E-postalarınız nasıl şifrelenir? TLS, MTA-STS ve DANE
E-postalarınızın cihazınızdan sunucuya ve sunucular arasında nasıl şifrelendiğini, TLS, MTA-STS ve DANE'nin ne işe yaradığını ve uçtan uca şifrelemeden farkını açıklıyoruz.
Güvercin Posta Teknik Destek Ekibi · Yayın: · Son güncelleme:
Bir e-posta, sizin cihazınızdan alıcının kutusuna ulaşana kadar birkaç aşamadan geçer. Güvercin Posta'da bu aşamalarda trafik şifreli bağlantılarla taşınır. Bu makalede hangi aşamada neyin korunduğunu ve neyin korunmadığını sade bir dille açıklıyoruz.
Bir mailin yolculuğu
- Cihazınızdan sunucumuza: Mail programınız ya da tarayıcınız
mail.guvercin.netsunucusuna bağlanır. - Sunucudan sunucuya: Sunucumuz maili alıcının posta sunucusuna teslim eder (ya da size gelen maili karşı sunucudan alır).
- Alıcının sunucusundan alıcının cihazına: Bu kısım alıcının sağlayıcısının sorumluluğundadır.
1. Cihaz ile sunucu arası: SSL/TLS
Webmail (https://mail.guvercin.net) ve mail programı bağlantılarının tamamı şifrelidir:
| Protokol | Port | Şifreleme |
|---|---|---|
| IMAP | 993 | SSL/TLS |
| POP3 | 995 | SSL/TLS |
| SMTP | 465 | SSL/TLS |
| SMTP (alternatif) | 587 | STARTTLS |
| CalDAV / CardDAV / JMAP | 443 | HTTPS |
Mail programınızda güvenlik seçeneğinin "Yok" olarak ayarlanmadığından emin olun. Tüm ayarlar için IMAP, POP3 ve SMTP sunucu ayarları makalesine bakın. Kafe veya otel gibi ortak Wi-Fi ağlarında da bu bağlantılar şifreli kalır.
2. Sunucular arası: TLS 1.3, MTA-STS ve DANE
Sunucular arasındaki trafik TLS 1.3 ile şifrelenir. Ancak e-postada sunucular arası şifreleme tarihsel olarak "fırsatçı"dır: karşı taraf şifreleme desteklemiyorsa ya da araya giren biri şifreleme teklifini silerse mail şifresiz gidebilir. İki standart bu açığı kapatır:
- MTA-STS: Bir alan adının "bana yalnızca geçerli sertifikalı, şifreli bağlantıyla mail teslim edin" politikasını yayınlamasını sağlar. Gönderen sunucu bu politikayı görürse şifresiz teslimi reddeder.
- DANE: Sunucu sertifikasının bilgilerini DNSSEC ile korunan DNS kayıtlarında yayınlar. Gönderen sunucu, bağlandığı sunucunun gerçekten doğru sunucu olduğunu bu kayıtla doğrular. Güvercin Posta, DNSSEC doğrulaması yapan bir çözümleyici kullanır.
Kendi alan adınız için MTA-STS kaydı, panelde Alan Adlarım → alan adı detay sayfasında isteğe bağlı kayıtlar arasında gösterilir. Değerini birebir kopyalayarak DNS'e ekleyebilirsiniz. Ayrıntı: Autoconfig, MTA-STS ve SRV kayıtları.
Aktarım şifrelemesi ile uçtan uca şifreleme farkı
Yukarıdaki önlemlerin tamamı aktarım şifrelemesidir: mail yoldayken korunur, sunucuya ulaştığında sunucuda okunabilir hâlde saklanır. Spam filtresi ve zararlı ek taraması da bu sayede çalışabilir.
Uçtan uca şifreleme (ör. S/MIME veya PGP) ise maili yalnızca alıcının açabileceği şekilde şifreler; aradaki sunucular içeriği göremez. Bu yöntem her iki tarafın da uygun anahtar veya sertifikaya sahip olmasını gerektirir ve mail programı tarafında yapılandırılır. Çok hassas belgeler gönderiyorsanız, belgeyi parolalı bir dosya olarak göndermek ve parolayı başka bir kanaldan (ör. telefonla) iletmek pratik bir alternatiftir.
Sık sorulan sorular
Alıcının sağlayıcısı TLS desteklemiyorsa ne olur?
Karşı taraf MTA-STS veya DANE yayınlamıyorsa ve şifreleme desteği yoksa, sunucular arası bağlantı şifresiz kurulabilir. Günümüzde yaygın sağlayıcıların çok büyük bölümü TLS destekler.
Mail programımda sertifika uyarısı alıyorum, ne yapmalıyım?
Sunucu adının tam olarak mail.guvercin.net yazıldığını kontrol edin. Uyarı devam ederse bağlantıyı onaylamadan destek ekibimize yazın.