanmasını ekledi. Microsoft 5 Mayıs 2025'ten itibaren Outlook için aynı eşikte SPF, DKIM ve DMARC'ın üçünü birden şart koştu; uymayan posta önce gereksiz kutusuna gidiyor, çözülmezse reddediliyor.

Küçük işletme çoğu zaman 5.000 eşiğinin altındadır ve "zorunlu değil" cümlesini duyar. Google'ın kendi cümlesi daha nettir: "E-posta teslimini iyileştirmek için alanlarınızda her zaman SPF, DKIM ve DMARC ayarlarını yapmanızı öneririz." Eşik, cezanın değil kuralın sınırıdır; filtre eşiğe bakmaz.

Kayıtlar doğru ama hâlâ düşüyor: beş neden

Paylaşılan sunucunun itibarı. Ucuz barındırmada onlarca alan adı aynı adresten gönderir. Google'ın ifadesiyle paylaşılan adresi kullanan herkesin etkinliği herkesin itibarını etkiler; adres engellenenler listesine bir kez girdiğinde kimin yüzünden girdiği filtreyi ilgilendirmez. Kayıtlarınız kusursuz olabilir, adres kirlidir.
Siteden giden form postası. İletişim formu çoğu zaman barındırma sunucusunun kendi posta fonksiyonuyla, sizin adınızı yazarak gönderir. O sunucu SPF kaydınızda yoksa form postaları sizin adınıza atılmış sahte posta gibi görünür. Çözüm formun kendi kutunuz ya da itibarlı bir aktarım katmanı üzerinden göndermesidir.
Yönlendirme. Alan adınızdaki kutuyu bir Gmail adresine yönlendiriyorsanız posta araya bir sunucu daha alır; Google yönlendirme yapanlardan ayrı bir kılavuz izlemelerini ve yönlendirilen iletinin doğrulandığından emin olmalarını ister. Çoğu basit yönlendirme bunu sağlamaz.
Rızasız liste. Satın alınmış liste, önceden işaretli kutuyla toplanmış adres ve sorulmadan bültene eklenen müşteri şikâyet üretir; Google spam raporlarının zamanla alanın itibarını düşürdüğünü yazar, Yahoo liste satın almayın der. Kampanya postasının izni ayrı bir kuraldır: önceden onay ve İYS kaydı olmadan gönderilmez.
Sunucu tarafı eksikler. Ters DNS kaydı yok, TLS yok, anahtar kısa. Bunlar sizin değil sağlayıcınızın işidir; sormadan öğrenemezsiniz.

Sağlayıcınıza sorulacak dört soru

Alan adımda SPF, DKIM ve DMARC kurulu mu; DMARC politikası izleme mi, karantina mı, ret mi?
Gönderim adresi paylaşılan mı; itibarını kim, neyle izliyor?
Sitedeki form, muhasebe programı ve bülten aracı SPF'te yazılı mı, DKIM ile imzalıyor mu?
DMARC raporları toplanıyor mu, kim okuyor?

Dördüne de cevap alamıyorsanız sorun teknik değildir; posta işinizin sorumlusu yoktur.

Ne zaman dert etmemeli

Tek bir alıcıda spam'e düşen, diğer herkese ulaşan posta çoğu zaman o alıcının filtresidir; sistemik değildir.
Günde birkaç yüz posta gönderen işletmeyi 5.000 eşiğinin ek şartları bağlamaz; temel üç kayıt yine gerekir.
Alan adınız yoksa bu yazı sizin değil; adresin itibarı servisin itibarıdır ve siz onu yönetemezsiniz. O konuyu kurumsal e-posta yazısında yazdık.

Bunu neden yazıyoruz

Kendi alan adımızda üç kayıt kuruludur, DMARC politikamız karantinadır ve raporlar toplanır; bunu söylemek kolay, çünkü herkes DNS'ten bakabilir. Müşterilerimizin kutularını kendi posta sunucumuzda tutuyoruz: kayıtlar baştan kurulur, giden posta itibarlı bir aktarım katmanından çıkar ve her müşterinin gönderim itibarı diğerlerinden yalıtılır. "E-postalarımız spam'e düşüyor, çözülür mü" sorusunun cevabını bakım ve barındırma sayfamızda yazdık: çoğu zaman evet, ve sebep çoğu zaman bu yazıdaki ilk üç satırdır.