İçeriğe atla
Bilgi Merkezi/Makale
Makale

Kurumsal E-posta Nedir? Yönetimi ve Güvenliği

Kurumsal e-posta, kurumun alan adıyla çalışan ve hesapları kurumca yönetilen postadır. Platformları, hesap yönetimini, SPF, DKIM ve DMARC'ı anlattık.

Oğuzhan Gerçek··7 dk okuma
Kurumsal E-posta Nedir? Yönetimi ve Güvenliği

Kısa cevap: Kurumsal e-posta, adreslerin sonunda kurumun kendi alan adının durduğu (ad@sirketiniz.com.tr) ve hesapları kurumun yönettiği e-posta hizmetidir. Ücretsiz bir adresten farkı sahiplikte: hesap ve yazışmalar kuruma aittir, çalışan ayrıldığında posta kutusu kurumda kalır, güvenlik ve saklama kuralları tek merkezden uygulanır. Hizmet bulutta Microsoft 365 ya da Google Workspace üzerinden alınabilir, kurum içinde Exchange Server ile de işletilebilir. Güvenliğin temelinde SPF, DKIM ve DMARC kayıtları ile çok faktörlü kimlik doğrulama (MFA) var.

Kurumsal e-posta nedir?

Kurumsal e-postada adresin alan adı (domain) kuruma aittir. Postayı hangi sunucunun kabul edeceğini bu alan adının DNS'indeki MX kaydı belirler; Cloudflare'in anlatımıyla MX kaydı, e-postanın SMTP kurallarına göre nereye yönlendirileceğini gösterir. Platform değiştiğinde adresler aynı kalır, yalnızca MX kaydının gösterdiği sunucu değişir.

Microsoft kurumlara kendi alan adlarını kullanmayı öneriyor: özel alan adı marka bilinirliğini, postanın teslim edilebilirliğini ve kullanıcı güvenini artırıyor. Google Workspace'te ise alan adı şart. Alan adının neden kurumsal varlık gibi izlenmesi gerektiğini sözlüğümüzde anlattık.

Ücretsiz e-postadan farkı nedir?

Fark adreste değil, sahiplikte. Google'ın karşılaştırmasında @gmail.com hesapları kullanıcıya ait ve yönetimi tek kullanıcıyla sınırlı; alan adı doğrulanmış hesaplar ise kuruma ait ve kullanıcı verisinin tamamını yöneticiler yönetiyor. Pratikte bu şu demek:

  • Çalışan ayrıldığında yazışmalar kurumda kalır.
  • Parola, MFA, paylaşım ve saklama kuralları bütün hesaplara merkezden uygulanır.
  • Sahte gönderimi zorlaştıran kayıtlar kurumun kendi alan adına yazılır.

Bu merkezin işletimine e-posta yönetimi diyoruz.

Microsoft 365, Google Workspace ve Exchange Server

  • Microsoft 365 (Exchange Online): Microsoft'un limit tablosuna göre Business ve E3/E5 planlarında posta kutusu 100 GB; Business Premium ve E3/E5'te arşiv otomatik genişleyerek 1,5 TB'a kadar büyüyor.
  • Google Workspace: Depolama Gmail ve Drive arasında ortak; fiyat sayfasına göre kullanıcı başına havuz Business Starter'da 30 GB, Business Standard'da 2 TB, Business Plus'ta 5 TB.
  • Exchange Server (kurum içi): Microsoft'a göre Exchange Server 2016 ve 2019'un desteği 14 Ekim 2025'te bitti; bu sürümlere teknik destek, hata düzeltmesi ve güvenlik düzeltmesi sağlanmıyor. Kurum içinde kalmanın yolu, 1 Temmuz 2025'te çıkan ve Modern Lifecycle Policy'ye tabi Exchange Server Subscription Edition (SE).

Sunucuyu bir sağlayıcının işlettiği hosted Exchange modeli de var. Bulutta hangi sorumluluğun sizde kaldığını SaaS yazımızda anlattık.

Kurumsal e-posta yönetimi: hesap, arşiv ve taşıma

Hesap yaşam döngüsü. İşe girişte hesap açılır, lisans atanır, MFA kaydı yapılır; ayrılışta önce oturum açma engellenir. Microsoft'un rehberine göre ayrılan çalışanın postası devralan kişiye yönlendirilebilir ya da posta kutusu paylaşılan posta kutusuna (shared mailbox) çevrilebilir; lisans kaldırılırsa e-posta 30 gün sonra kalıcı olarak silinir. Google Workspace'te e-posta, kullanıcı silinmeden önce başka bir hesaba aktarılabilir ya da Vault'la dışa alınabilir; kullanıcı silindiğinde aktarılmamış içerik de kaybolur.

Arşiv ve saklama. Microsoft 365'te hesap silinmeden önce saklama politikası ya da hold uygulanan posta kutusu pasif posta kutusuna (inactive mailbox) dönüşür ve içerik korunur. Google tarafında bu işi Vault görür: veriyi saklar, hukuki bekletmeye (hold) alır, arar ve dışa aktarır. Vault, Business Plus ve Enterprise sürümlerinde lisansa dahil; başka bazı sürümlerde ek lisansla alınabiliyor.

Taşıma. Microsoft'un taşıma rehberine göre cutover yöntemi 2.000 posta kutusuna kadar taşıyabiliyor, ama süre nedeniyle 150 ve altı makul; Exchange 2013 ve sonrasında hibrit taşıma öneriliyor. IMAP yalnızca e-postayı taşır, kişiler ve takvim geride kalır. Son adımda MX kaydı yeni platforma çevrilir: Microsoft, TTL değerini taşımadan önce 3.600 saniyeye ya da altına indirmeyi öneriyor ve değişikliğin karşı taraflara yayılmasının 72 saati bulabileceğini yazıyor.

SPF, DKIM ve DMARC: alan adınızı taklitten korumak

SPF standardının özeti şu cümleyle açılıyor: internette e-posta birçok yolla taklit edilebilir. Üç DNS kaydı bu açığı daraltır:

  • SPF (RFC 7208): Alan adınız adına posta göndermeye yetkili sunucuları listeleyen TXT kaydı. DNS sorgusu gerektiren terimlerin (include, a, mx, ptr, exists, redirect) sayısı 10'u aşarsa sonuç hata (permerror) olur; çok sayıda servisi include eden kayıtlar bu sınıra takılır.
  • DKIM (RFC 6376): Giden postaya kriptografik imza ekler; alıcı, açık anahtarı gönderen alan adının DNS'inde "_domainkey" altındaki seçici (selector) kaydından okur. Microsoft 365'te kendi alan adınızla DKIM imzası siz açana kadar atılmıyor.
  • DMARC: Doğrulamadan geçemeyen posta için alan adı sahibinin tercihini yayımlar: none (tercih yok), quarantine (şüpheli say) ya da reject (reddet). Geçmesi için SPF ya da DKIM'le doğrulanan alan adının, okurun gördüğü From adresindeki alan adıyla uyumlu (aligned) olması gerekir.

DMARC'ın 2015 tarihli ilk tarifi RFC 7489 bilgilendirme amaçlı (Informational) bir belgeydi; Mayıs 2026'da IETF'in standart yolunda (Proposed Standard) yayımlanan RFC 9989 onun yerini aldı, raporlama da RFC 9990 ve RFC 9991 ile tanımlandı. Microsoft kademeli geçiş öneriyor: p=none ile başlayıp günlük toplu raporlarda doğrulanmayan meşru gönderimleri bulmak, sonra quarantine'e ve reject'e geçmek.

Toplu gönderici kuralları: Gmail, Yahoo ve Outlook.com

Gmail'in Şubat 2024'te başlayan kurallarında, kişisel Gmail hesaplarına 24 saatte 5.000'e yakın ya da daha fazla ileti gönderen toplu gönderici sayılıyor; aynı ana alan adından çıkan postalar birlikte hesaplanıyor ve bu statü kalıcı. Toplu göndericiden istenenler:

  • SPF ve DKIM'in ikisi birden, en az p=none politikalı DMARC ve From alan adıyla uyum
  • Pazarlama postalarında tek tıkla abonelikten çıkma, talebin 48 saat içinde karşılanması
  • %0,3'ün altında spam oranı (Google %0,1'in altını öneriyor)

Google, Kasım 2025'ten beri kurallara uymayan trafiğe yaptırımı artırıyor. Yahoo Şubat 2024'ten beri benzer şartlar uyguluyor. Outlook.com da tüketici adreslerine aynı From alan adıyla 5.000 ve daha fazla ileti gönderenlerden SPF, DKIM ve DMARC istiyor; şartı karşılamayan postayı 550 5.7.515 hatasıyla geri çeviriyor. Microsoft, Exchange Online'ın toplu gönderime uygun olmadığını yazıyor ve bülten gibi toplu ticari postalar için bu işte uzmanlaşmış servisleri öneriyor. Böyle servislerde ana alan adı yerine bir alt alan adı (ör. bulten.sirketiniz.com.tr) kullanmak, Microsoft'un DMARC rehberindeki tavsiyelerden biri.

Oltalama, hesap ele geçirme ve MFA

ENISA'nın Eylül 2026 raporuna göre 2025'te AB'yi hedef alan olaylarda kullanılan sosyal mühendislik tekniklerinin %77,8'i oltalama, %13'ü zararlı istenmeyen posta (malspam); oltalamanın çoğu e-postayla yapıldı. DMARC alan adınızın birebir taklidini zorlaştırır, ama benzer görünen bir alan adından ya da ele geçirilmiş gerçek bir hesaptan gelen postayı durdurmaz.

Microsoft'a göre ele geçirme girişimlerinin çoğu eski kimlik doğrulama protokollerinden geliyor ve bu protokoller MFA'yı desteklemiyor. Exchange Online'da POP, IMAP ve ActiveSync gibi protokollerde temel kimlik doğrulama (basic authentication) kapatıldı. MFA'nın türü de önemli: ABD'nin siber güvenlik ajansı CISA'ya göre yaygın olarak kullanılabilen oltalamaya dayanıklı tek yöntem FIDO/WebAuthn; sahte bir giriş sayfasına yazılan tek kullanımlık kod saldırgana da gider. Oltalamayı siber güvenlik yazımızda, MFA ve tek oturum açmayı kimlik yönetimi hizmetimizde ele alıyoruz.

KEP ile kurumsal e-posta aynı şey mi?

Hayır. BTK'nın tanımıyla kayıtlı elektronik posta (KEP), yasal olarak geçerli ve teknik olarak güvenli elektronik postadır: iletinin görünen gönderenden gelip gelmediğini, alıcıya ne zaman ulaştığını ve okunup okunmadığını delil olarak kaydeder. KEP kapalı bir sistemdir; standart e-posta adresleriyle ileti alışverişi yapamaz. Hesap, KEP hizmet sağlayıcılarından alınır.

Sık sorulan sorular

Kurumsal mail nedir? Kurumsal mail ya da kurumsal e-posta, adresin sonunda kurumun kendi alan adının durduğu ve hesapların kurumca yönetildiği e-posta hizmetidir.

Kurumsal e-posta nasıl alınır? Önce bir alan adı gerekir. Ardından platform seçilir, alan adının sahipliği DNS'e eklenen bir TXT kaydıyla doğrulanır, MX kaydı yeni platforma çevrilir ve SPF, DKIM, DMARC kayıtları yayımlanır.

E-posta yönetimi nedir? Kurumsal posta altyapısının işletimidir: hesapların açılıp kapatılması, posta akışının güvenliği, kotalar, arşiv, saklama ve taşıma.

SPF, DKIM ve DMARC zorunlu mu? Gmail ve Yahoo bütün göndericilerden en az SPF ya da DKIM, toplu göndericilerden üçünü birden istiyor. Şartları karşılamayan posta reddedilebiliyor.

Exchange Server 2019 kullanılmaya devam edilebilir mi? Sunucu çalışmayı sürdürür, ama Microsoft 14 Ekim 2025'ten beri bu sürüme teknik destek, hata düzeltmesi ve güvenlik düzeltmesi sağlamıyor. Microsoft'un önerdiği yollar Exchange Server SE'ye yükseltmek ya da Microsoft 365'e taşımak.

Kaynaklar