cPanel Spam Filtresi: cPanel ve Plesk Sunucu Koruması

cPanel spam filtresi, sunucu üzerinde çalışan Apache SpamAssassin'e dayanır ve küçük ölçekli kullanım için makul bir başlangıç sunar; Plesk de benzer biçimde SpamAssassin ve gri liste gibi araçlar içerir. Ancak bu yerleşik filtreler yükü web siteleriyle aynı sunucuya bindirir ve giden spamı durdurmaz. Daha güçlü koruma için gelen posta MX kaydıyla bir mail gateway'e, giden posta ise limitli bir smarthost'a yönlendirilir.

cPanel ve Plesk'te yerleşik spam koruması neler sunar?

• cPanel: Hesap düzeyinde SpamAssassin tabanlı spam filtreleri, spam puanı eşiği ve spam iletileri ayrı bir klasöre taşıma ya da otomatik silme seçenekleri.
• WHM: Sunucu genelinde Exim için kara liste (RBL) denetimleri ve alan adı başına saatlik gönderim sınırı gibi ayarlar.
• Plesk: Sunucu ve posta kutusu düzeyinde SpamAssassin, gri liste (greylisting), DNSBL desteği ve eklentilerle antivirüs taraması.

Yerleşik filtrenin sınırları nelerdir?

• Kaynak tüketimi: SpamAssassin ve antivirüs taraması, web siteleri ve veritabanlarıyla aynı işlemciyi ve belleği paylaşır; yoğun spam dalgalarında tüm sunucu yavaşlar.
• Dağınık yönetim: Ayarlar hesap bazında yapıldığı için yüzlerce alan adına tek bir politika uygulamak zordur.
• Filtreleme sunucunun içinde başlar: Spam önce sunucuya ulaşır, kuyruğa girer, sonra elenir; saldırıların hedefi doğrudan üretim sunucusudur.
• Sınırlı öğrenme: Bayes öğrenmesi hesap ya da sunucu bazında kalır ve çoğu zaman yeterince eğitilmez. Mantığını Bayes spam filtresi nasıl çalışır yazısında anlattık.
• Türkçe tehditlere özel kural yok: Varsayılan kural setleri Türkçe oltalama kalıplarına ve benzer alan adı tuzaklarına göre hazırlanmamıştır.
• Zayıf giden koruma: Ele geçirilmiş bir hesap ya da zafiyetli bir betik, sunucunun IP adresinden spam göndererek tüm müşterilerin postalarını etkileyebilir.

Yerleşik filtre mi, gateway mi?

Birkaç alan adı barındıran bir sunucuda yerleşik filtre yeterli olabilir; yüzlerce alan adına hizmet veren bir hosting altyapısında ise merkezi politika yönetimi ve giden posta denetimi belirleyici hale gelir.

Gelen posta: MX kaydını gateway'e yönlendirmek

Bir mail gateway, alan adınıza gelen postayı sunucunuzdan önce karşılar, spam ve zararlı yazılımı ayıklar ve yalnızca temiz postayı cPanel veya Plesk sunucusuna teslim eder. Kavramın ayrıntıları mail gateway nedir yazısında. Geçiş adımları genel olarak şöyledir:

1. Gateway'de alan adını ve postanın teslim edileceği hedef sunucuyu (cPanel veya Plesk sunucusunun adı ya da IP adresi) tanımlayın.
2. Gateway'in geçersiz alıcıları SMTP aşamasında reddetmesi için alıcı doğrulamasını yapılandırın; böylece sahte adreslere geri dönen ileti (backscatter) üretilmez.
3. Geçişten bir gün önce MX kayıtlarının TTL değerini düşürün, ardından kayıtları gateway'e çevirin ve eski MX kayıtlarını kaldırın.
4. Kaynak sunucuda 25 portunu yalnızca gateway IP adreslerine açın; aksi halde spam gönderenler gateway'i atlayıp doğrudan sunucuya bağlanabilir.
5. Sunucudaki filtre açık kalacaksa gateway adreslerini güvenilir ağ olarak tanımlayın (SpamAssassin'de trusted_networks); böylece kara liste denetimleri yanlış IP üzerinden yapılmaz.

Örnek MX kayıtları:

ornek.com.tr.   3600  IN  MX  10  mx1.gateway-ornek.net.
ornek.com.tr.   3600  IN  MX  20  mx2.gateway-ornek.net.

Dikkat: cPanel'de MX kaydı dış bir sunucuyu gösterdiğinde, otomatik algılama ayarındaki e-posta yönlendirmesi alan adını uzak sunucu olarak değerlendirebilir; postaların sunucuda teslim edilmeye devam etmesi için bu ayarı yerel posta sunucusu (Local Mail Exchanger) olarak sabitleyin.

Plesk tarafında alan adının posta hizmeti açık kalır. DNS bölgesi Plesk'te yönetiliyorsa MX kayıtları Plesk'in DNS ayarlarından, değilse alan adının DNS sağlayıcısından değiştirilir. Geçişten sonra kayıtların doğru yayıldığını ücretsiz güvenlik kontrolü ile doğrulayabilirsiniz.

Giden posta: smarthost üzerinden göndermek

Gelen filtreleme kadar önemli olan, sunucudan çıkan postanın da kontrol altına alınmasıdır. Tüm giden postayı limitli ve izlenen bir smarthost üzerinden göndermek, sunucunun kendi IP itibarını riske atmadan teslimat yapmanızı sağlar.

cPanel/WHM (Exim)

cPanel, Exim yapılandırma dosyasını kendisi ürettiği için exim.conf doğrudan düzenlenmez; değişiklikler WHM'deki Exim Configuration Manager üzerinden, gerektiğinde gelişmiş düzenleyici (Advanced Editor) bölümüyle yapılır. Smarthost için genel olarak üç parça eklenir: yerel olmayan alan adlarını smarthost'a yönlendiren bir yönlendirici (router), 587 portu üzerinden zorunlu TLS ile bağlanan bir taşıyıcı (transport) ve kimlik bilgisini gönderen bir doğrulayıcı (authenticator). Aşağıdaki parçalar Exim'in genel sözdizimini gösterir:

smarthost_router:
  driver = manualroute
  domains = ! +local_domains
  transport = smarthost_smtp
  route_list = * smtp.ornek-smarthost.com
  no_more

smarthost_smtp:
  driver = smtp
  port = 587
  hosts_require_auth = *
  hosts_require_tls = *

smarthost_login:
  driver = plaintext
  public_name = LOGIN
  client_send = : kullanici : parola

Bu parçaların hangi bölüme ve hangi sırayla ekleneceği cPanel sürümüne göre değişebildiği için cPanel'in güncel belgesini izleyin.

Plesk (Postfix)

Linux tabanlı Plesk sunucularında varsayılan posta sunucusu Postfix'tir. Güncel Plesk sürümlerinde sunucu düzeyindeki posta ayarlarında smarthost kullanımına yönelik bir seçenek bulunur; sunucu adresi, port ve kimlik bilgileri buradan girilir. Arayüzde bu seçeneği göremiyorsanız Postfix'in relayhost ve SASL ayarları kullanılır; örnek yapılandırmayı smarthost rehberimizde paylaştık. Plesk'in bazı yapılandırma dosyalarını güncellemelerde yeniden yazabileceğini unutmayın ve mümkün olduğunda panelin sunduğu yolu tercih edin.

SPF kaydını güncelleyin

Smarthost'a geçtikten sonra smarthost sağlayıcısının IP adreslerini veya include ifadesini SPF kaydınıza ekleyin. cPanel ve Plesk'in attığı DKIM imzası, iletiyi değiştirmeyen bir smarthost üzerinden geçerken korunur.

MXZilla, cPanel ve Plesk sunucularının önünde gelen postayı filtreler ve karantinaya alınan iletileri markalı günlük karantina özetiyle kullanıcıya bildirir; giden postayı ise müşteri başına saatlik ve günlük limitli smarthost üzerinden iletir ve olağan dışı hacmi otomatik olarak bekletir.

Yapılandırmayı nasıl test edersiniz?

1. Dış bir adresten sunucudaki bir posta kutusuna ileti gönderin ve Received başlıklarında postanın gateway'den geçtiğini doğrulayın.
2. Gateway dışındaki bir IP adresinden sunucunun 25 portuna bağlanmayı deneyin; bağlantı reddedilmelidir.
3. Sunucudan Gmail veya Outlook.com'daki bir test hesabına ileti gönderin; Authentication-Results başlığında SPF, DKIM ve DMARC sonuçlarının pass olduğunu ve iletinin smarthost üzerinden çıktığını kontrol edin.
4. Kayıtları inceleyin: cPanel'de /var/log/exim_mainlog, Plesk'te RHEL tabanlı sistemlerde /var/log/maillog, Debian ve Ubuntu'da /var/log/mail.log.
5. Smarthost kimlik bilgilerini sunucudan bağımsız olarak denemek için swaks aracını kullanın.

swaks --to [email protected] --server smtp.ornek-smarthost.com --port 587 --tls --auth LOGIN --auth-user kullanici

Sonuç

cPanel ve Plesk'in yerleşik filtreleri iyi bir başlangıçtır; ancak çok sayıda alan adı barındıran sunucularda gelen ve giden postayı sunucunun dışına taşımak hem güvenliği hem performansı artırır. Alan adlarınızın MX, SPF, DKIM ve DMARC durumunu ücretsiz güvenlik kontrolü ile görebilir, uygun seçenekleri paketler bölümünde inceleyebilirsiniz. Müşterilerinize kendi markanızla filtreleme sunmayı düşünüyorsanız hosting firmaları için white label spam filtresi yazısı da ilginizi çekebilir.

Sık sorulan sorular

cPanel'in kendi spam filtresi yeterli mi?

Az sayıda alan adı ve düşük posta trafiği olan sunucularda temel koruma için yeterli olabilir. Hesap sayısı arttıkça kaynak tüketimi, dağınık yönetim ve giden spam riski belirginleşir. Bu noktada filtrelemeyi sunucunun önüne taşıyan bir gateway daha sağlıklı sonuç verir.

MX kaydını gateway'e yönlendirince web sitesi etkilenir mi?

Hayır. MX kaydı yalnızca e-postanın hangi sunucuya teslim edileceğini belirler; web sitesinin A kaydı ve barındırma düzeni değişmez. Dikkat edilmesi gereken tek nokta, cPanel'deki e-posta yönlendirme ayarının yerel posta sunucusu olarak kalmasıdır.

Gateway kullanırken sunucudaki SpamAssassin'i kapatmalı mıyım?

Zorunlu değildir, ancak çift filtreleme gereksiz kaynak tüketir ve gateway'den gelen postaları yeniden puanlamak hatalı sonuçlar üretebilir. Sunucudaki filtreyi açık tutacaksanız gateway IP adreslerini güvenilir ağ olarak tanımlayın.

Smarthost'a geçince WordPress formları da smarthost'tan mı gider?

Form postaları sunucudaki Exim veya Postfix üzerinden gönderiliyorsa evet; yerel olmayan alıcılara giden tüm postalar smarthost yönlendirmesine tabi olur. Kendi SMTP ayarıyla doğrudan başka bir sunucuya bağlanan eklentiler ise bu yolu kullanmaz ve ayrıca yapılandırılmalıdır.

Birden fazla sunucum varsa her birini ayrı ayrı yapılandırmalı mıyım?

Evet, her cPanel veya Plesk sunucusunun smarthost ayarı ve güvenlik duvarı kuralları ayrı ayrı yapılmalıdır. Gelen tarafta ise tüm alan adlarının MX kayıtları aynı gateway'i gösterebilir; böylece politika ve karantina tek noktadan yönetilir.