Kurumsal E-Posta Altyapısı Google ve Microsoft Ekseninde Merkezileşiyor
Şirketlerin kendi altyapısında tuttuğu e-posta sistemlerinin oranı son 10 yılda yarı yarıya azalırken Google ile Microsoft kurumsal e-posta pazarındaki ağırlığını artırıyor. Artem Berezin’in 2016-2026 dönemini kapsayan DNS verileri, en popüler 1 milyon alan adında kendi posta sunucusunu çalıştıranların oranının yüzde 44,6’dan yüzde 22,4’e gerilediğini gösteriyor. Google Workspace yüzde 21,8, Microsoft 365 ise yüzde 16,8 oranıyla öne çıkarken iki platformun birlikte tespit edilebilen MX kayıtlarının yüzde 38,6’sını oluşturduğu görülüyor.
E-Posta Altyapısında Bağımsız Sunucuların Payı Hızla Geriliyor
University of Twente, SURFnet ve SIDN Labs tarafından yürütülen OpenINTEL projesinin günlük DNS verilerini inceleyen Artem Berezin, e-posta altyapısındaki değişimi alan adı kayıtları üzerinden takip ediyor. Araştırmacı, OpenINTEL tarafından tutulan günlük forward-DNS görüntülerini Tranco’nun en popüler alan adları listesiyle birleştirerek dünyanın en yoğun kullanılan 1 milyon alan adının e-posta yapılarını sınıflandırıyor.
DNS üzerindeki MX kaydı, bir alan adının gelen e-postaları hangi posta sunucusuna yönlendirdiğini gösterirken SPF kaydı hangi sunucuların ilgili alan adı adına mesaj gönderebileceğini belirliyor. DMARC kaydı ise kimlik doğrulaması başarısız olan mesajların alıcı sistem tarafından nasıl işleneceğini tanımlıyor. Berezin, söz konusu kayıtları posta sağlayıcıları, gönderim platformları ile SaaS uygulamalarına ait açık veri kümeleriyle eşleştirerek e-posta hizmetlerinin dağılımını ortaya çıkarıyor.
Veriler, 2016 yılında en popüler 1 milyon alan adının yüzde 44,6’sının kendi posta sunucusunu işlettiğini gösteriyor. Aynı ölçüm 2026 yılında yüzde 22,4’e gerilerken araştırmacının son 30 günlük verileri bağımsız sunucuların payında yaklaşık yarım puanlık yeni bir düşüş yaşandığına işaret ediyor.
Google Workspace, tespit edilebilen MX kayıtlarının yüzde 21,8’ini oluştururken Microsoft 365 yüzde 16,8’lik paya ulaşıyor. İki büyük sağlayıcının toplam yüzde 38,6’lık oranı, kurumsal e-posta hizmetlerinin giderek daha az sayıda teknoloji şirketinin altyapısında toplanması anlamına geliyor.
Kurumsal e-posta hizmetleri açısından söz konusu dönüşüm, şirketlerin sunucu işletme, güvenlik güncellemesi, yedekleme, spam filtreleme ile teslim edilebilirlik gibi operasyonel sorumluluklarının önemli bölümünü hizmet sağlayıcılara devretmesini sağlıyor. Özellikle küçük BT ekipleri için Microsoft 365 veya Google Workspace kullanımı, Postfix gibi açık kaynaklı posta sunucularını kurup küresel ölçekte güvenilir gönderim sağlayacak şekilde yönetmekten daha düşük operasyon yükü sunuyor.
Postfix kullanan bağımsız bir e-posta sunucusunun büyük sağlayıcılara mesaj ulaştırması ise yalnızca SMTP bağlantısının kurulmasına bağlı kalmıyor. Google ile Microsoft tarafından uygulanan itibar, kimlik doğrulama, spam ve kötü amaçlı içerik filtreleri, yeni bir posta sunucusunun yüksek hacimli gönderimlerde güvenilirlik kazanmasını zorlaştırabiliyor.
E-posta kimlik doğrulamasında DMARC kullanımı artmasına rağmen kayıtların önemli bir bölümü mesajları gerçekten engelleyen politikalar uygulamıyor. Berezin’in analizine göre DMARC kayıtlarının yarısından fazlası geçerli bir yaptırım politikası içermiyor veya yalnızca mesajları izleyerek raporlama yapıyor.
Google ile Yahoo’nun 2024 yılında toplu e-posta gönderen kuruluşlar için DMARC kullanımını da içeren yeni gereklilikler getirmesi, alan adı sahiplerinin kimlik doğrulama yapılarını güçlendirmesini amaçlıyordu. Araştırmanın ortaya koyduğu düşük uygulama oranı ise DNS üzerinde bir DMARC kaydının bulunmasıyla söz konusu politikanın gerçekten uygulanması arasında önemli bir fark olduğunu gösteriyor.
DMARC politikasının p=none seviyesinde tutulması, alan adı sahibine kimlik doğrulama sonuçlarını izleme imkânı verirken sahte mesajların reddedilmesini zorunlu kılmıyor. Daha sıkı politikalar olan quarantine veya reject ise başarısız doğrulama sonuçlarına karşı alıcı sistemlere daha belirgin işlem talimatları gönderiyor. Kurumların DMARC politikasını yalnızca yayınlamak yerine doğru yapılandırması, alan adı taklidine dayalı kimlik avı saldırılarına karşı e-posta güvenliğinin temel unsurlarından biri olarak öne çıkıyor.
Google Workspace ile Microsoft 365’in toplam payının yüzde 38,6’ya ulaşması, iki sağlayıcıdaki teknik veya politika değişikliklerinin geniş bir kullanıcı grubunu aynı anda etkileyebilmesi anlamına geliyor. Bir hizmet kesintisi, spam filtreleme politikasındaki değişiklik veya yeni gönderim kuralları, çok sayıda bağımsız işletmenin e-posta iletişimini aynı anda etkileyebilecek bir bağımlılık oluşturabiliyor.
E-posta altyapısındaki merkezileşme CDN sistemlerinden farklı bir risk taşıyor çünkü başarısız bir mesaj tesliminin her zaman alternatif bir dağıtım yoluna yönlendirilmesi gerekmiyor. Alıcı sistem bir mesajı reddettiğinde gönderici tarafın yeniden teslim denemesi yapabilmesi SMTP tasarımına bağlı olsa da kalıcı ret durumunda mesajın kullanıcıya ulaşmaması doğrudan iletişim kaybı yaratabiliyor.
Türkiye’deki şirketler açısından da kurumsal e-posta sağlayıcısının seçimi yalnızca lisans maliyeti üzerinden değerlendirilmiyor. Microsoft 365 veya Google Workspace kullanan kurumların DNS yapılandırması, SPF, DKIM ve DMARC politikaları, üçüncü taraf gönderim servisleri ile yedek iletişim planlarını birlikte ele alması, sağlayıcı merkezileşmesinin operasyonel risklerini azaltmak açısından önem taşıyor.
E-posta altyapısındaki dönüşümün önümüzdeki yıllarda tamamen bağımsız sunucuların ortadan kalkması anlamına gelmesi beklenmiyor ancak ekonomik ve teknik baskılar daha fazla kuruluşu büyük sağlayıcılara yönlendiriyor. Artem Berezin’in günlük DNS verilerini izlemeye devam etmesi, bağımsız posta sunucularının azalması ile sağlayıcı yoğunlaşmasının hangi noktada internetin iletişim dayanıklılığı açısından sistemik bir risk oluşturacağını ölçmek için daha geniş bir veri seti sağlayabilir.
