E-poçt autentifikasiyası kağız üzərində illərdir “həll olunmuş” problem sayılır. SPF, DKIM və DMARC köhnə standartlardır, hər bir çatdırılma (deliverability) bələdçisi onları təkrarlayır, 2024-cü ildə isə Google və Yahoo bulk göndəricilər üçün DMARC-ı məcburi etdi. Buna görə də düşünmək olardı ki, ən çox ziyarət edilən veb-saytlar bu sahədə qaydasındadır. Lakin iyun 2026-cı ildə Tranco siyahısından götürülmüş 10 min domain üzərində aparılan SPF, DKIM, DMARC və MTA-STS yoxlamaları tamamilə fərqli mənzərə ortaya qoydu.
Hər üç domaindən birində DMARC yoxdur
Yoxlanılan 9 937 domaindən 3 318'i (33.4%) heç bir DMARC qeydi dərc etmir. Bunlar qaranlıq saytlar deyil, əksinə, internetin ən çox ziyarət edilən ünvanlarıdır. DMARC olmadan qəbul edici server, SPF və DKIM uğursuz olduqda nə etməli olduğuna dair dərc edilmiş təlimat almır. Nəticədə, göndəricinin kimliyini təsdiqləmək mümkün olmur. Yüksək səviyyədə, top 1 000 domain arasında bu rəqəm bir qədər yaxşıdır – 28.4% – amma yenə də qənaətbəxş deyil.
DMARC olanların yarısından azı müdafiədədir
DMARC qeydi olan 6 619 domaindən yalnız 46.5%-i p=reject (rədd et) siyasətindədir. Təxminən dörddə biri (26%) isə hələ də p=none (heç nə etmə) səviyyəsindədir. p=none yalnız monitorinq rejimidir – hesabatları toplayır, amma heç bir tədbir görmür. Bu düzgün ilk addım olsa da, əksər hallarda məhz burada dayanılır. Hesabatlar gəlməyə başlayır, onları oxuyan olmur və domain müdafiəsiz qalır. p=none'dan p=reject'ə keçid DMARC-ı sadə panel real müdafiəyə çevirən addımdır, amma bu addımı atanların sayı azdır.
SPF-də gizli təhlükə: 10 axtarış limiti
Yoxlanılan domainlərin 25%-ində ümumiyyətlə SPF qeydi yoxdur. Daha maraqlısı, 1.7% domaində SPF qeydi RFC 7208-dəki 10 DNS axtarış limitini keçir. Limit aşılanda qeyd permerror (daimi xəta) qaytarır və SPF səmərəsiz olur. Bu, adətən include: zəncirləri ilə baş verir – bir neçə SaaS göndəricisi əlavə edirsiniz, hər biri öz include-larını gətirir və bir gün limiti keçdiyinizi hiss etmirsiniz.
MTA-STS: demək olar ki, yox səviyyəsində
Yoxlamanın ən qabarıq nəticəsi MTA-STS (RFC 8461) ilə bağlıdır. Domainlərin 97.8%-də heç bir MTA-STS siyasəti yoxdur, 97.1%-də isə TLS-RPT qeydi yoxdur. MTA-STS, göndərən serverin TLS və etibarlı sertifikat tələb etməsinə imkan verir və STARTTLS-in boşluqlarını bağlayır. Ancaq bu texnologiyanın qurulması mürəkkəbdir – həm mta-sts. subdomaini üzərində HTTPS ilə siyasət faylı, həm də DNS qeydi tələb olunur. “Daha çox iş” demək 2% qəbul səviyyəsini izah etmir.
BIMI: marka üçün seçim, təhlükəsizlik üçün yox
Domainlərin 8.9%-i BIMI qeydi dərc edir, top 1 000'də bu rəqəm 15.7%-ə qalxır. BIMI, DMARC-ı tətbiq edən və təsdiqlənmiş markası olan brendlər üçün məntiqlidir – aşağı qəbul səviyyəsi burada təhlükəsizlik problemi deyil, çünki BIMI isteğe bağlıdır.
Xülasə: insanlar e-poçt autentifikasiyasını qəbul etmir demək düzgün olmaz. Əksəriyyət SPF və DMARC dərc edir. Lakin əsas boşluq izləmədədir – DMARC p=none'da qalır, SPF limiti keçir, transport-security isə aktiv edilmir. Hər biri konfiqurasiya olunmuş domain kimi görünür, amma reallıqda müdafiəsizdir. Öz domaininizə sahibsinizsə, ən dəyərli 20 dəqiqə DMARC siyasətinizin tətbiq edib-etmədiyini, SPF limitini keçib-keçmədiyini, MTA-STS dərc edib-etmədiyinizi yoxlamağa sərf oluna bilər. Cavab bir DNS axtarışı uzaqlığındadır.
