Mail teslimat derin dive: warmup, reputation, content, authentication

“Mailim gönderiliyor ama spam’a düşüyor” — bu, B2C e-posta gönderen her ekibin bir noktada karşılaştığı problem. Çözüm tek bir teknik ayar değildir; 4 ana eksen (warmup + reputation + content + authentication) üzerinde sürdürülebilir disipindir. Bu yazıda her birini açalım.

1. IP Warmup — yeni IP’lerin doğru kuluçkası

Bir IP’den ilk kez büyük hacimli mail gönderdiğinde, büyük tüketici mailbox sağlayıcıları seni “kim olduğunu bilmiyoruz” kategorisine koyar. Düşük şüpheyle başlar, davranışına göre kategori değişir.

Kademeli hacim artışı

Tipik bir warmup tablosu (engaged audience üzerinde):

Gün	Mail/gün	Kümülatif
1-3	50	150
4-7	200	950
8-14	500	4.450
15-21	1.000	11.450
22-28	2.500	28.950
29-35	5.000	63.950
36-42	10.000	133.950
43+	25.000+	gerçek hacim

Önemli noktalar:

• “Engaged audience” — son 30 günde mail açan / link tıklayan kişilerle başla. Soğuk listeyi en sona koy (veya hiç dahil etme).
• Spam complaint > %0.1 olursa o hacmi azalt, bir gün geri git.
• 2 hafta öncesinde transactional mail (sipariş onayı, şifre sıfırlama) ile başla — bunlar her zaman pozitif sinyaldir (alıcı bekliyor).

Subdomain stratejisi

Tek bir IP/domain’den hem marketing hem transactional gönderiyorsan, marketing’in kötü performansı transactional’ını zehirler. Best practice:

mail.example.com         → transactional (sipariş, fatura, şifre)
news.example.com         → marketing newsletter
promo.example.com        → promosyon kampanyaları

Her subdomain’in kendi reputation’ı vardır. Marketing’in spam complaint patlaması, transactional inbox yerleşimini etkilemez.

2. Reputation — IP + domain itibarı

Receiver’lar iki ayrı sinyal toplar:

• IP reputation — IP nereden geliyor, geçmişi var mı?
• Domain reputation — From: domain’in hangi davranış sergiledi geçmişte?

Key metrik: spam complaint rate

Spam complaint = alıcı “Bu spam’dir” butonuna tıkladığında oluşur. Receiver’ların kabul ettiği eşik %0.1 (binde bir). Bunun üstünde sürekli kalan domain inbox’tan çıkar.

Pratik uygulama:

• Suppression list — herkes “spam” tıkladığı an o adrese mail yasak (Sendnomi otomatik yapar).
• Hard bounce (kalıcı geri dönüş) — 2 ardışık bounce’tan sonra adresi suppression’a al.
• Inactive contact policy — 6 ay açmayan / tıklamayan abonleri ya sun-set kampanyasıyla yeniden aktive et, ya da suppression’a al.

RBL (Real-time Blacklist) izleme

17 ana RBL var. Bir kez listelendiyen çıkmak haftalar sürebilir. Sendnomi her gönderim öncesi:

• Gönderim IP’ni Spamhaus, Barracuda, SpamCop, Backscatterer dahil 13 IP RBL’inde tarar
• Domain’i Spamhaus DBL, SURBL, URIBL dahil 4 domain RBL’inde tarar
• Hit olursa otomatik gönderimi durdurur, panel uyarısı atar

Sender Score (0-100)

Major reputation servisleri tarafından hesaplanan birleştirilmiş skor. ENTERPRISE planında otomatik bağlanır. Hedef: 80+. 70 altı kritik.

3. Content quality — modern filtre nelere bakar?

2025 sonrası AI tabanlı filtreler içeriği üç açıdan değerlendirir:

a) Spam pattern detection

Klasik kelime-liste yaklaşımı eski. Modern filtreler konteksti anlar:

• “BEDAVA” tek başına spam değil; “ŞİMDİ TIKLA BEDAVA KAZAN” üçlüsü spam.
• Tüm-büyük-harf subject + 3+ ünlem + $/% sembolü = clickbait.

b) Hidden text (Email Salting)

2025’ten beri yaygınlaşan saldırı: filter’ı atlatmak için maile gizli kelimeler ekleme.

Örnek (yapılmaması gereken):

<p>İndirimli ürünler!
<span style="font-size:0">istanbul üniversite memorial hospital research medical</span>
</p>

Filter’lar artık display:none, visibility:hidden, font-size:0, color: white (background da beyaz ise) örüntülerini tespit ediyor.

c) HTML safety

Mail içeriğinde:

• <script> — email client çalıştırmaz ama filter kırmızı bayrak görür
• <iframe> — aynı
• Inline event handler (onclick, onload) — aynı
• Form post — aynı

Bunlar yerine landing page link kullan.

d) URL discipline

• Kısaltıcı (bit.ly, t.co) yok — phishing red flag
• Tracking için kendi tracker subdomain’in (track.example.com) — branding + güvenlik
• HTTPS zorunlu — HTTP link otomatik yarı-spam

4. Authentication — SPF + DKIM + DMARC zorunlu

Bu blok detaylı olarak SPF, DKIM, DMARC kurulum rehberi yazısında işlendi. Özetle:

Standart	Amaç	Şubat 2024 sonrası
SPF	”Bu IP benim adıma gönderebilir”	Zorunlu, 5K+ mail/gün
DKIM	”Bu mailin imzası bana ait”	Zorunlu, 5K+ mail/gün
DMARC	”SPF/DKIM uyumsuzlukta ne yapılsın”	Zorunlu (en az p=none monitoring), 5K+ mail/gün

Ek olarak:

• DKIM dual-sign (RSA + Ed25519) — modern hardening
• BIMI — DMARC enforcement sonrası logo görünürlüğü
• MTA-STS + TLS-RPT — taşıma güvenliği + raporlama

5. Praktik checklist

İlk kurulum

• Subdomain stratejisi: marketing + transactional ayrı
• SPF: tek satır, 10 lookup altında
• DKIM: 2048-bit RSA aktif; dual-sign opsiyonel
• DMARC: p=none monitoring 2 hafta
• PTR/rDNS: HELO hostname ile eşleşik

Warmup süreci

• Engaged audience belirlendi (son 30 gün)
• Kademeli hacim tablosu izleniyor
• Spam complaint daily monitor (%0.1 eşik)
• Hafta hafta hacim arttırma kararı sınanıyor

Sürekli izleme

• 17 RBL günlük tarama
• Sender Score haftalık
• Bounce rate günlük (%2 üstü → liste hijyen problemi)
• DMARC rua raporları haftalık review

Liste hijyeni

• Suppression list otomatik yönetiliyor
• 6 ay inactive contact’lar tag’lendi (sunset campaign veya suppression)
• Çift opt-in default (KVKK + ispat)
• Hard bounce 2 ardışıkta otomatik suppression

Sonuç

Inbox yerleşimi tek bir teknik trick değil, operasyonel disiplindir. Warmup + reputation + content + authentication eksenlerinin dördünde aynı anda iyi olmak gerekir. Bir tanesi zayıfsa diğer üçü onu kurtaramaz.

Sendnomi’de tüm bu metrikler panelden izleniyor; warmup sürecinde mühendislik desteği ENTERPRISE planında dahil. Mail-skoru testimizle başla →

— Yazılım Koçu