Spoofhound araştırması · 2026-11-09
2026 DMARC Durumu — Türkiye
Türkiye'de kamu sektörü küçük işletmelerin çok önünde. Türk alan adlarının onda yedisi hâlâ e-posta yoluyla taklit edilebiliyor.
Spoofhound Türk web'ini taradı: Türkiye'nin popüler web sitelerinden, haritalanmış yerel işletmelerden ve kamu kurumlarından e-posta alan 5.646 alan adı, ücretsiz alan adı kontrolümüzle aynı motorla denetlendi.
Alan adınızı kontrol edin — ücretsizÖne çıkan bulgu
E-posta alan Türk alan adlarının onda yedisi taklit edilebiliyor. Kontrol edilen 5.646 alan adından 3.894'ünde (%69,0) uygulanan bir DMARC politikası yok: ya hiç kayıt yok, ya yalnızca izleme var ya da kayıt hatalı. Alıcı e-posta sistemlerine, bu alan adları adına gönderilen sahte iletileri engellemeleri hiçbir zaman söylenmiyor.
Hikâyeyi üç rakam anlatıyor:
- •Alan adlarının %31,0'ı DMARC uyguluyor. Türkiye, Güney Afrika'nın (%34,1) gerisinde, Hollanda'nın (%30,6) hemen önünde. Yalnızca işletmeler sayıldığında Türkiye'nin oranı %28,3. Ölçtüğümüz tüm ülkelerin karşılaştırmasına göz atın.
- •Kamu sektörü: %52,3. Tespit edebildiğimiz 644 kamu, eğitim ve belediye alan adının yarısından fazlası DMARC uyguluyor; bu, Türk küçük işletmelerinin oranının (%23,4) iki katından fazla. Belediyelerin .bel.tr alan adları %62,3'e ulaşıyor.
- •Hukuk büroları: %10,3. Müşteri parasıyla çalışan meslekler en az korunanlar arasında: DMARC uygulama oranı hukuk bürolarında %10,3, seyahat acentelerinde %11,8; yani ulusal oranın yaklaşık üçte biri.
Ortalama bir Türk alan adı, kapsamlı e-posta güvenliği kontrolünde 100 üzerinden 34,4 puan alıyor ve alan adlarının %78,1'inde düzeltilmeye değer en az bir sorun var.
Türk web'inde DMARC
E-posta alan Türk alan adlarının %69'u taklide açık
Kontrol edilen 5.646 alan adından 3.894'ünde uygulanan bir DMARC politikası yok.
DMARC kaydı yok
Yalnızca izleme (p=none)
Hatalı ya da yinelenen kayıt
p=quarantine
p=reject
Kırmızı: alıcılara sahte iletileri engellemeleri hiçbir zaman söylenmiyor · Yeşil: sahte e-postalar karantinaya alınıyor ya da reddediliyor.
Türk alan adlarının en büyük grubunda (%38,4) hiç DMARC kaydı yok. Türk alan adları DMARC uyguladığında üçte ikisi p=quarantine'de kalıyor: bu, tüm alan adlarının %20,7'si ve ölçtüğümüz en yüksek oranlardan biri; p=reject ise %10,3'te. p=none kullanan 1.676 alan adından 828'i DMARC raporu istemiyor; yani kayıtları ne sahte iletileri engelliyor ne de kimseye haber veriyor. Bir alan adı adına e-posta gönderen her hizmeti gösteren şey bu raporlardır. Onları okuyup işi tamamlamak, tam olarak Spoofhound'un yaptığı iş.
Zincirin geri kalanı
| Kontrol | Bulgu | Alan adları |
|---|---|---|
| SPF | Hiç kayıt yok: dünyanın herhangi bir yerindeki herhangi bir sunucu alan adı adına gönderebilir | 271 (%4,8) |
| SPF | Kayıt +all ya da ?all ile bitiyor: yayımlanmış ama yine de herkese izin veriyor | 73 (%1,3) |
| Microsoft 365 DKIM | İki imza seçicisi de bozuk: giden e-postalar bugün kimlik doğrulamada başarısız olabilir | 10 |
| MTA-STS | Gelen e-postayı yolda ele geçirilmeye karşı korur: benimsenmiş (bunların 12'si yalnızca test modunda) | 21 (%0,4) |
| TLS-RPT | Başarısız güvenli teslimatları raporlar: benimsenmiş | 35 (%0,6) |
| BIMI | Gelen kutusunda doğrulanmış logo: kullanımda | 42 (%0,7) |
Türkiye'de SPF yaygın biçimde yayımlanıyor: alan adlarının yalnızca %4,8'inde SPF kaydı yok; bu, ölçtüğümüz en düşük oranlardan biri; Yunanistan'da oran daha da düşük (%3,8). Yeni standartlar ise neredeyse hiç yerleşmemiş: her 100 alan adından birinden azı MTA-STS, TLS-RPT ya da BIMI kullanıyor.
Küçük işletmeler ve büyükler
| Grup | Kontrol edilen alan adı | DMARC kaydı yok | Yalnızca izleme | Uygulanıyor |
|---|---|---|---|---|
| 1–3 şubeli Türk işletmeleri (mağazalar, ofisler, zanaatkârlar) | 2.688 | %45,1 | %30,7 | %23,4 |
| 4 veya daha fazla şubeli Türk işletmeleri | 74 | %24,3 | %33,8 | %41,9 |
| Türkiye'nin ilk 100.000 içindeki .tr web siteleri | 271 | %14,4 | %24,7 | %60,1 |
Türkiye'nin en popüler .tr web siteleri %60,1 oranında DMARC uyguluyor; bu, ülkenin küçük işletmelerinin oranının iki katından fazla. Küçük işletmelerin neredeyse yarısında (%45,1) hiç DMARC kaydı yok ve %85,8'inde en az bir e-posta güvenliği sorunu var.
Kamu ve küçük işletmeler
Kamu kurumları, sahte e-postalar için bariz bir hedef. Tespit edebildiğimiz kamu sektörü alan adlarını (.gov.tr, .edu.tr, .bel.tr ve .k12.tr alan adları ile haritada kamu kurumu olarak işaretlenmiş ofisler) Türkiye'nin küçük işletmeleriyle karşılaştırdık:
| Grup | Alan adı | DMARC kaydı yok | Yalnızca izleme | p=quarantine | p=reject | Uygulanıyor |
|---|---|---|---|---|---|---|
| Türk kamu, eğitim ve belediye alan adları | 644 | %27,6 | %19,6 | %36,5 | %15,8 | %52,3 |
| 1–3 şubeli Türk işletmeleri | 2.688 | %45,1 | %30,7 | %16,5 | %6,9 | %23,4 |
Türkiye'nin kamu sektörü, ülkenin küçük işletmelerinin iki katından fazla oranda DMARC uyguluyor ve ölçtüğümüz en güçlü kamu sektörlerinden biri; Singapur (%91,2), Hollanda (%80,7) ve Avustralya (%62,8) daha yüksek. Büyük bölümü p=quarantine'de kalıyor. En iyi sonucu belediyelerin .bel.tr alan adları alıyor (101 alan adında %62,3), ardından .edu.tr uzantılı üniversiteler geliyor (222 alan adında %57,6). Merkezi yönetimin .gov.tr alan adları 280 alan adında %46,1 ile geride kalıyor ve bunların %41,4'ünde hiç DMARC kaydı yok.
En açıkta kalanlar
En az korunan Türk işletmeleri hukuk büroları ve seyahat acenteleri
Her sektörün e-posta alan alan adları içinde p=quarantine ya da p=reject kullananların payı (parantez içinde kontrol edilen alan adı sayısı).
Hukuk büroları (58)
Seyahat acenteleri (76)
Emlak ofisleri (89)
Alışveriş merkezleri (115)
Otomobil bayileri (64)
Şirket ofisleri (355)
Süpermarketler (76)
Giyim mağazaları (118)
BT şirketleri (60)
Mavi: müşteri parasıyla çalışan meslekler · kesikli çizgi: Türkiye ortalaması (%31,0).
Ölçebildiğimiz Türk sektörlerinin tamamı, giyim mağazaları (%36,4) ve BT şirketleri (%43,3) dışında ulusal ortalamanın altında. En kötü durumda müşteri parasıyla çalışan işletmeler var: hukuk büroları (%10,3), seyahat acenteleri (%11,8) ve emlak ofisleri (%20,2).
Yöntem
Kapsam. E-posta alan (çalışan MX kayıtları yayımlayan) 5.646 Türk alan adı. Alan adları iki kaynaktan geliyor:
- OpenStreetMap'te haritalanmış, kendi web sitesi olan Türk işletmeleri ve kamu kurumları, uzantı fark etmeksizin: 2.979 alan adı
- Tranco ilk 1 milyon popülerlik sıralamasındaki tüm .tr alan adları: e-posta alan 2.976 alan adı
309 alan adı iki kaynakta da yer alıyor. İşletmenin denetiminde olmayan sosyal medya profilleri, rehber siteleri ve barındırılan sayfalar hariç tutuldu. Türkiye'de haritalanmış ama komşu bir ülkenin alan adını kullanan işletmeler o ülkede sayıldı.
Kontroller. Her alan adı, Spoofhound'un kendi motoruyla, yani ücretsiz alan adı kontrolünün arkasındaki motorla tarandı. Tarama SPF, DKIM (Microsoft, Google, SendGrid, Mailchimp gibi büyük e-posta sağlayıcılarının ve diğerlerinin kullandığı bilinen seçiciler), DMARC, MTA-STS, TLS-RPT ve BIMI'yi kapsıyor. Her rakam, 2026-11-09 tarihine kadarki 30 gün içinde yapılmış bir taramayı yansıtıyor.
Dürüst sınırlar.
- Kamu sektörü. Tespit edebildiğimiz kamu, eğitim ve belediye alan adları (.gov.tr, .edu.tr, .bel.tr, .k12.tr ve haritada kamu kurumu olarak işaretlenmiş ofisler) 644 alan adı, yani örneklemin %11,4'ü; bunların DMARC uygulama oranı %52,3. Bunlar hariç tutulduğunda oran %28,3.
- Örneklem eğilimi. İşletme örneklemi, web sitesi olan haritalanmış işletmeleri kapsıyor; bu da görünür, tüketiciye dönük işlere doğru bir eğilim yaratıyor. Sektör rakamlarının her biri 58 ile 355 arasında alan adına, dört veya daha fazla şubeli grubun rakamı ise 74 alan adına dayanıyor.
- DKIM. DKIM'in yalnızca var olduğu doğrulanabilir, yokluğu asla doğrulanamaz.
- “Uygulanıyor” ne demek? Alan adının kendisinde p=quarantine ya da p=reject. Hatalı kayıtlar uygulanmıyor sayılır, çünkü alıcı e-posta sunucuları onlara böyle davranır.
Veriler © OpenStreetMap katkıcıları (ODbL) · Tranco listesi: Tranco araştırma projesi.
Alan adınız bu rakamların neresinde? 30 saniyede öğrenin.
Alan adınızı kontrol edin — ücretsiz