BIMI, MTA-STS & TLS-RPT
Marka logosu, zorunlu TLS politikası ve TLS raporlama kayıtlarını uçtan uca denetleyin.
Bir hedef girin
Örn. example.com — çalıştırmak için ⏎ / ⌘⏎
BIMI, MTA-STS & TLS-RPT Nedir?
Bu araç, SPF/DKIM/DMARC üçlüsünün kapsamadığı üç modern kaydı denetler: BIMI (gelen kutusunda marka logosu), MTA-STS (gelen SMTP için zorunlu TLS) ve TLS-RPT (TLS hatalarının raporlanması).
MTA-STS'in çözdüğü sorun somuttur: SMTP'de STARTTLS fırsatçıdır ve aradaki bir saldırgan duyuruyu silerse gönderen sunucu sessizce düz metne düşer. MTA-STS bu düşürme saldırısını imkânsız kılar. Kontrol yalnızca DNS kaydına bakmaz, politika dosyasını da indirir ve içindeki mx kalıplarının canlı MX kayıtlarınızla eşleştiğini doğrular.
BIMI'nin ön koşulu DMARC'tır: politika quarantine veya reject olmalı ve pct=100 olmalıdır. Bu şart karşılanmıyorsa kayıt yayında olsa bile hiçbir sağlayıcı logoyu göstermez; araç bu durumu açıkça belirtir.
Sık Sorulan Sorular
11 soruMTA-STS tam olarak neyi çözüyor?
SMTP'de STARTTLS fırsatçıdır: aradaki bir saldırgan STARTTLS duyurusunu silerse gönderen sunucu sessizce düz metne düşer ve kimse fark etmez. MTA-STS, gönderen tarafa "bu alan adına yalnızca geçerli sertifikalı TLS ile teslim et" der ve bu düşürme saldırısını imkânsız kılar.
MTA-STS kurmak için ne gerekiyor?
İki parça: _mta-sts.<alan-adı> adresinde v=STSv1 içeren bir TXT kaydı ve https://mta-sts.<alan-adı>/.well-known/mta-sts.txt adresinde text/plain olarak sunulan bir politika dosyası. Politika dosyası geçerli bir sertifikayla HTTPS üzerinden sunulmalıdır ve yönlendirme kabul edilmez.
enforce ve testing modu arasındaki fark ne?
testing modunda ihlaller yalnızca TLS-RPT üzerinden raporlanır, e-posta yine teslim edilir. enforce modunda politikaya uymayan teslimat reddedilir. Yeni kurulumda testing ile başlayın; raporlarda hata görünmüyorsa enforce'a geçin.
TLS-RPT ne işe yarar?
Gönderen sunucular size e-posta teslim ederken TLS hatası aldığında bunu günlük özet raporlarla bildirir. Bu olmadan sertifika süresi dolması veya MTA-STS politikası ile MX kayıtlarının uyumsuz hale gelmesi gibi sorunlar tamamen görünmez kalır — e-posta sessizce gelmemeye başlar.
BIMI için ne gerekiyor?
Üç şart: DMARC politikanız quarantine veya reject olmalı ve pct=100 olmalı; logonuz SVG Tiny Portable/Secure biçiminde HTTPS üzerinden sunulmalı; Gmail ve Apple Mail için ayrıca bir VMC (Verified Mark Certificate) gerekir. DMARC yeterince katı değilse kayıt yayında olsa bile hiçbir sağlayıcı logoyu göstermez.
VMC sertifikası zorunlu mu?
Standart olarak hayır, ama pratikte evet: Gmail ve Apple Mail logoyu yalnızca VMC ile gösterir. VMC, tescilli markanızı doğrulayan ücretli bir sertifikadır ve tescilli marka sahibi olmayı gerektirir.
MTA-STS için alt alan adı şart mı?
Evet, adı sabittir: politika dosyası tam olarak mta-sts.<alan-adınız> ana bilgisayarından sunulmalıdır. Bu ad için ayrı bir A/CNAME kaydı ve geçerli bir sertifika gerekir; çoğu kurulumda mevcut web sunucusuna yönlendirmek yeterlidir.
Politikayı değiştirdiğimde ne yapmalıyım?
Dosyayı güncelledikten sonra DNS'teki TXT kaydındaki id değerini de değiştirin. Gönderen sunucular politikanın değiştiğini yalnızca id farkından anlar; id aynı kalırsa max_age süresince eski politikayı kullanmaya devam ederler.
MTA-STS ile DANE arasındaki fark ne?
İkisi de TLS'i zorunlu kılar ama farklı güven zincirine dayanır: MTA-STS web PKI'sini (sertifika otoriteleri) ve HTTPS'i kullanır, DANE ise DNSSEC ile imzalanmış TLSA kayıtlarını. DANE daha güçlüdür ama DNSSEC gerektirir; MTA-STS DNSSEC olmadan da kurulabilir.
TLS-RPT raporları nasıl geliyor?
Gönderen sunucular günlük özetleri sıkıştırılmış JSON olarak rua adresine e-postayla gönderir. Küçük bir alan adı için günde birkaç rapor gelir. İçerik okunabilir ama düzenli takip için bir rapor analiz servisi kullanmak pratiktir.
BIMI logosu neden hâlâ görünmüyor?
Üç yaygın sebep: DMARC henüz quarantine/reject değil, VMC sertifikası yok, ya da sağlayıcı alan adınızın gönderim itibarını henüz yeterli görmüyor. BIMI itibar temellidir — kayıt doğru olsa bile yeni bir alan adında logo hemen çıkmayabilir.