Email Security

Sıkça sorulan sorular

Email Security ile Email Routing aynı şey mi?

Hayır, ve bu karışıklık sık. Email Security mevcut posta sağlayıcının (Microsoft 365, Google Workspace) üstüne binen gelen posta tehdit denetimi; mesajlara disposition atıyor, Cloudflare One/SASE ürünü ve Contract eklentisi. Email Routing ise artık Cloudflare Email Service içinde bir özellik: gelen postayı Workers'a ya da başka adreslere yönlendiriyor, tehdit kararı üretmiyor, Workers Free ve Paid planlarında. Doküman kökü de taşındı: developers.cloudflare.com/email-routing/ bugün 301 ile /email-service/'e gidiyor. Üçüncü bir ürün daha var, karıştırma: DMARC Management yalnızca DMARC raporlarını topluyor.

Kaç disposition var?

Beş: Malicious, Spam, Bulk, Suspicious, Spoof. Kritik kural birebir: “Each message will receive only one disposition header.” Bir mesajın birden çok detection'ı olabilir ama tek final disposition'ı olur. “Clean” bir disposition değil — yalnızca submission sırasında seçebildiğin bir yeniden sınıflandırma hedefi. Bir uyarı: doküman listeyi “order of maliciousness” diye sunuyor ama sıra Malicious → Spam → Bulk → Suspicious → Spoof; yani Spam ve Bulk, Suspicious'ın önünde. Bunu bir öncelik hiyerarşisi gibi kullanma.

Mesajın Email Security'den geçtiğini nasıl anlarım?

Ham başlıklarda X-CFEmailSecurity-Disposition ara. Troubleshooting dokümanı false-negative kontrolünde bunu birinci adım olarak veriyor: başlık yoksa mesaj Email Security'den hiç geçmemiştir ve sorun tespit değil, yönlendirmedir. Bir tuzak: SPAM disposition'ı başlıkta UCE olarak yazılıyor (unsolicited commercial email), SPAM olarak değil. Ayrı bir başlık daha var: X-CFEmailSecurity-Attribute — ve bu birden çok değer taşıyabiliyor: CUSTOM_BLOCK_LIST, NEW_DOMAIN_SENDER=<tarih>, NEW_DOMAIN_LINK=<tarih>, ENCRYPTED, EXECUTABLE, BEC.

Teslim edilmiş bir mesajı geri çekebilir miyim?

Dağıtım moduna bağlı. MX/Inline zaten teslimattan önce durduruyor — geri çekme değil, önleme. API ve BCC/Journaling post-delivery çalışıyor ve geri çekme auto-moves ile yapılıyor. Beş aksiyon var: Soft delete (“only available for Microsoft 365 customers”), Hard delete (yalnızca yönetici kurtarabiliyor), Move to trash (“only available for Google Workspace users”), Move to junk, No action. Ama saf API modunun sert bir sınırı var, birebir: “Messages cannot be modified or quarantined.” BCC/Journaling'de de şart var: “Auto-move is only available in BCC/Journaling if you associate an integration.”

Hangi dağıtım modu en güçlü koruma veriyor?

MX/Inline. Birebir: “Pre-delivery deployment provides you with the highest level of protection.” Yalnızca bu modda mümkün olanlar: mesajı fiziksel olarak engelleme, konu/gövde işaretlemesi ekleme, link actions (şüpheli bağlantıyı uzak tarayıcıda açma ya da URL defang), yüksek erişilebilirlik ve adaptive message pooling, engellenmemiş mesajlara X-header ekleyip downstream'de ileri işleme. Sağlayıcı bazında mod matrisi de dar: Microsoft 365 → API ve MX; Google Workspace → BCC ve MX; diğer herkes → yalnızca MX.

MX kesişini nasıl yapmalıyım?

İki resmî hazırlık adımı var ve ikisi de atlanınca posta kesiliyor. Bir: TTL — birebir “Cloudflare recommends to decrease the TTL to five minutes (also known as Auto) 3 to 5 days prior to the planned MX record change.” İki: downstream sağlayıcıda Cloudflare'in egress IP'lerini allowlist'e almak — birebir: “…needs to be configured to accept connections from these addresses, otherwise it will reject the messages as coming from an unauthorized sender.” Kurulumda ayrıca konum seçiyorsun: Sit first (hop count = 1) ya da Sit in the middle (hop count > 1). Ve bir kısıt: “You can only onboard one domain at a time.”

Microsoft 365 kullanıyorum, egress IP listesinde tuzak var mı?

Evet ve sessizce patlıyor. Birebir: “Microsoft 365 does not support IPv6 addresses or the following IPv4 ranges: 104.30.32.0/19, 134.195.26.0/23. If you use Microsoft 365, use the individual /24 blocks (256 addresses each) listed in Microsoft 365 /24 addresses instead.” Yani genel listedeki iki geniş bloğu M365'e olduğu gibi giremiyorsun; dokümandaki tek tek /24'leri girmen ve IPv6 aralığını atlaman gerekiyor. Genel liste: 52.11.209.211, 52.89.255.11, 52.0.67.109, 54.173.50.115, 104.30.32.0/19, 158.51.64.0/26, 158.51.65.0/26, 134.195.26.0/23, 35.157.195.63, 52.58.35.43, IPv6 2405:8100:c400::/38.

Meşru bir gönderici Malicious işaretleniyor; Accept sender yeter mi?

Hayır — ve bu sayfadaki en pahalı yanlış anlama. Birebir: “Accept sender creates exceptions for messages that would otherwise be marked as spam, bulk, or spoof. However, Email security will continue to scan the message for maliciousness.” Üç allow policy aksiyonunun kapsamı farklı: Trust sender — “Messages will bypass all detections and link following”; Exempt recipient — “Message to this recipient will bypass all detections”; Accept sender — yalnızca üç disposition. Phishing simülasyonu gibi tam muafiyet gereken durumlarda Trust sender kullan.

Her yerde allow policy kurabilir miyim?

Hayır, doküman bir durumda açıkça yasaklıyor. Kurum içinde kullanılmayan bir üçüncü taraf sağlayıcıdan (Shopify, PayPal, DocuSign gibi) gelen mesajlar için birebir: “1. Create a team submission. 2. Inform your Cloudflare contact about the escalation. 3. Do not set up allow policies or blocked senders. In this use case, configuring allow policies will create a security gap.” Genel ilke de aynı yönde: “allow policies should be defined with the narrowest possible scope.” Ve bir uyarı: “Do not use email addresses or email domains for this policy as they can be easily spoofed without Sender Verification (Recommended) enabled.”

Şüpheli bağlantılar uzak tarayıcıda açılıyor mu?

MX/Inline'da evet, üstelik varsayılan açık. Birebir: “Open links evaluated as suspicious in a remote browser (Recommended). This option is turned on by default.” Kapatırsan her disposition için URL defang ya da No action seçebiliyorsun. İzole oturumda yasaklananlar: kopyalama (uzaktan cihaza), yapıştırma, klavye kullanımı, yazdırma, dosya indirme ve yükleme. 2025-08-07'de kapsam genişledi: artık yalnızca şüpheli bağlantılar değil, seçtiğin bir disposition'ın tüm bağlantıları izole edilebiliyor ve “the link will be recrawled live”. Bu genişletme yalnızca Enterprise ve Enterprise + PhishGuard paketlerinde. Ignore pattern alanı 512 karakter ile sınırlı.

Ekleri de izole tarayıcıda açabilir miyim?

Kısmen. Birebir: “You can open attachments in Browser Isolation. Only PDF files are currently supported.” İki ön koşul var: Zero Trust ayarlarında “Allow users to open a remote browser without the device client” açık olmalı ve Browser Isolation koltuğu atanmış olmalı. Bilinen bir hata da belgeli: “You may encounter a 400 Bad Request error after turning Clientless Web Isolation on.”

Tespit nasıl çalışıyor — imza mı, model mi?

Saldırı tipine göre farklı ve doküman 18 tipi tek tek sayıyor. Öne çıkanlar birebir: ekli zararlı yük için “ML models on binary bitmaps of the payload… the engine invokes a real-time sandbox to assess behavior”; şifreli ekte parola gövdede görselse “real-time OCR parsing of message body for password extraction”; QR kod (quishing) için “Resolving for images resembling QR codes into URL”; credential harvester için “computer vision on top brand lures”; domain spoof için “homographic analysis, and punycode manipulation assessments”; yönetici taklidi için “including the Levenshtein algorithm”; teslimde temiz, sonra silahlanan URL için “URL rewrites and/or DNS blocks”. Bir sınır: “Certain URL rewrite schemes cannot be decoded (for example, Mimecast).”

Domain yaşı eşiklerini kaça ayarlamalıyım?

Cloudflare kendi önerisini yazıyor. Birebir: “Malicious domain age: Controls the threshold for a malicious disposition. Maximum of 100 days. It is recommended to set the Malicious domain age to 7 days.” ve “Suspicious domain age: … Maximum of 100 days. It is recommended to set the Suspicious domain age between 30 and 45 days.” Aynı ek tespit grubunda blank email detection, ACH change from free email detection ve HTML attachment email detection de var.

E-postalarım nerede işleniyor? Türkiye seçebilir miyim?

Hayır. Bölge listesi birebir dört: US, Germany, India, Australia. Türkiye yok — pozitif kontrol olarak aynı sayfada Germany, India ve Australia geçiyor, turkey araması sıfır sonuç veriyor. İki kısıt daha: “Regional processing is only available for customers who deploy Email security via MX/Inline or BCC/Journaling” ve “You do not need Data Localization Suite with Email security to choose the different locations.” Yani Email Security'nin veri ikametgâhı DLS ile değil, bu dört bölgeli kendi ayarıyla yönetiliyor — nitekim DLS uyumluluk tablosunun Zero Trust bölümünde Email Security satırı hiç yok (pozitif kontrol: aynı bölümde Access, Browser Isolation, CASB, Tunnel, DEX, DLP, Gateway satırları var).

Cloudflare mesajlarımı ne kadar saklıyor?

UNVERIFIED — ve bu bilinçli bir cevap. 61 Email Security doküman sayfasında retention kelimesi sıfır kez geçiyor; pozitif kontroller aynı gövdede Retro Scan 14 ve quarantine 148 eşleşme veriyor, yani arama çalışıyor. Cloudflare One log saklama tablosunda da Email Security satırı yok (pozitif kontrol: Access, DNS, Network, HTTP, DEX, Device posture satırları var). Tuzak: dokümanda altı kez geçen “Retain spam in quarantine for this many days: Default is 15 days” satırı Cloudflare'in saklama süresi değil — MX kurulumunda Microsoft 365 / Google Workspace'in kendi anti-spam politikasını ayarlama talimatı.

Ücretsiz denemek mümkün mü?

Sınırlı biçimde, Retro Scan ile. Birebir: “Cloudflare scans up to 14 days of emails in your Microsoft 365 mailbox…” ve “Retro Scan is only available for Microsoft 365 accounts.” Detay sayfası “lists up to 1,000 emails”. Google Workspace ya da on-prem kullanıyorsan bu yol kapalı.

Fiyatı ne?

Yayımlanmıyor. cloudflare.com/plans/ SASE tablosunda Email Security satırı: Free yok, Pay-as-you-go yok, Contract “Add-on”. Yani hiçbir self-servis kademede bulunmuyor. Üç paket var: Advantage, Enterprise, Enterprise + PhishGuard. Ürün sayfaları “Contact sales” ile bitiyor ve içlerinde tek bir $ geçmiyor. Dikkat: eski cloudflare.com/plans/zero-trust/ URL'i artık 404; SASE fiyatlandırması /plans/ sayfasının SASE sekmesine taşındı.

PhishGuard nedir, neyi zorunlu kılıyor?

Birebir: “PhishGuard is a team of analysts that routinely inspects your email environment and responds to threats that come through your email inbox.” İki sert kısıtı var: “PhishGuard only works on a post-delivery environment.” ve “Auto-moves are mandatory for PhishGuard customers.” Yani saf MX/Inline kurulumunda PhishGuard çalışmıyor; bir entegrasyon bağlaman gerekiyor.

Toplu işlem sınırları neler?

Bir seferde 1.000 mesaj taşınabiliyor. Dışa aktarımda ikili sınır var, birebir: “You can export up to 500 messages from the dashboard. To export up to 1,000 matching messages, use the API.” Investigations API 2026-03-15'te genişledi: “now returns up to 10,000 records per page (up from 1,000), with no cap on total result volume across pages” — ama aynı changelog ekliyor: “Bulk actions initiated from the dashboard remain capped at 1,000 messages per action.” CSV yüklemeleri (allow policies, blocked senders, impersonation registry) 150 KB ile sınırlı.

Giden postada DLP yapabiliyor mu?

Evet ama dar bir kapıdan. Birebir: “Outbound DLP is only compatible with Microsoft 365. You need to have Microsoft E3 or E5 license to enable Outbound DLP.” Çalışma biçimi bir Outlook eklentisi: “The add-in works by inserting headers into the EML on the client side before the message is sent out.” Ve yayılma süresi: “The Cloudflare add-in can take up to 24 hours to propagate after install.” Platform desteği çok eşit değil — web istemci ve yeni Outlook Windows Stable; macOS masaüstünde tarama gecikebiliyor; eski Outlook masaüstü istemcisinde hiç çalışmıyor; iOS ve Android unstable.

Ücretsiz CASB entegrasyonu geliyor mu?

Evet, iki tane. Birebir: “With Email security, you get two free CASB integrations. Use one SaaS integration for Email security to sync with your directory of users, take actions on delivered emails, automatically provide EMLs for reclassification requests for clean emails, discover CASB findings and more. With the other integration, you can have a separate SaaS integration for CASB findings for another SaaS provider.” Entegrasyon tipleri Google Workspace CASB + EMAIL ya da Microsoft CASB + EMAIL. Yalnızca Enterprise ve Enterprise + PhishGuard paketlerinde. Ayrıntı: CASB.

Yanlış sınıflandırmayı nasıl bildiririm?

Submission ile — 2025-12-03'te adı değişti, birebir: “We have updated the terminology ‘Reclassify’ and ‘Reclassifications’ to ‘Submit’ and ‘Submissions’ respectively.” Üç tip var: team submissions, user submissions, invalid submissions. Bildirmenin üç yolu: Investigation ekranından, PhishNet 365 eklentisiyle, ya da submission address'e ileterek. İki önemli ayrıntı: disposition Malicious'a yükseltilirse “Cloudflare auto-moves those emails out of every inbox”; ama “To respect data sanctity, providing a submission does not change the original disposition of the emails submitted.” — yani gönderdiğin mesajın kendi kaydı değişmiyor, model besleniyor.