Cloudflare'da Microsoft 365 SPF, DKIM, DMARC: 10 Dakikada Tam Yapılandırma Rehberi

Cloudflare DNS hesabınız var ama Microsoft 365 için SPF/DKIM/DMARC kayıtlarını nereye, nasıl eklediğinizi tam bilmiyorsanız — 10 dakikalık tam yapılandırma rehberi geldi. Cloudflare'ı tercih etmenin nedeni belli: DNS yayılımı 1-5 dakika, DNSSEC default açık, ücretsiz, modern panel. Ama Microsoft 365'in SPF/DKIM/DMARC kombinasyonunu Cloudflare'a doğru kurmamak e-postaların spam'e düşmesi veya domain'inizin sahte e-posta için kötüye kullanılması gibi ciddi sorunlara yol açar. Bu yazıda 3 kayıt türünü adım adım, ekran navigasyon yolu ile, kopyalanabilir değerlerle anlatıyoruz.

Neden Cloudflare? Diğer DNS'lerden Farkı

Türkiye'deki Microsoft 365 müşterilerinin yaklaşık %40'ı NIC.tr'den alınan .com.tr domain'lerini Cloudflare'a yönlendirir — NIC.tr panel sınırlı olduğu için. Bu yazı hem yerli (.com.tr) hem global (.com) domain'ler için aynı şekilde geçerli.

Ön Koşul — Domain'i Cloudflare'a Bağladınız mı?

Eğer domain'iniz hâlâ NIC.tr veya başka bir registrar'da yönetiliyor ve Cloudflare'ı kullanmıyorsanız, önce DNS yönetimini Cloudflare'a yönlendirin:

1. Cloudflare ücretsiz hesap aç
2. Dashboard → "Add a Site" → domain'inizi yaz (örn. sirketim.com.tr)
3. Plan: Free seç
4. Cloudflare mevcut DNS kayıtlarınızı otomatik tarar — listeyi kontrol et, eksik varsa manuel ekle
5. Cloudflare 2 NS adı verir (örn. dana.ns.cloudflare.com, kim.ns.cloudflare.com)
6. Domain registrar paneline (NIC.tr/GoDaddy/vs) git → Name Servers → Cloudflare NS'lerini ekle
7. NIC.tr için: Hizmetler → Alan Adı Yönetimi → NS Set. GoDaddy için: My Products → Domain → Manage DNS → Nameservers → Change → Custom
8. Yayılım: 1-24 saat. Tamamlandığında Cloudflare dashboard'da "Active" yeşil rozeti çıkar

Bu yazının geri kalanı domain'iniz Cloudflare'a bağlı varsayar. Şimdi 3 kayıt türünü ele alalım.

1. SPF Kaydı — Sahte E-posta Önleme

SPF (Sender Policy Framework), domain adınıza e-posta göndermeye yetkili sunucuları belirten DNS TXT kaydıdır. SPF olmazsa kötü niyetli kişiler "ahmet@sirketim.com.tr" görünümlü sahte e-posta gönderebilir.

Adım Adım Cloudflare'da Ekleyin:

1. Cloudflare Dashboard → dash.cloudflare.com → giriş yap
2. Üstteki domain listesinden sirketim.com.tr'yi tıkla
3. Sol menüde DNS → Records
4. Sayfanın üstündeki turuncu "Add record" butonuna tıkla
5. Form alanlarını şu şekilde doldur:

6. Save tıkla — DNS Records tablosunda yeni satırı görmen lazım
7. Yayılım 1-5 dakika

Birden Fazla E-posta Sağlayıcısı Kullanıyorsanız

Microsoft 365 + ek sağlayıcılar (Mailgun, SendGrid, HubSpot, MailChimp) varsa SPF tek satırda birleştirilir:

v=spf1 include:spf.protection.outlook.com include:mailgun.org include:sendgrid.net include:_spf.hubspot.com -all

SPF Sonu: -all vs ~all vs ?all

2. DKIM Kaydı — Dijital İmza (CNAME Yöntemi)

DKIM (DomainKeys Identified Mail), gönderilen her mailin başlığına dijital imza ekler. Alıcı sunucu DNS üzerinden public key'i çekip imzayı doğrular. Microsoft 365 DKIM kayıtlarını CNAME yöntemiyle yönetir — TXT manuel tutmak yerine Microsoft sürekli rotasyon yapar, siz dokunmazsınız.

Adım Adım — Microsoft Tarafı + Cloudflare Tarafı

1. Microsoft 365 Defender admin merkezine git → security.microsoft.com
2. Sol menüde Email & collaboration → Policies & rules → Threat policies → DKIM
3. Domain listende sirketim.com.tr'yi tıkla
4. Sağ panelde "Enable" butonuna basacaksın — ama henüz basma, önce CNAME değerlerini al
5. Microsoft 2 CNAME değeri gösterir, format:
   • selector1._domainkey.sirketim.com.tr → CNAME → selector1-sirketim-com-tr._domainkey.sirketim.onmicrosoft.com
   • selector2._domainkey.sirketim.com.tr → CNAME → selector2-sirketim-com-tr._domainkey.sirketim.onmicrosoft.com
6. Bu iki CNAME değerini bir not defterine kopyala
7. Cloudflare'a dön → DNS → Records → Add record
8. Birinci kayıt için form:

9. Save
10. Aynı işlemi tekrar yap — bu sefer selector2._domainkey ve selector2-...onmicrosoft.com ile
11. Yayılım 1-5 dakika
12. Microsoft Defender admin'e dön → "Enable" butonuna bas → "Sign messages with DKIM" sliderini ON yap
13. Microsoft DKIM key'leri doğrular (10-30 saniye), yeşil "Signing DKIM signatures for this domain" mesajı çıkar

3. DMARC Kaydı — Politika ve Raporlama

DMARC (Domain-based Message Authentication, Reporting and Conformance) SPF + DKIM'in üzerine "peki bu kontroller başarısız olursa ne yapayım?" sorusunu cevaplar. 3 politika seviyesi vardır:

Cloudflare'a Adım Adım DMARC Ekle:

1. Cloudflare Dashboard → sirketim.com.tr → DNS → Records → Add record
2. Form:

3. Save → 1-5 dakika yayılım

DMARC Parametreleri Açıklama

• v=DMARC1 — Versiyon (sabit, hep DMARC1)
• p=quarantine — Politika (none / quarantine / reject)
• rua=mailto: — Aggregated raporların gönderileceği mailbox (günlük JSON XML)
• ruf=mailto: — Forensic (failure) raporlar (her başarısız doğrulamada anında)
• pct=100 — Mailların %100'üne politika uygulanır (ramp-up için pct=10 başlanabilir)
• sp=quarantine — Subdomain politikası
• aspf=s, adkim=s — Strict alignment (gönderici domain ile başlık domain birebir eşleşmeli)

DMARC Ramp-Up Stratejisi (3-6 Ay)

DMARC'i asla doğrudan p=reject ile başlatmayın. Hemen reject ile başlarsanız meşru sunucularınızın bilmediğiniz mailler reddedilir, müşteriler "ben mail gönderdim ama sana ulaşmadı" der. Doğru sıralama:

Doğrulama: Yayılım Sonrası Komutlar

SPF/DKIM/DMARC kayıtlarınız yayıldıktan sonra terminal'den doğrulayın:

# SPF kontrolü
dig +short TXT sirketim.com.tr

# DKIM kontrolü (selector1)
dig +short CNAME selector1._domainkey.sirketim.com.tr

# DKIM kontrolü (selector2)
dig +short CNAME selector2._domainkey.sirketim.com.tr

# DMARC kontrolü
dig +short TXT _dmarc.sirketim.com.tr

# Tek seferde hepsi (Linux/Mac)
for r in "TXT @" "CNAME selector1._domainkey" "CNAME selector2._domainkey" "TXT _dmarc"; do
  echo "=== $r ==="
  dig +short $r sirketim.com.tr 2>/dev/null
done

Web tabanlı doğrulama:

• MXToolbox SPF/DKIM/DMARC checker — mxtoolbox.com/SuperTool
• Microsoft Kurumsal Domain Analizi — 8 kontrolü tek tıkla (SPF/DKIM/DMARC dahil)
• Mail-tester.com — gerçek bir mail göndererek 10 üzerinden skor

Yaygın Cloudflare Hataları

Hata 1: Proxy Status "Proxied" (Turuncu Bulut)

SPF/DKIM/DMARC TXT/CNAME kayıtlarında proxy AÇIK olamaz. Mail için Cloudflare proxy desteği YOK — kayıtlar her zaman "DNS only" (gri bulut) olmalı.

Hata 2: Birden Fazla SPF Kaydı

Aynı domain için 2 SPF TXT kaydı olursa SPF tüm sunucular için "permerror" döner. Eski SPF varsa SİL, üstüne yazma — Cloudflare bunu otomatik kontrol etmez.

Hata 3: DMARC RUA Mailbox'ı Aynı Domain'de

rua=mailto:dmarc@sirketim.com.tr kullanıyorsanız, bu mailbox'a günde yüzlerce JSON ekli mail gelir. Ayrı mailbox veya 3rd-party DMARC analyzer kullanın.

Hata 4: DKIM CNAME'i TXT olarak ekleyenler

Microsoft 365 DKIM CNAME'lerini bazı kullanıcılar TXT olarak eklemek istiyor — yapmayın. CNAME = TXT değildir. Microsoft formatı CNAME bekler, DKIM doğrulaması başarısız olur.

Sıradaki Adım: Tüm DNS Sağlayıcılar İçin Rehber

Microsoft Yetkili Çözüm Ortağı (CSP) olarak DMARC ramp-up programı (none → quarantine → reject 90 günlük profesyonel rehberlik) + DKIM aktivasyon + SPF flattening hizmetlerini sunuyoruz. WhatsApp 0216 344 15 59.

Sıkça Sorulan Sorular

Cloudflare'da SPF kaydı kaç dakikada aktif olur?

Cloudflare DNS yayılımı global olarak 1-5 dakikadır — sektörün en hızlısı. GoDaddy/Namecheap 1-2 saat, NIC.tr 1-24 saat. dig +short TXT sirketim.com.tr komutu ile 5 dakika sonra kontrol edebilirsiniz.

Cloudflare ücretsiz planı SPF/DKIM/DMARC için yeterli mi?

Evet. Cloudflare Free planı: sınırsız DNS query, otomatik DNSSEC, tüm record türleri (TXT/CNAME/MX/SRV vb.), API erişimi. SPF/DKIM/DMARC için Pro plan ($20/ay) gerekmez. Pro plan WAF, image optimization gibi web özelliklerine yöneliktir — DNS için Free yeterli.

NIC.tr'den .com.tr aldım, Cloudflare'a nasıl yönlendirebilirim?

NIC.tr panele giriş → Hizmetler → Alan Adı Yönetimi → seçili domain → NS Set tanımla → Cloudflare'ın 2 NS adını ekle (Cloudflare dashboard'da gözükür). Yayılım 1-24 saat. Sonra tüm DNS yönetimi Cloudflare'da. NIC.tr panel sınırlı olduğu için bu Türkiye'deki en yaygın yöntem.

DMARC raporları nereye gelmeli?

İdeal: ücretsiz bir DMARC analyzer hizmetinin verdiği özel email adresi (örn. Postmark DMARC Digests ücretsiz haftalık özet). Kötü fikir: kullanıcı mailbox'ı (günde 50-200 JSON ekli mail spam yapar). Eğer kendi domain'inizi kullanmak isterseniz dmarc@sirketim.com.tr ayrı bir mailbox açın, klasör otomasyonuyla ayırın.

DKIM CNAME'i mi TXT mi eklemeliyim?

Microsoft 365 + Google Workspace + birçok modern sağlayıcı CNAME yöntemini kullanır — bu sayede public key rotasyonu sağlayıcı tarafından otomatik yapılır. TXT yöntemi (kendi key'lerinizi yönettiğiniz) yalnız özel senaryolar için. Microsoft için kesinlikle CNAME.

SPF -all yerine ~all kullanırsam ne olur?

~all "soft fail" — yetkisiz sunucudan gelen mail spam klasörüne gider, reddedilmez. Test sırasında 1-2 hafta için makuldür. Production'da -all (hard fail) kullanın — sahte e-posta tamamen reddedilir, "spamde de ulaşır" tuzağına düşmezsiniz.

DMARC reject'e ne zaman geçmeliyim?

3-6 ay p=quarantine; pct=100 sonrası DMARC raporlarınız temizse — yani yetkisiz sunucudan mail gelmiyor, meşru sunucularınız hep doğrulanıyorsa. Acele etmeyin: bir kez reject'e geçtiniz mi, kötü yapılandırılmış meşru bir sunucu (örn. unutulmuş bir CRM) mail gönderemez. CSP partner olarak ramp-up rehberliği sunuyoruz.

Kaynaklar

• Cloudflare — DNS Records Resmi Dokümantasyon
• Microsoft Learn — DKIM Configure
• Microsoft Learn — DMARC Configure
• İlgili araç: DNS Sağlayıcı Rehberi (8 provider)
• İlgili araç: Domain Analizi (8 kontrol — SPF/DKIM/DMARC dahil)
• İlgili yazı: Eski Office 365 Plan Adlarınız Ne Oldu?