Google Workspace E-posta Güvenliği Ayarları ve Ağ Geçidi

Google Workspace e-posta güvenliği; Gmail'in yerleşik filtrelerini yönetici konsolundan sıkılaştırmak, alan adınızı SPF, DKIM ve DMARC ile korumak ve gerekiyorsa önüne bir e-posta güvenlik ağ geçidi koymaktan oluşur. Varsayılan ayarlar iyi bir başlangıçtır, ancak gelişmiş seçenekleri kurumunuzun risk düzeyine göre gözden geçirmeniz gerekir.

Bu rehberde önce Gmail'in sunduğu korumaları ve açılması önerilen ayarları, ardından ağ geçidi kullanırken gelen ve giden yönde yapılması gerekenleri ele alıyoruz.

Gmail'in yerleşik korumaları neler?

Gmail, gelen her iletiyi makine öğrenimi tabanlı spam, kimlik avı ve kötü amaçlı yazılım filtrelerinden geçirir, ekleri tarar ve şüpheli iletilerde kullanıcıya uyarı gösterir. Yönetici konsolunda bu korumayı güçlendiren başlıca seçenekler şunlardır:

• Gelişmiş kimlik avı ve kötü amaçlı yazılım koruması: Ekler, bağlantılar ve sahtecilik için ek denetimler sunar.
• Gelişmiş teslim öncesi tarama: Şüpheli görünen iletileri teslimden önce daha ayrıntılı inceler; bu nedenle bazı iletiler kısa bir gecikmeyle ulaşabilir.
• Güvenlik korumalı alanı (security sandbox): Bazı sürümlerde ekleri yalıtılmış bir ortamda çalıştırarak bilinmeyen zararlıları yakalamaya çalışır.

Yönetici konsolunda açılması önerilen ayarlar

Ayarların büyük kısmı yönetici konsolunda Apps > Google Workspace > Gmail altında bulunur (Türkçe arayüzde Uygulamalar > Google Workspace > Gmail). Google'ın gelişmiş kimlik avı ve kötü amaçlı yazılım koruması belgesi seçenekleri ayrıntılı açıklar.

Posta kutularının kendisini korumak için tüm kullanıcılarda iki adımlı doğrulamayı zorunlu kılmak da bu listenin ayrılmaz parçasıdır.

Ağ geçidi kullanırken gelen posta nasıl ayarlanır?

MX kaydı bir e-posta güvenlik ağ geçidini gösterdiğinde Gmail, iletileri asıl gönderenden değil ağ geçidinden alır. Gmail'in gelen ağ geçidi ayarı bu durumu Gmail'e tanıtır ve şu seçenekleri sunar:

• Ağ geçidinin genel IP adresleri listelenir; özel IP adresleri desteklenmez.
• Harici IP'yi otomatik algılama seçeneği, Gmail'in başlıklardan asıl gönderen IP'yi bulmasını ve SPF değerlendirmesini ona göre yapmasını sağlar.
• Ağ geçidi IP'lerinden gelmeyen postaları reddetme seçeneği (Reject all mail not from gateway IPs), ağ geçidini atlayan doğrudan teslimleri engeller.
• TLS zorunluluğu, ağ geçidiyle Gmail arasındaki bağlantının şifreli olmasını şart koşar.
• İleti etiketleme ile ağ geçidinin eklediği bir başlık belirli bir ifadeyle eşleştiğinde veya puan eşiği aştığında ileti spam sayılır.

Gmail'in kendi spam değerlendirmesini kapatıp yalnızca ağ geçidinin kararına güvenmek de mümkündür; ancak çoğu kurum için iki katmanı birlikte çalıştırmak daha güvenli bir tercihtir.

Ağ geçidi postayı Google'ın posta sunucusuna teslim eder. Google yeni kurulumlar için tek MX değeri olarak smtp.google.com adresini önerir; 2023 öncesi hesaplarda görülen ve aspmx ile başlayan değerler de desteklenmeye devam eder. Ağ geçidinin iletiyi değiştirmemesi önemlidir: konu satırı etiketi veya alt bilgi, gönderenin DKIM imzasını bozarak Gmail'in kimlik doğrulama kararlarını olumsuz etkileyebilir.

Giden postayı ağ geçidinden geçirmek

Giden yönde iki seçenek vardır. Basit senaryoda Gmail'in giden ağ geçidi ayarına ağ geçidinin adresi yazılır; bu ayar yalnızca üst düzey kuruluş biriminde uygulanabilir. Daha esnek senaryoda önce Hosts bölümünde bir rota tanımlanır, ardından Routing ayarıyla giden iletiler bu rotaya yönlendirilir; böylece yalnızca belirli birimlerin postası ağ geçidinden geçirilebilir. Google, rota tanımlarken TLS, CA imzalı sertifika ve sertifika ana bilgisayar adı doğrulamasının açık tutulmasını önerir.

Google'ın gönderim IP adresleri tüm Workspace müşterilerince paylaşılır. Bu nedenle ağ geçidi, iletinin gerçekten sizin hesabınızdan geldiğini yalnızca IP adresine bakarak anlayamaz; bu doğrulama genellikle DKIM imzası gibi içeriğe dayalı yöntemlerle yapılır. MXZilla'in Google Workspace bağlayıcısı da bu yaklaşımı kullanır: Gmail'den TLS ile gelen giden postanın sizin alan adınıza ait olduğunu DKIM imzasıyla doğrular, ardından saatlik ve günlük gönderim limitlerini uygular.

SPF, DKIM ve DMARC Workspace için nasıl yapılandırılır?

SPF: Yalnızca Workspace üzerinden gönderen bir alan adı için Google'ın önerdiği kayıt v=spf1 include:_spf.google.com ~all biçimindedir. Giden posta bir ağ geçidinden çıkıyorsa onun adresi veya include değeri de eklenmelidir. Her alan adında tek bir SPF kaydı bulunmalı ve 10 DNS sorgusu sınırı aşılmamalıdır. Ayrıntılar için SPF kaydı nedir yazımıza bakabilirsiniz.

DKIM: Yönetici konsolunda Gmail altındaki Authenticate email (E-postanın kimliğini doğrulama) bölümünden alan adı için anahtar oluşturulur. Google 2048 bit anahtar önerir ve varsayılan seçici öneki olarak google kullanılır. Üretilen TXT kaydı DNS'e eklendikten sonra kimlik doğrulama başlatılır ve etkinleşmesi 48 saate kadar sürebilir.

DMARC: Google, SPF ve DKIM'i kurduktan sonra 48 saat beklemeyi, politikaya p=none ile başlamayı, raporları inceleyip zamanla quarantine veya reject seviyesine çıkmayı önerir. Yardım belgesi geçiş sırasında pct etiketiyle politikanın önce iletilerin bir bölümüne uygulanmasını da anlatır. Raporları yorumlamak için DMARC raporu nasıl okunur yazımız yol gösterir.

ornek.com.tr.                    TXT  "v=spf1 include:_spf.google.com ~all"
google._domainkey.ornek.com.tr.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBg..."
_dmarc.ornek.com.tr.             TXT  "v=DMARC1; p=none; rua=mailto:[email protected]"

Kişisel Gmail adreslerine yüksek hacimde gönderim yapıyorsanız Google'ın toplu gönderici şartlarını da karşılamanız gerekir; ayrıntılar Gmail ve Yahoo toplu gönderici kuralları yazımızda.

Ek bir katman ne zaman mantıklı?

Workspace'in yerleşik koruması pek çok kurum için sağlam bir temeldir. Ek bir ağ geçidi şu durumlarda anlam kazanır:

• Alan adlarınızın bir kısmı Workspace'te, bir kısmı başka sunuculardaysa ve tek politika istiyorsanız
• Türkçe oltalama kalıplarına ve alan adınıza benzeyen adreslere özel kurallar gerekiyorsa
• Workspace dışındaki uygulama ve sunucuların gönderimlerini de aynı giden politika altında toplamak istiyorsanız
• Bağımsız, şifreli bir arşiv ve merkezi raporlama ihtiyacınız varsa
• Birden çok müşteri hesabını yöneten bir hizmet sağlayıcıysanız

Tümüyle Workspace üzerinde çalışan ve ayarlarını sıkılaştırmış küçük bir ekip için ek katman zorunlu değildir. Karar, risk düzeyine ve yönetim ihtiyacına göre verilmelidir.

Alan adınızın SPF, DKIM, DMARC ve MX kayıtlarını birkaç saniyede görmek için ücretsiz güvenlik kontrolü aracımızı kullanabilir, Workspace bağlayıcısı içeren seçenekleri paketler bölümünde inceleyebilirsiniz.

Sık sorulan sorular

Google Workspace'in kendi spam filtresi yeterli mi?

Tek başına Workspace kullanan ve gelişmiş ayarları sıkılaştırmış birçok kurum için yeterli bir temeldir. Karma sunucu ortamları, yerel tehdit kuralları, merkezi giden trafik denetimi veya bağımsız arşiv ihtiyacı varsa ek bir ağ geçidi değerlendirilebilir.

Gelen ağ geçidi ayarı yapılmazsa ne olur?

Gmail tüm iletileri ağ geçidinin IP adresinden gelmiş gibi görür. Bu durumda SPF değerlendirmesi yanlış sonuç verebilir, meşru postalar spam sayılabilir veya sahte postalar gözden kaçabilir. Ayrıca ağ geçidini atlayan doğrudan teslimler engellenmemiş olur.

Ağ geçidi kullanırken SPF kaydına neler eklenmeli?

Gelen yönde ağ geçidi kullanmak SPF kaydınızı değiştirmez. Giden postanız ağ geçidinden çıkıyorsa Google'ın include değerine ek olarak ağ geçidinin IP adresi veya sağlayıcınızın verdiği include değeri eklenmelidir. Kayıt tek olmalı ve 10 DNS sorgusu sınırını aşmamalıdır.

DKIM anahtarı 1024 bit mi 2048 bit mi olmalı?

Google, DNS sağlayıcınız destekliyorsa 2048 bit anahtar kullanılmasını önerir. 1024 bit yalnızca sağlayıcının uzun TXT kayıtlarını desteklemediği durumlarda tercih edilmelidir. Anahtarı periyodik olarak yenilemek de iyi bir uygulamadır.

DMARC politikasını ne zaman reject yapmalıyım?

Önce p=none ile başlayıp raporlarda alan adınız adına gönderim yapan tüm meşru kaynakların SPF veya DKIM ile doğrulandığından emin olun. Ardından quarantine aşamasına, sorun görülmezse reject seviyesine geçin. Bu süreç gönderen kaynak sayısına göre birkaç hafta ile birkaç ay arasında sürebilir.