NIS2 Denetçisinin Bakacağı DNS: Sözleşme Metni Yetmez

NIS2 madde 21, “DMARC kurun” diye bir satır yazmaz. Hijyen, şifreleme, tespit ve tedarik zinciri ister. Denetçi politika dosyasını değil, dışarıdan gördüğü kaydı okur. Kayıt yoksa niyet metni kanıt olmaz.

Mağazanız kapsamda mı, Bulgaristan’da 17 Şubat 2026 yürürlüğü hosting sözleşmesine ne yazdırmalı: onu ayrı yazı anlatır. Bu yazı yalnızca sorgulanabilir DNS katmanıdır.

Dışarıdan görülen beş şey

• DMARC: p=none rapor toplar, sahte göndereni durdurmaz. Zorlayan politika p=quarantine veya p=reject ve okunan bir rua adresidir. Okunmayan rapor adresi tespit değildir.
• DKIM: İmza, madde 21’in şifreleme beklentisine bağlanan somut kayıttır. Anahtar DNS’te durur, mektup onu taşır.
• DNSSEC: Zone imzalı değilse, çözümleyen önbellek zehirlenmesine karşı bu katmanda kanıtınız yoktur. Açmadan önce imza zincirinin nameserver ile uyumunu deneyin; uyumsuz zincir siteyi düşürür.
• CAA: Sertifikayı hangi kuruluşun kesebileceğini kısıtlar. Herkese açık bırakmak, sizin kullanmadığınız bir CA’nın sizin adınıza kesmesini engellemez.
• SPF: Üçüncü parti gönderenler include ile duruyorsa, onuncu sorgudan sonrası permerror olur. Kırık SPF, “e-posta hijyeni var” cümlesini düşürür.

Ne kanıt sayılmaz

PDF’teki “DNS güvenlidir” cümlesi, dig ile görülen kaydın yerine geçmez. Hosting sözleşmesi yedek ve yeri anlatabilir. Sözleşme, sizin domain’inize DMARC yazmaz. Zone sizin hesabınızdaysa kayıt sizin işinizdir. EuroVDC nameserver’ı ns1.eurovdc.eu / ns2.eurovdc.eu yalnızca sizin yayınladığınız satırı dünyaya verir.

Satırın şekli kanıt değildir, canlı sorgu kanıttır

Denetçi örnek metin istemez. İstediği, o an çözülen kayıttır. Şekil şöyledir; kopyalamak sizi kapsamaz:

• DMARC: v=DMARC1; p=reject; rua=mailto:dmarc@sirket.com. p=none aynı satırın zorlamayan halidir.
• CAA: 0 issue "letsencrypt.org". Kullandığınız kuruluş buysa, başkası sizin adınıza kesmesin diye yazılır. Başka kuruluş kullanıyorsanız o ad yazılır.
• DNSSEC: imza zone’da, DS kaydı kayıt kuruluşundadır. Biri eksikse site “güvenlik açıldı” diye düşer. Önce test, sonra DS.

EuroVDC nameserver’ı bu satırları sizin girdiğiniz gibi yayınlar. Sözleşmeye yapıştırmak, sorguyu geçirmez.

Sıkça sorulan sorular

Küçük site de bunu yapar mı?

Kapsam, ciro ve sektör ile ilgilidir; onu diğer yazı ayırır. Kapsam dışındaysanız bile p=none sizi sahte postadan korumaz. Kayıt ucuz, bahane pahalıdır.

MTA-STS şart mı?

Madde 21 adını yazmaz. Gelen postanın şifresiz düşmesini istemiyorsanız, TXT ve /.well-known/mta-sts.txt birlikte yayınlanır. Yalnızca TXT yetmez.

DNSSEC’i hemen açayım mı?

Zincir nameserver ile aynı anda hazırsa evet. Yarım imza, siteyi “güvenlik için” düşürür. Önce test, sonra DS kaydı.

Denetçi EuroVDC paneline mi girer?

Görmek istediği şey çoğu zaman panel değil, herkesin sorgulayabildiği kayıttır. Kaydı siz yayınlarsınız.