Mail Sunucusu Rehberi: Kurumsal E-posta Altyapısını Seçmek, Kurmak ve Spam'e Karşı Korumak

Özet: Mail sunucusu, kurumsal e-postaları SMTP ile gönderen, MX kaydı üzerinden teslim alan ve IMAP veya POP3 ile kullanıcılara sunan yazılım altyapısıdır. Şirketler bu altyapıyı üç modelden biriyle kurar: paylaşımlı mail hosting, Google Workspace / Microsoft 365 gibi SaaS paketleri ya da bulut sunucuda çalışan kendi sistemleri. Hangi model seçilirse seçilsin, güvenilir bir e-posta altyapısı için iki şey gerekir: SPF, DKIM ve DMARC kayıtları ile postayı sunucuya ulaşmadan temizleyen ayrı bir filtreleme katmanı.

Ana noktalar:
- İstemciden gönderim 587 numaralı porttan STARTTLS ile yapılır; sunucular arası aktarım 25, şifreli IMAP 993, şifreli POP3 ise 995 numaralı portu kullanır.
- Google ve Yahoo, Şubat 2024'ten bu yana günde 5.000'den fazla mesaj gönderenlerden SPF, DKIM ve DMARC'ı birlikte kullanmalarını şart koşuyor.
- DMARC politikası p=none ile başlatılmalı, raporlar izlendikten sonra önce quarantine, ardından reject düzeyine yükseltilmelidir.
- Exchange 2016 ve 2019 için Microsoft desteği 14 Ekim 2025'te sona erdi; Mailcow ise varsayılan kurulum için en az 6 GiB RAM gerektirir.
- Harici bir anti-spam hizmeti mevcut mail sunucusunu değiştirmeden çalışır: MX kaydı filtreye yönlendirilir, temizlenen posta sizin sunucunuza iletilir.
- E-postalardaki kişisel veriler 6698 sayılı KVKK kapsamındadır; verinin Türkiye'deki bir veri merkezinde tutulması yurt dışı aktarım sürecini sadeleştirir.

Kurumsal e-posta, şirketlerin müşteriler, tedarikçiler ve kendi ekipleriyle iletişim kurduğu ana kanal olmayı sürdürüyor. Teklifler, faturalar, sözleşmeler ve şifre sıfırlama bağlantıları bu kanaldan geçiyor. Bu yüzden doğru yapılandırılmış bir mail sunucusu yalnızca BT ekibini değil, satış ve finans ekiplerini de doğrudan ilgilendiriyor.

Bu rehberde e-postanın teknik olarak nasıl iletildiğini anlatıyoruz. Hangi barındırma modelinin hangi şirkete uyduğunu ve gelen tehditlere karşı nasıl korunacağınızı açıklıyoruz. Giden postalarınızın spam klasörüne düşmemesi için yapmanız gerekenleri de adım adım ele alıyoruz.

Mail sunucusu nedir ve kurumsal e-posta trafiğini nasıl yönetir?

Mail sunucusu, e-postaları alan, depolayan ve başka sunuculara ileten yazılım bileşenlerinin bütünüdür. MTA (Mail Transfer Agent – posta aktarım aracısı) postayı sunucular arasında taşır. MDA (Mail Delivery Agent – posta teslim aracısı) mesajı doğru posta kutusuna yerleştirir. Erişim servisi ise kullanıcıların postalarını okumasını sağlar.

SMTP, IMAP ve POP3: bir e-posta gönderilip alınırken arka planda neler olur?

Bir e-posta gönderdiğinizde istemciniz mesajı SMTP (Simple Mail Transfer Protocol – basit posta aktarım protokolü) ile kendi sunucunuza iletir. İstemciden sunucuya gönderim genellikle 587 numaralı porttan yapılır. Bu gönderimde kimlik doğrulama ve STARTTLS (bağlantıyı şifreli kanala yükseltme komutu) kullanılır. Sunucular arası aktarım 25 numaralı portu kullanır.

Alıcı taraf postasını iki protokolden biriyle okur:

• IMAP (Internet Message Access Protocol – internet mesaj erişim protokolü): Mesajlar sunucuda kalır; klasörler ve okundu bilgisi tüm cihazlarda eşitlenir. Şifreli bağlantının standart portu 993'tür.
• POP3 (Post Office Protocol 3 – postane protokolü, sürüm 3): Mesajları cihaza indirir ve çoğu yapılandırmada sunucudan siler. Şifreli port 995'tir.

Birden fazla cihaz kullanan ekipler için IMAP bugün de facto standart konumundadır.

MX record (posta yönlendirme kaydı) gelen postayı sunucunuza nasıl ulaştırır?

Gönderen sunucu, alıcının alan adına ait DNS (Domain Name System – alan adı sistemi) kayıtlarını sorgular ve MX kaydını bulur. Bu kayıt, postayı kabul edecek sunucunun adını ve bir öncelik değerini içerir. Düşük sayı yüksek önceliği gösterir:

sirketiniz.com.  IN  MX  10  mx1.sirketiniz.com.
sirketiniz.com.  IN  MX  20  mx2.sirketiniz.com.

Öncelik değeri 10 olan sunucuya ulaşılamazsa gönderen sunucu 20 değerli yedeği dener. MX kaydı hatalıysa posta hiç ulaşmaz. Bu nedenle taşımalarda en dikkatli test edilen kayıt budur.

Spam filtresi e-posta akışının hangi noktasında devreye girer?

Filtreleme tek bir adım değil, art arda çalışan katmanlardan oluşur:

1. Bağlantı aşaması: Gönderen IP adresi DNSBL (DNS-based Blacklist – DNS tabanlı kara liste) listelerinde sorgulanır. Greylisting (geçici erteleme) gibi tekniklerle şüpheli sunucular elenir.
2. Kimlik doğrulama aşaması: Üç kontrol yapılır: SPF (Sender Policy Framework – gönderen politikası çerçevesi), DKIM (DomainKeys Identified Mail – alan adı anahtarıyla imzalanmış posta) ve DMARC (Domain-based Message Authentication, Reporting and Conformance – alan adı tabanlı doğrulama, raporlama ve uyum).
3. İçerik aşaması: Mesaj gövdesi ve bağlantılar puanlanır, ekler anti-virüs motorlarından geçer.
4. Teslim aşaması: Eşiği aşan mesaj reddedilir, karantinaya alınır ya da spam klasörüne yönlendirilir.

Filtre ne kadar erken devreye girerse sunucu kaynakları o kadar az harcanır.

Mail hosting, Google Workspace / Microsoft 365 mi, yoksa bulutta kendi mail sunucunuz mu?

Kurumsal e-posta için üç temel model bulunur:

• mail hosting (paylaşımlı e-posta barındırma);
• Google Workspace ya da Microsoft 365 gibi SaaS (Software as a Service – hizmet olarak yazılım) paketleri;
• bulut sunucuda çalıştırdığınız kendi sisteminiz.

Maliyet, kontrol, kota ve verinin saklandığı yer: üç modelin karşılaştırması

Kullanıcı sayısı arttıkça lisans maliyeti doğrusal büyür. Kendi sunucunuzda ise kullanıcı başına maliyet genellikle düşer, ancak yönetim sorumluluğu size geçer.

Bulut sunucuda Zimbra, Mailcow veya Exchange kurmak hangi şirketler için mantıklı?

• Zimbra: E-posta, takvim ve kişileri tek web arayüzünde birleştiren bir işbirliği platformu.
• Mailcow: Postfix, Dovecot, Rspamd ve SOGo bileşenlerini konteynerler (container) içinde paketleyen açık kaynak bir çözüm. Bu konteynerler Docker ile çalışır.
• Exchange: Outlook ve Active Directory ile en derin entegrasyonu sunar. Microsoft Learn'deki ürün yaşam döngüsü bilgilerine göre Exchange 2016 ve 2019 için Microsoft desteği 14 Ekim 2025'te sona erdi. Güncel sürüm Exchange Server Subscription Edition'dır.

Kendi sunucunuz şu durumlarda mantıklıdır:

• verinin konumunu kendiniz belirlemek istiyorsanız;
• lisans maliyeti kullanıcı sayısıyla ağırlaşıyorsa;
• özel entegrasyonlara ihtiyacınız varsa;
• sistemi yönetecek bir BT ekibiniz ya da yönetilen hizmet desteğiniz varsa.

BT personeli olmayan 10 kişilik bir ofis için hosting veya SaaS çoğu zaman daha uygundur.

Kaç kullanıcıya ne kadar CPU, RAM ve disk? Kullandığınız kadar öde modeliyle kaynak planlama

Kaynak ihtiyacını tahminle değil, hesapla belirleyin:

• Disk: Kullanıcı sayısı × posta kutusu kotası + arama indeksi + loglar. Örneğin 50 kullanıcı × 10 GB kota = 500 GB; üstüne büyüme payı ekleyin.
• RAM (bellek): İhtiyaç yazılıma göre değişir. Mailcow dokümantasyonu varsayılan kurulum için en az 6 GiB RAM ve 1 GiB swap (takas alanı) öngörür. Microsoft, Exchange'in Mailbox rolü için 128 GB RAM önerir. Zimbra için üreticinin güncel gereksinimlerine bakın.
• CPU (işlemci): Eşzamanlı bağlantı sayısı ile anti-virüs ve spam taramasının yükü belirleyicidir.

Kullandığınız kadar öde modelinde küçük bir yapılandırmayla başlarsınız. İzleme verilerine göre vCPU (sanal işlemci), RAM ve diski ayrı ayrı büyütürsünüz. Böylece kullanmadığınız kapasite için baştan ödeme yapmazsınız.

Spam, phishing ve zararlı ekler: mail sunucunuzu gelen tehditlere karşı korumak

Phishing (oltalama) ve BEC (Business Email Compromise – kurumsal e-posta dolandırıcılığı) saldırıları şirketleri nasıl hedef alıyor?

ENISA'nın Tehdit Görünümü (Threat Landscape) raporlarına göre, phishing başta olmak üzere sosyal mühendislik saldırıları kurumları hedef alan en yaygın tehditler arasında yer alıyor. Phishing saldırıları banka, kargo şirketi veya bulut hizmeti kılığına girer. Amaç, kullanıcıyı sahte bir giriş sayfasına yönlendirmektir. BEC ise daha hedefli çalışır. Saldırgan bir yöneticiyi ya da tedarikçiyi taklit eder ve "banka hesabımız değişti" diyerek ödemeyi kendi hesabına yönlendirir.

BEC mesajları çoğu zaman ek ya da bağlantı içermez, bu yüzden içerik filtrelerinden kolay geçer. Saldırganlar üç yöntem kullanır:

• Spoofing (gönderici kimliğini taklit etme): Sizin alan adınızla sahte mesaj gönderme.
• Lookalike domain (benzer alan adı): sirketiniz.com yerine sirketlniz.com gibi tek harf farkı.
• Account takeover (hesap ele geçirme): Gerçek bir hesabın şifresini çalıp içeriden yazma.

Bu riskleri belirgin biçimde azaltan üç önlem var:

• DMARC'ı p=reject politikasına taşımak;
• MFA (Multi-Factor Authentication – çok faktörlü kimlik doğrulama) kullanmak;
• ödeme değişikliklerini telefonla doğrulamak.

Sunucunun yerleşik spam filtresi neden yetmez? Ayrı bir filtreleme katmanının artıları

Yerleşik filtre, posta servisiyle aynı sunucuda çalışır. Bunun sonuçları:

• Yoğun spam dalgasında filtreleme yükü posta servisini yavaşlatır.
• İmza ve kural güncellemeleri sizin bakım takviminize bağlıdır.
• Genellikle tek anti-virüs motoru ve tek tespit kaynağı vardır.
• Saldırı trafiği doğrudan sunucunuza ulaşır.

Ayrı bir filtreleme katmanı postayı sunucunuza ulaşmadan temizler. Birden fazla tespit motoru kullanabilir ve güncellemeleri merkezi olarak yönetir. Sunucunuz yalnızca temizlenmiş trafiği işler.

False positive (hatalı pozitif): önemli bir müşteri e-postası karantinaya düşerse ne olur?

Müşterinin teklif onayı karantinaya düşer, kimse fark etmez ve fırsat kaybolur. Hatalı pozitif, kaçan spam kadar maliyetlidir. Riski şöyle yönetin:

• Kullanıcılara düzenli karantina özeti gönderin.
• Kritik iş ortaklarını whitelist (beyaz liste) ile tanımlayın.
• Şüpheli mesajları reddetmek yerine karantinaya alın; reddedilen mesajı geri getiremezsiniz.
• Hatalı pozitif ve false negative (hatalı negatif – kaçan spam) oranlarını birlikte izleyin.

Deliverability (teslim edilebilirlik): giden e-postalarınız neden spam klasörüne düşüyor?

Büyük posta sağlayıcıları kimliği doğrulanmamış postaya giderek daha sert davranıyor. Google ve Yahoo, Şubat 2024'ten itibaren günde 5.000'den fazla mesaj gönderenlere üç şart koşuyor:

• SPF, DKIM ve DMARC'ın birlikte kullanılması;
• tek tıkla abonelikten çıkma bağlantısı;
• düşük spam şikâyet oranı.

SPF, DKIM ve DMARC kayıtları adım adım nasıl yapılandırılır?

1. SPF. Alan adınız adına posta gönderen tüm kaynakları listeleyin. Bunlara kendi sunucunuz, CRM (müşteri ilişkileri yönetimi) sistemi ve bülten aracı dahildir. Ardından tek bir TXT kaydı oluşturun:

v=spf1 ip4:203.0.113.10 include:_spf.ornek-saglayici.com -all

Alan adı başına yalnızca bir SPF kaydı olmalıdır. Kayıt en fazla 10 DNS sorgusu gerektirmelidir. -all yetkisiz kaynakları reddeder, ~all yalnızca işaretler.

2. DKIM. Sunucunuzda 2048 bitlik bir anahtar çifti oluşturun. Genel anahtarı secici._domainkey.sirketiniz.com adresine TXT kaydı olarak ekleyin. Sunucu her giden mesajı özel anahtarla imzalar.

3. DMARC. _dmarc.sirketiniz.com adresine şu kaydı ekleyin:

v=DMARC1; p=none; rua=mailto:dmarc@sirketiniz.com

p=none ile başlayın ve raporları birkaç hafta izleyin. Tüm meşru kaynakların doğrulamadan geçtiğini gördüğünüzde politikayı önce quarantine, sonra reject düzeyine yükseltin.

Dedicated IP (özel IP adresi), rDNS (ters DNS) ve gönderici itibarı

Dedicated IP kullandığınızda itibarınız yalnızca kendi gönderim davranışınıza bağlıdır. Paylaşımlı IP'de ise başka bir müşterinin spam'i sizi de etkiler. Yeni bir IP'nin itibarı yoktur. Bu yüzden hacmi kademeli artırın (IP warm-up – IP ısıtma).

rDNS için IP adresinin PTR kaydı (pointer record – işaretçi kaydı) sunucu adınıza çözülmelidir. O ad da aynı IP'ye çözülmelidir. Sunucunun SMTP oturumunda bildirdiği HELO/EHLO adı da bu adla eşleşmelidir. Pek çok alıcı sunucu, PTR kaydı olmayan IP'lerden gelen postayı reddeder. PTR kaydını, IP adresinin sahibi olan sağlayıcı tanımlar.

İtibarınızı Google Postmaster Tools ve Microsoft SNDS (Smart Network Data Services – akıllı ağ veri hizmetleri) ile izleyebilirsiniz.

Blacklist (kara liste) kontrolü: listeye girdiğinizi nasıl anlarsınız ve nasıl çıkarsınız?

İki belirti listeye girdiğinizi gösterir: bounce (geri dönen e-posta) sayısında ani artış ve 5xx hata kodlarında "blocked" ya da "listed" ifadeleri. IP adresinizi MXToolbox gibi çok listeli araçlarla veya Spamhaus'un kendi sorgulama sayfasıyla kontrol edin.

Listeden çıkmak için:

1. Nedeni bulun: ele geçirilmiş hesap, open relay (herkese açık posta aktarıcı), zararlı yazılım bulaşmış cihaz veya temizlenmemiş alıcı listesi.
2. Sorunu giderin ve tekrar etmediğini doğrulayın.
3. İlgili listenin delisting (listeden çıkarma) formunu doldurun.

Nedeni gidermeden yapılan başvuru, kısa sürede yeniden listelenmeye yol açar.

Veri güvenliği ve KVKK: e-postalarınız nerede saklanıyor, kim erişebiliyor?

Türkiye'deki veri merkezi ve KVKK uyumu neden önemli?

E-postalar ad, telefon, kimlik bilgisi ve müşteri yazışmaları gibi kişisel veriler içerir. Bu veriler 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındadır. Kişisel verilerin yurt dışına aktarımı Kanunun 9. maddesindeki şartlara bağlıdır. Kişisel Verileri Koruma Kurumu'nun duyurularına göre, Haziran 2024'te yürürlüğe giren değişiklikle yeterlilik kararı ve standart sözleşme gibi aktarım mekanizmaları tanımlandı. Standart sözleşmelerin Kurul'a bildirilmesi gerekir.

Verinin Türkiye'deki bir veri merkezinde tutulması bu süreci sadeleştirir. Bankacılık gibi bazı sektörlerde sektörel düzenlemeler ek yükümlülükler getirebilir. Ayrıca kullanıcılarla sunucu aynı ülkede olduğunda latency (gecikme süresi) düşer. Kesin uyum değerlendirmesi için hukuk danışmanınıza başvurun.

TLS şifreleme, backup (yedekleme) ve silinen e-postaların geri getirilmesi

TLS (Transport Layer Security – aktarım katmanı güvenliği) postayı iletim sırasında korur. İstemci bağlantılarında (587, 993, 995) TLS'i zorunlu tutun. Sunucular arası trafikte STARTTLS fırsatçı çalışır, yani şifreleme mümkünse kullanılır. MTA-STS (zorunlu TLS politikası) ile şifrelemeyi zorunlu kılabilirsiniz. TLS diskteki veriyi korumaz; bunun için ayrıca disk şifreleme gerekir.

Yedeklemede 3-2-1 kuralını uygulayın: üç kopya, iki farklı ortam, farklı lokasyonda bir kopya. Yedekleme planınızda iki değeri netleştirin:

• RPO (Recovery Point Objective – kabul edilebilir veri kaybı süresi): En fazla kaç saatlik posta kaybını tolere edersiniz?
• RTO (Recovery Time Objective – hedeflenen kurtarma süresi): Sistem ne kadar sürede geri gelmeli?

Silinen bir e-postayı geri getirebilmek için tek posta kutusu düzeyinde geri yükleme gerekir. Bu imkânı düzenli testlerle doğrulayın.

SLA (hizmet seviyesi taahhüdü) ve uptime (kesintisiz çalışma süresi): sağlayıcıdan hangi rakamları istemeli?

Rakamın yanında şunları da sorun:

• Taahhüt neyi kapsıyor: altyapıyı mı, posta servisini mi?
• Planlı bakım hesaba dahil mi?
• Taahhüt ihlal edilirse hangi tazminat uygulanıyor?
• Destek ekibinin yanıt süresi ne?

Kısa bir kesinti genellikle posta kaybı anlamına gelmez. Gönderen sunucular teslim edilemeyen postayı kuyrukta tutar ve birkaç gün boyunca yeniden dener.

Cloud4U Anti-Spam ile çözüm

Cloud4U Anti-Spam mevcut mail sunucunuzla nasıl birlikte çalışır?

Cloud4U Anti-Spam, mevcut mail sunucusu altyapınızı değiştirmeden ek bir filtreleme katmanı olarak devreye girer. Hizmet istenmeyen e-postaların %99'unu engeller ve her mesajı çift anti-virüs kontrolünden geçirir. Filtre güncellemeleri otomatik yapılır ve yedeklemeler hizmetin parçasıdır. Ekibinizin bakım için zaman ayırması gerekmez.

MX ayarları gibi bağlantı ayrıntılarını Cloud4U ekibi mevcut altyapınıza göre sizinle birlikte netleştirir.

Cloud4U bulut sunucusu + Anti-Spam: tüm e-posta altyapınız tek sağlayıcıda

Posta sunucunuzu Cloud4U bulut sunucusunda çalıştırabilir, filtrelemeyi de Cloud4U Anti-Spam'e bırakabilirsiniz. Bu durumda tek sözleşme ve tek destek muhatabıyla çalışırsınız. Bir teslim sorunu çıktığında sunucu ve filtre tarafını ayrı firmalarla incelemeniz gerekmez.

Başlarken: teklif alma ve geçiş planı

1. Kullanıcı sayınızı, günlük posta hacminizi ve mevcut DNS kayıtlarınızı çıkarın.
2. Cloud4U Anti-Spam hizmetini ücretsiz test edin ve teklifinizi alın.
3. Test sürecinde karantinayı ve hatalı pozitif oranını izleyin.
4. MX değişikliğini düşük trafikli bir saatte yapın ve ilk günlerde teslim raporlarını takip edin.