E-posta başlıkları: nasıl okunur, ne kanıtlar?

Başlık bloğunun gerçekte ne olduğu

Her mesaj, tek bir boş satırla ayrılmış iki şeyden oluşur: bir Name: value satırları bloğu, ve okuduğunuz metin. RFC 5322, ilk kısmı başlık olarak adlandırır ve içindeki her satırı bir alan olarak tanımlar, ve kaç tane olabileceğine dair hiçbir sınır koymaz. Posta uygulamanız size dört ya da beş tanesini gösterir. Üç sunucudan geçmiş bir mesaj genellikle otuz ile altmış arasında taşır.

Return-Path: <bounces+2841@mail.example.com>
Delivered-To: signup-2026@example.org
Received: by mx.example.org (Postfix) with LMTP id 4c8f21
        for <signup-2026@example.org>; Fri, 5 Sep 2026 09:14:22 +0000 (UTC)
Received: from out-17.mail.example.com (out-17.mail.example.com [198.51.100.17])
        by mx.example.org (Postfix) with ESMTPS id 9a31b0
        for <signup-2026@example.org>; Fri, 5 Sep 2026 09:14:21 +0000 (UTC)
Authentication-Results: mx.example.org;
        spf=pass smtp.mailfrom=mail.example.com;
        dkim=pass header.d=example.com;
        dmarc=pass header.from=example.com
From: "Example Support" <support@example.com>
To: signup-2026@example.org
Subject: Confirm your email address
Date: Fri, 5 Sep 2026 09:14:19 +0000
Message-ID: <20260905091419.9a31b0@mail.example.com>
MIME-Version: 1.0
Content-Type: multipart/alternative; boundary="b1_4c8f21"

Yukarıdan aşağıya okunduğunda makine gürültüsü gibi görünür, ve çoğu zaten öyledir. Bilginin neredeyse tamamını dört alan taşır, ve bu rehberin konusu da tam olarak bu dördüdür: Received, From, Return-Path ve Authentication-Results.

Tam başlığın nerede saklandığı

Aşağıdakilerin hiçbiri bir araç, bir eklenti ya da bir hesap gerektirmez. Her posta istemcisi ham mesajı bir menü öğesinin arkasında saklar, ve aranacak sözcük her zaman kaynak, orijinal ya da ham sözcüğünün bir biçimidir.

Bu menü yolları, 5 Eylül 2026 tarihinde bulundukları yerlerdir ve yılda yaklaşık bir kez yer değiştirirler, bu yüzden yukarıdaki cümle tablodan daha önemlidir: öğe bu sezon ne diye adlandırılırsa adlandırılsın, içinde kaynak, orijinal ya da ham sözcüğü geçecektir.

Received zinciri, aşağıdan yukarı okunur

Mesajı kabul eden her sunucu bir Received: satırı yazar ve onu bloğun en üstüne, o ana kadar orada olan her şeyin üzerine koyar. Bu tek alışkanlık, başlıklar hakkındaki en kullanışlı gerçeği ortaya çıkarır: gördüğünüz ilk satır son sıçramadır, ve mesajın yolculuğu tersten yazılmıştır.

Received: by mx.example.org (Postfix) with LMTP id 4c8f21
        for <signup-2026@example.org>; Fri, 5 Sep 2026 09:14:22 +0000 (UTC)
Received: from out-17.mail.example.com (out-17.mail.example.com [198.51.100.17])
        by mx.example.org (Postfix) with ESMTPS id 9a31b0
        for <signup-2026@example.org>; Fri, 5 Sep 2026 09:14:21 +0000 (UTC)
Received: from app-3.internal (app-3.internal [192.0.2.53])
        by out-17.mail.example.com (Postfix) with ESMTP id 771c4e
        for <signup-2026@example.org>; Fri, 5 Sep 2026 09:11:58 +0000 (UTC)

Her satır aynı avuç dolusu sözcükten kurulur, ve onları adlandırabildiğiniz an zincir duvar kağıdı olmaktan çıkar.

from

Bağlanan makinenin kendine ne dediği, ardından köşeli parantez içinde gerçekte ne olduğu — alıcı sunucunun bağlantı üzerinde gördüğü ters DNS adı ve IP adresi. Parantezden önceki ad bir iddiadır. İçindeki adres ise gözlemlenmiştir.

by

Bu satırı yazan sunucu. Satırdaki, herhangi bir şeyden sorumlu tutabileceğiniz tek taraftır.

with

Sıçramanın nasıl yapıldığı: ESMTP, bağlantı şifrelendiğinde ESMTPS, bir posta kutusuna son teslim için LMTP. Sonunda S olmadan ESMTP diyen bir sıçrama, mesajı açık metin olarak taşımıştır.

for

O sıçramadaki zarf alıcısı — herhangi bir yönlendirme kuralı bir şeyi yeniden yazmadan önce, mesajın gerçekte hangi adresinize gönderildiği. Bir catch-all alan adında ya da bir artı etiketinde, sızan adresi adlandıran alan budur.

sondaki zaman damgası

O sunucunun mesajı kabul etmeyi ne zaman tamamladığı. Bir satırın zamanını üstündeki satırın zamanından çıkarırsanız o sıçramadaki gecikmeyi elde edersiniz, ki yavaş bir mesajın gerçekte nerede beklediğini tahmin etmek yerine böyle öğrenirsiniz.

Yukarıdaki örnekte mesaj uygulamadan 09:11:58'de ayrıldı ve iki dakika yirmi üç saniye sonra gönderen sağlayıcının giden sunucusuna ulaştı; ondan sonraki iki sıçrama aralarında bir saniye sürdü. Bir saat geç ulaşan bir mesajın neredeyse her zaman içinde bir saat barındıran bir satırı vardır, ve bu nadiren sonuncu satırdır.

Hepsi gönderen olduğunu iddia eden dört alan

“Bunu kim gönderdi” sorusunun bir başlıkta dört yanıtı vardır, ve bunların birbirini tutmamasına izin verilir. Çoğu zaman sıradan nedenlerle tutmazlar — bir e-posta listesi, bir pazarlama platformu, kendinizin kurduğu bir yönlendirme kuralı. Bir uyuşmazlık hiçbir şeyin kanıtı değildir. Değerli olan, dördünden hangisine baktığınızı bilmektir.

From:

Gönderenin gösterilmesini istediği adres ve serbest metin olan bir görünen ad. Hiçbiri doğrulanmaz. Bu, posta uygulamanızın mesaj listesine koyduğu alandır, ve bir telefonda adres genellikle adın arkasında tamamen gizlenir.

Return-Path:

Zarf göndereni; mesajı kabul eden sunucu tarafından, SMTP görüşmesi sırasında gerçekte söylenenden başlığa yazılır. Bir geri dönüşün gittiği yerdir, ve SPF'nin karşılaştırıldığı adrestir — tam olarak bu yüzden bir mesaj, kendisiyle hiçbir ilgisi olmayan bir From: taşırken SPF'yi geçebilir.

Reply-To:

Yanıtınızın adresleneceği yer, ki bu mesajın geldiği yer olmak zorunda değildir. Sıradan gönderenler bunu destek ekipleri ve yanıtlanmayan adresler için kullanır. Aynı zamanda işin en eski numarasıdır, çünkü dikkatli bir okuyucu göndereni kontrol eder, sorun olmadığına karar verir, ve sonra Yanıtla'ya basar.

Delivered-To: ve X-Original-To:

Adreslerinizden hangisinin kullanıldığı. Bir catch-all alan adında ya da bir artı etiketiyle, gerçekte dağıttığınız adresi adlandıran alan budur — onu kimin elden çıkardığını belirleyen adres.

From: "Example Support <support@example.com>" <billing@example.net>
         ^-- the display name, which is free text and is all a phone shows
                                              ^-- the address, which is not

Görünen ad rastgele bir metindir, bu yüzden başkasına ait eksiksiz bir adres içerebilir. Dünyadaki her posta istemcisi tırnak içindeki kısmı gösterir ve açılı parantez içindeki kısmı gizler, ki saldırının tamamı da budur: yazmanın hiçbir maliyeti yoktur ve bir okuyucunun bakacağı kesin olan tek alanda işe yarar.

Tek satırda SPF, DKIM ve DMARC

Bloktaki bir alan diğer her alandan farklıdır. Authentication-Results: mesajı kabul eden sunucu — yani sizinki — tarafından yazılır, ve aynı adla gelen başka her şey siz görmeden önce ayıklanır ya da yeniden adlandırılır. Bu, bir başlıkta bir sahtekârın yazamayacağı tek satırdır.

Authentication-Results: mx.example.org;
        spf=pass (sender IP is 198.51.100.17) smtp.mailfrom=mail.example.com;
        dkim=pass header.d=example.com header.s=s1 header.b=Qk3vR2mA;
        dmarc=pass (p=REJECT sp=REJECT dis=NONE) header.from=example.com

O satırda üç kontrol yer alır, ve bunlar üç farklı soruyu yanıtlar. İki kez okumaya değen ise dördüncü sütundur.

O son sütun tam olarak asıl mesele, ve başlık okumalarının çoğunun yanlış gittiği yer de burasıdır. dmarc=pass, From: alanında yazan alan adının mesajı yetkilendirdiğini kanıtlar. O alan adının sizden herhangi bir şeyi hak edip etmediği konusunda hiçbir şey söylemez — ve kayıtları kendiniz yayınlamak herkes için aşağı yukarı on dakika sürer.

Bir başlığın size söyleyemeyeceği beş şey

• Gönderenin nerede olduğu. Birinin mesajı yazdığı makinenin adresi genellikle blokta hiç bulunmaz. Büyük webmail sağlayıcıları bunu yıllar önce yayınlamayı bıraktı, ve geriye kalan şey kendi giden sunucularıdır; bu sunucu bir veri merkezinde bulunur ve size yalnızca bir barındırma şirketinin adını söyler.
• Gönderenin kim olduğu. Bir alan adı bir kişi değildir. Kırk dakika önce satın alınmış bir alan adı için dmarc=pass tamamen gerçek bir geçiştir.
• İçindekilerden herhangi birinin doğru olup olmadığı. Kimlik doğrulama zarfla ilgilidir, içindeki iddiayla hiçbir zaman değil. Bir fatura doğru imzalanmış, doğru hizalanmış ve tamamen uydurma olabilir.
• Onu kimsenin okuyup okumadığı. Bir başlıkta bunu kaydeden hiçbir şey yoktur. Bunu denemeye çalışan şey, gövdedeki bir izleme pikselidir, ki bu farklı savunmaları olan farklı bir mekanizmadır.
• Ne zaman yazıldığı. Date: alanı, gönderenin kendi makinesinden ve kendi saatinden gelir. Üç saat ileriye damgalanmış bir mesaj, ilginç bir şey olmaktan çok daha sık, yanlış yapılandırılmış bir bilgisayardır; güvenebileceğiniz zaman damgaları, sağlayıcınızın yazdığı Received satırlarındadır.

Ve alanların bütün bir ailesi, yapısı gereği hiçbir şey kanıtlamaz. X- ile başlayan her şey, onu kim yazdıysa onun uydurduğu özel bir uzantıdır, ve bir gönderen canının istediğini yazabilir: bir mesajdaki X-Spam-Status: No, mesajın kendisinin spam olmadığını söylediği anlamına gelir.

Mesaj geçici bir adrese ulaştığında

Bu hizmetin neyi geri verip neyi vermediği konusunda net olun. Burada okunan bir mesaj, ham değil ayrıştırılmış olarak ulaşır: gönderen, konu, tarih, metin, HTML ve ek listesi — bir betiğin peşinde olduğu alanlar — ve başlık bloğu değil. Yukarıdaki okuma, gerçek postanızı tutan posta kutusunda yaptığınız bir şeydir.

{
  "id":           "m_7Kq2fV3xTn",
  "from":         "support@example.com",
  "from_name":    "Example Support",
  "to":           "signup-2026@grabmail.io",
  "subject":      "Confirm your email address",
  "date":         "2026-09-05T09:14:22+00:00",
  "expires_at":   "2026-09-10T09:14:22+00:00",
  "text":         "Confirm your address: <https://example.com/confirm/9a31b0>",
  "text_derived": true,
  "html":         "<!doctype html><html>…",
  "attachments":  []
}

Geçici bir adresin size bunun yerine verdiği şey, hiçbir başlık alanının eşleşemeyeceği bir sinyaldir, ve tek bir satırı okumadan önce işe yarar: o adresi tam olarak tek bir tarafa verdiniz. Ona ulaşan ve başka birinden geldiğini iddia eden bir mesaj, ya verdiğiniz taraf tarafından yönlendirilmiştir, ya da onu kime aktardılarsa onun tarafından gönderilmiştir. Üçüncü bir açıklama yoktur ve doğrulanacak hiçbir şey de yoktur.

Bu, bir artı etiketinin yaptığı savın aynısıdır, yalnızca etiketin tek bir satır kodla kesilebildiği kısım hariç — burada adresin kendisi farklıdır, bu yüzden ayıklanacak hiçbir şey yoktur. Bunun en güçlü hali olan sahip olduğunuz bir alan adındaki catch-all da tam olarak bu yüzden işe yarar: kayıt başına bir adres, alan adını elinizde tuttuğunuz sürece saklanır, ve kendi posta kutunuzdaki Delivered-To: dışarı sızanı adlandırır.

Hâlâ yapabileceğiniz kontrol

Bağlantının ne söylediğine değil, nereye gittiğine bakın. text alanı ya gönderenin kendi düz metin kısmıdır ya da HTML'nin bir görüntülemesidir — hangisi olduğunu text_derived söyler — ve bu görüntüleme her bağlantı hedefini açılı parantez içinde tutar. Yani bir düğmenin sizi götüreceği adres, sayfayı, görselleri ya da pikseli hiç yüklemeden, yanıtın içinde açıkça durur.

Confirm your address: <https://example.com/confirm/9a31b0>

Not you? Ignore this message. <https://example.com/help>

Altmış saniyelik sürüm

1. Kaynağı açın. Hangi istemcide olduğunuza bağlı olarak Show original, View message source ya da Raw source.
2. Önce Authentication-Results alanını bulun. Kendi sağlayıcınız tarafından yazılan tek satır, ve başka hiç kimsenin sahte olarak yazamayacağı tek satır. dmarc=pass ise From: alanındaki alan adı mesajı gerçekten yetkilendirmiştir; dmarc=fail ise yetkilendirmemiştir.
3. From: alanını Return-Path: ve Reply-To: ile karşılaştırın. Bütün gün sıradan nedenlerle uyuşmazlar. Bazen de ilginç olan nedenle uyuşmazlar.
4. Received satırlarını aşağıdan yukarıya okuyun, ve sağlayıcınıza ait olmayan ilk makinede onlara inanmayı bırakın.
5. Sonra bağlantıların nereyi işaret ettiğine bakın, ki size gerçekte ne olacağına karar veren kısım budur.

Yukarıdakilerin hepsi tek bir dar soruyu yanıtlar: From: alanındaki alan adı bu mesajı yetkilendirdi mi? Bu, “bu güvenli mi” sorusundan daha küçük bir sorudur, ve yine de yanıtlamaya değer — çünkü bir başlığın yanıtlayabileceği tek soru budur.

Sorular