# Alan adım için MTA-STS ve TLS-RPT nasıl kurulur? > MTA-STS, _mta-sts üzerinde bir TXT kaydı, mta-sts.yourdomain adresinde HTTPS ile sunulan bir politika dosyası ve raporlar için bir TLS-RPT TXT kaydı gerektirir. - URL: https://postelva.com/tr/guides/mta-sts-setup/ - Son güncelleme: 2026-11-12 - Yayıncı: Postelva (https://postelva.com) MTA-STS, diğer posta sunucularına size yalnızca doğrulanmış TLS üzerinden teslim etmelerini söyler. İki DNS kaydı ve bir web barındırıcısında küçük bir dosya gerektirir. **Hızlı cevap — MTA-STS ve TLS-RPT nasıl kurulur?** _mta-sts.yourdomain adresinde v=STSv1 ve bir id içeren bir TXT kaydı yayımlayın, https://mta-sts.yourdomain/.well-known/mta-sts.txt adresinde geçerli bir sertifikayla bir politika dosyası sunun ve TLS-RPT raporları için _smtp._tls adresine bir TXT kaydı ekleyin (RFC 8461 ve RFC 8460). **Postelva** DNS kayıtlarını barındırır; politika dosyası için HTTPS destekli bir web barındırıcısı gerekir. ## Bir MTA-STS ve TLS-RPT kurulumunun dört parçası *İsimler ve biçimler RFC 8461 ve RFC 8460'tan, 12 November 2026 tarihinde okunmuştur.* | Parça | Nerede | İçerik | Barındırıldığı yer | | --- | --- | --- | --- | | MTA-STS kaydı | _mta-sts.example.com adresinde TXT | v=STSv1; id=20261112T000000Z | Sizin DNS'iniz (Postelva'da ücretsiz DNS) | | Web barındırıcı adı | mta-sts.example.com adresinde A, AAAA veya CNAME | Bir web sunucusunu gösterir | Sizin DNS'iniz | | Politika dosyası | https://mta-sts.example.com/.well-known/mta-sts.txt | version, mode, mx satırları, max_age | HTTPS ve geçerli sertifikaya sahip bir web barındırıcısı | | TLS-RPT kaydı | _smtp._tls.example.com adresinde TXT | v=TLSRPTv1; rua=mailto:tlsrpt@example.com | Sizin DNS'iniz | ## MTA-STS'yi altı adımda kurun 1. **MX barındırıcılarınızı listeleyin** — Politika, sağlayıcınızın posta barındırıcılarını adlandırmalıdır. Proton Mail mail.protonmail.ch ve mailsec.protonmail.ch, Mailbox.org ise mxext1 ile mxext4.mailbox.org arasını kullanır. 2. **Web barındırıcı adını ayarlayın** — DNS düzenleyicisinde, mta-sts için denetiminizdeki bir web sunucusunu gösteren bir kayıt ekleyin ve mta-sts.yourdomain için geçerli bir sertifika edinin. 3. **Politika dosyasını test modunda yayımlayın** — .well-known klasöründe mta-sts.txt dosyasını mode: testing ve kısa bir max_age ile oluşturun. 4. **_mta-sts TXT kaydını ekleyin** — v=STSv1; id= ifadesini, tarih ve saat gibi benzersiz bir değerle birlikte yayımlayın. 5. **TLS-RPT kaydını ekleyin** — _smtp._tls adresine bir rua mailto adresiyle TXT kaydını yayımlayın ve günlük raporları okuyun. 6. **Enforce moduna geçin** — Raporlar kendi MX barındırıcılarınız için hiçbir hata göstermediğinde modu enforce olarak değiştirin, max_age değerini yükseltin ve id değerini güncelleyin. *DNS kayıtları ve politika dosyası (testing modu)* ```dns ; DNS records _mta-sts.example.com. IN TXT "v=STSv1; id=20261112T000000Z" _smtp._tls.example.com. IN TXT "v=TLSRPTv1; rua=mailto:tlsrpt@example.com" mta-sts.example.com. IN CNAME webhost.example.net. ; File served at https://mta-sts.example.com/.well-known/mta-sts.txt version: STSv1 mode: testing mx: mail.protonmail.ch mx: mailsec.protonmail.ch max_age: 86400 ``` ## MTA-STS neyi korur? **MTA-STS, bir posta alan adının TLS'yi desteklediğini ve göndericilerin, geçerli bir sertifika sunamayan MX barındırıcılarına teslimatı reddetmesi gerektiğini bildirmesini sağlar.** September 2018 tarihli bir Önerilen Standart olan RFC 8461 bunu tanımlar. Bu olmadan sunucudan sunucuya şifreleme fırsatçıdır: gönderici STARTTLS dener ve bir saldırgan bunu sökerse iletiyi düz metin olarak gönderir. Enforce modundaki bir politikayla, MTA-STS destekleyen bir gönderici politikanızı alır, MX barındırıcısının mx listesinde yer aldığını denetler ve eşleşen bir sertifikayla geçerli bir TLS bağlantısı ister. Herhangi bir denetim başarısız olursa ileti bekler ve daha zayıf bir kanaldan teslim edilmez. Yalnızca gelen postayı korur ve yalnızca bunu uygulayan göndericiler için çalışır. İletileri doğrulamaz: bu, [SPF, DKIM ve DMARC farkı](https://postelva.com/tr/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?") yazısındaki kayıtların işidir. ## Politika dosyasında neler bulunur? **Politika dosyası; sürümü, modu, izin verilen MX kalıplarını ve saniye cinsinden bir ömrü içeren, anahtar: değer satırlarından oluşan düz metin bir dosyadır.** RFC 8461 bu alanları tanımlar. version STSv1 olmalıdır. mode; enforce (göndericiler denetimlerden geçemeyen barındırıcılara teslim etmemelidir), testing (teslimat devam edebilir ve TLS-RPT destekleyen göndericiler hata raporları gönderir) veya none (sanki hiç politika yokmuş gibi) olabilir. Her mx satırı bir barındırıcıyı tam olarak adlandırır, örneğin mail.protonmail.ch, ya da en soldaki etikette bir joker karakter kullanır, örneğin *.example.net. max_age en fazla 31,557,600 olan bir saniye sayısıdır ve RFC bunun tipik olarak haftalar veya daha fazla olması gerektiğini söyler. Örneği 604800, yani bir hafta kullanır. Dosya, o ad için geçerli bir sertifikayla mta-sts.yourdomain adresinde HTTPS üzerinden sunulmalıdır. Yalnızca HTTP 200 yanıtı sayılır ve yönlendirmeler izlenmemelidir; bu da yönlendirmeyle yanıt veren bir hizmet olan URL yönlendirmesini dışarıda bırakır. Dosya text/plain olarak gönderilmelidir. Denetiminizdeki küçük bir web barındırıcısı veya statik sayfa barındırıcısı kullanın. mx satırları, [MX kaydı nedir](https://postelva.com/tr/what-is-an-mx-record/ "What is an MX record?") yazısında listelendiği gibi sağlayıcınızın kayıtlarıyla eşleşmelidir. ## id nedir ve güncelleme sırası nasıldır? **TXT kaydındaki id, politika her değiştiğinde değişmesi gereken, 1 ila 32 harf ve rakamdan oluşan bir etikettir; böylece göndericiler dosyayı yeniden almaları gerektiğini bilir.** RFC 8461, bunun bir politika örneğini tanımladığını ve id'ler arasında bir sıralama bulunmadığını söyler; bu yüzden tarih-saat damgası iyi çalışır. Şu sırayla güncelleyin: önce yeni politika dosyasını yayımlayın, sonra id'yi değiştirin. Yeni dosyadan önce yeni id'yi gören bir gönderici eski politikayı yeniden önbelleğe alırdı. E-posta sağlayıcınızı değiştirdiğinizde MX barındırıcıları da değişir; bu yüzden MX kayıtlarını değiştirmeden önce mx satırlarını düzenleyin, taşıma sırasında eski barındırıcıları listede tutun ve id'yi yükseltin. Enforce modunda unutulmuş bir mx satırı postanın gelmesini durdurur; geri kalan işlerin güvenli sırasını [e-postayı yeni bir sağlayıcıya nasıl taşırsınız](https://postelva.com/tr/guides/move-email-provider-without-downtime/ "How to move email to a new provider without losing mail") taşıma kılavuzu verir. ## TLS-RPT nedir ve raporlar neleri içerir? **TLS-RPT, gönderen sunucuların alan adınıza yapılan TLS bağlantılarının kaçının başarılı veya başarısız olduğunu size her gün bildirdiği bir raporlama biçimidir (RFC 8460).** _smtp._tls.yourdomain adresinde v=TLSRPTv1 ve mailto: veya https: adresi taşıyan bir rua alanı içeren bir TXT kaydı yayımlarsınız. Mailto raporları, raporlayan alan adından geçerli bir DKIM imzası taşımalıdır. Her rapor, bir UTC gününü kapsayan bir JSON belgesidir. Uygulanan politikayı (MTA-STS, DANE veya hiçbiri) adlandırır, başarılı ve başarısız oturumları sayar ve gönderen ile alan IP adresleriyle birlikte certificate-expired veya starttls-not-supported gibi hata türünü verir. Enforce moduna geçmeden önce bir sertifikanın süresinin dolduğunu veya bir mx satırında yazım hatası olduğunu bu sayede öğrenirsiniz. İlk haftaları [DMARC](https://postelva.com/tr/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject") için önerilen deneme süreci olarak değerlendirin. ## Kişisel bir e-posta alan adı için MTA-STS'ye ihtiyacım var mı? **Hayır: MTA-STS isteğe bağlı bir sıkılaştırmadır ve büyük gönderici kuralları bunu gerektirmez.** Google, Yahoo ve Microsoft toplu göndericilerden SPF, DKIM ve DMARC ister, MTA-STS'yi listelemez. Proton Mail, Fastmail veya Mailbox.org'daki kişisel bir alan adı için bu kurulum, yalnızca bir web barındırıcısının ve bir sertifikanın bakımını kabul ediyorsanız değerlidir. Sağlayıcılar farklılık gösterir. Postelva'in 12 November 2026 tarihinde 4 sağlayıcının (Proton Mail, Tuta, Mailbox.org ve Fastmail) DNS kurulum listelerini okumasına göre, 1 tanesi kendi kurulumunda bir MTA-STS kaydı listeler (Tuta, bir CNAME) ve diğer üçü için okunan yardım sayfaları hiçbirini belgelemez. Kurulumun tamamı 3 DNS kaydı ve 1 dosyadır. Her birini [MX, SPF, DKIM ve DMARC kayıtları nasıl kontrol edilir](https://postelva.com/tr/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records") yazısındaki komutlarla kontrol edin: dig TXT _mta-sts.example.com +short ve dig TXT _smtp._tls.example.com +short. Alıntılanabilir bir tanım: MTA-STS, diğer sunucular alan adınıza posta teslim ederken TLS'yi zorunlu kılan politikadır ve TLS-RPT, bunun ne zaman başarısız olduğunu size bildiren günlük rapordur. ## MTA-STS ve TLS-RPT soruları ### MTA-STS politika dosyasını DNS sağlayıcımda barındırabilir miyim? Yalnızca bir DNS barındırıcısında olmaz: dosya, mta-sts.yourdomain adresinde HTTPS üzerinden yanıt veren bir web sunucusu gerektirir. Yönlendirmeler izlenmemesi gerektiği için URL yönlendirmesi çalışmaz. ### Hangi max_age değerini kullanmalıyım? RFC 8461, değerin tipik olarak haftalardan başladığını söyler ve örneğinde 604800 saniye (bir hafta) kullanır. Testing modunda kısa bir değerle başlayın ve raporlar temiz olduğunda yükseltin. ### MTA-STS, DANE ile aynı şey mi? Hayır. İkisi de sunucudan sunucuya TLS'yi korur, ancak DANE, DNSSEC ve TLSA kayıtlarına dayanırken MTA-STS bir HTTPS politika dosyasına dayanır. TLS-RPT her ikisi için de rapor verir. ### Enforce modunda sertifikamın süresi dolarsa ne olur? MTA-STS destekleyen göndericiler, bir MX barındırıcısının sertifikası başarısız olduğunda barındırıcılarınıza teslimatı durdurur ve posta onların kuyruğunda bekler. Eksik bir mx satırı için de aynısı geçerlidir; bu yüzden TLS-RPT'yi izleyin. ### Enforce modunu kullanmak zorunda mıyım? Hayır. Testing modu zaten size rapor verir ve none modu politikayı kapatır. **Özetle** - MTA-STS (RFC 8461), alan adınıza teslim edilen posta için TLS'yi zorunlu kılar. - Kurulum: _mta-sts adresinde bir TXT kaydı, mta-sts.yourdomain/.well-known/mta-sts.txt adresinde bir HTTPS politika dosyası ve TLS-RPT için _smtp._tls adresinde bir TXT kaydı (RFC 8460). - Politika; mode (enforce, testing, none), mx barındırıcılarını ve en fazla 31,557,600 saniye olan max_age değerini listeler. - Yönlendirmeler izlenmemelidir; bu yüzden URL yönlendirmesi dosyayı sunamaz. - Politika her değiştiğinde id'yi değiştirin; önce dosyayı, sonra TXT kaydını güncelleyin. - Testing modunda başlayın ve enforce'tan önce TLS-RPT raporlarını okuyun. - Postelva DNS kayıtlarını ücretsiz barındırır; bir .com her yıl $12,49/yıl tutar. ## Kaynaklar 1. [RFC 8461, SMTP MTA Strict Transport Security (MTA-STS)](https://www.rfc-editor.org/rfc/rfc8461.html) — RFC Editor (2026-11-12 tarihinde okundu) 2. [RFC 8460, SMTP TLS Reporting](https://www.rfc-editor.org/rfc/rfc8460.html) — RFC Editor (2026-11-12 tarihinde okundu) 3. [E-posta gönderen yönergeleri](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (2026-11-12 tarihinde okundu) 4. [Özel alan adı ve sahteciliğe karşı koruma](https://proton.me/support/anti-spoofing-custom-domain) — Proton (2026-11-12 tarihinde okundu) --- Postelva: Postelva, özel e-posta için alan adları kaydeder — sağlayıcı değiştirdiğinizde sizinle kalan adres — kripto ile ödenir ve KYC gerektirmez: kimlik belgesi yok, alan adı başına yalnızca bir doğrulanmış e-posta. Postelva'yı Panama'da kayıtlı bir şirket olan DomaineGoat LLC işletir; alan adları, ICANN akreditasyonlu kayıt kuruluşu ortağı üzerinden kaydedilir. Bir .com her yıl aynı fiyata, $12,49/yıl tutarındadır.