IMAP Nedir, POP3 Nedir? Aralarındaki Fark

IMAP ile POP3 arasındaki fark bir hız ya da güvenlik farkı değil, durumun nerede tutulduğu farkıdır. IMAP postayı sunucuda tutar ve mail programınıza onun bir görüntüsünü verir; POP3 ise postayı indirip cihazınıza taşır ve geleneksel olarak sunucudaki kopyayı siler. Diğer bütün farklar, tercih tavsiyeleri ve sahada yaşanan arızalar bu tek ayrımdan türer.

İkisi de yalnızca alma tarafında çalışır. Gönderme işini yapan protokol farklıdır ve onu SMTP nedir rehberimizde ele alıyoruz. Bir mail programı kurarken iki ayrı sunucu adresi girmenizin sebebi tam olarak bu ayrımdır.

Bu yazı ikisinin nasıl çalıştığını anlatıyor, ama tanımla bırakmıyor: hangisini seçeceğinize dair karar kuralını, kota dolduğunda ne olduğunu, POP3’ten IMAP’a geçişin neden bir ayar değişikliği olmadığını ve gerçek bir sunucuya şifresiz bağlanınca ne konuşulduğunu aşağıda bulacaksınız.

Acele ediyorsanız iki yere doğrudan gidebilirsiniz: karşılaştırma tablosu ve karar kuralı, ya da gelmeyen bir maili hangi sırayla daraltacağınız.

Bu makale kurumsal ağ protokolleri rehberimizin e-posta koluna odaklanır.

Konuyu tek bir yerden anlatacağım: bir otogarın varış holü. Yolculuk bitmiş, bagajlar gelmiştir. Bundan sonrası tek bir soruya bakar: bagaj emanet dolabında mı kalacak, yoksa sahibi gelip alıp dolabı boşaltacak mı? IMAP ile POP3 arasındaki bütün fark, bu iki davranışın protokole kazınmış halidir.

Analojinin koptuğu yer şurası: otogarda bagajı dolaptan almak onu yok etmez, yalnızca sahibine geçirir; bagajın zaten ikinci bir kopyası yoktur ve kimse de beklemez. E-postada ise durum tersidir: kopya olabilirdi, ve POP3 onu bilerek bırakmaz. Yani dolabı boşaltmak sadece teslim almak değil, aynı zamanda sunucudaki tek yedeği silmektir. Bu makaledeki arşiv tartışmasının tamamı bu tek farktan doğuyor.

IMAP Nedir? Postayı Sunucuda Tutan Protokol

IMAP (Internet Message Access Protocol), posta kutunuzu sunucuda tutan ve mail programınıza onun bir görüntüsünü veren protokoldür. Mail sunucudan taşınmaz, orada durur; siz ona bakarsınız. Protokolün güncel sürümü IMAP4rev2’dir ve Ağustos 2021 tarihli RFC 9051 ile tanımlanır.

Otogardaki emanet dolabı gibi. Bagajınız dolapta durur, siz gidip bakabilir, bir tanesini alabilir, yenisini koyabilirsiniz. Dolabın içindekiler ne yaparsanız yapın orada kalır ve dolap kimin olduğunu bilir.

Mekanizması tek cümlede şu: durum sunucuda tutulur. Bir mesajın okunmuş olup olmadığı, hangi klasörde durduğu, bayraklanıp bayraklanmadığı, silinip silinmediği; hepsi sunucudaki bir kayıt. Mail programınız bu durumu okur ve ekrana çizer, kendi başına bir gerçeklik üretmez.

Bunun günlük sonuçları doğrudan hissedilir:

• Telefondan okuduğunuz bir mail, bilgisayarı açtığınızda da okunmuş görünür.
• Bilgisayarda açtığınız bir klasör telefonda da vardır.
• Bir maili sildiğinizde bütün cihazlarınızdan silinir.
• Yeni bir cihaz eklediğinizde geçmişiniz oraya kendiliğinden gelir, hiçbir şey taşımanız gerekmez.

Bedeli ise kotadır. Mail sunucuda durduğu için sunucuda yer kaplar ve posta kutusu dolduğunda yeni mail kabul edilmez. Bu durumda gönderen taraf bir 4xx ya da 5xx cevabı alır, yani sorun aslında alıcı tarafta olduğu halde şikâyet gönderenden gelir. Kurumsal ortamda “bana mail atamıyorlar” diyen kullanıcının posta kutusu doluluğuna bakmak, teşhis listesinin üst sıralarında olmalıdır.

POP3 Nedir? İndirip Sunucudan Silen Protokol

POP3 (Post Office Protocol sürüm 3), maili sunucudan indirip yerel makinenize taşıyan protokoldür. Geleneksel davranışı, indirdikten sonra sunucudaki kopyayı silmektir. Protokolün tanımı Mayıs 1996 tarihli RFC 1939 belgesidir.

Otogarda bagajı emanetten alıp dolabı boşaltmaya karşılık gelir. Bagaj artık sizin elinizde, dolap boş. Dolaba tekrar bakmanın anlamı yok.

Mekanizması IMAP’ın tam tersi: durum istemcide tutulur. Sunucu yalnızca teslim edilmeyi bekleyen bir sıra tutar. Hangi mailin okunduğu, nasıl klasörlendiği, silinip silinmediği; hepsi indiren makinenin diskinde. Sunucunun bundan haberi yoktur.

Modern mail programlarında “sunucuda bir kopya bırak” diye bir seçenek vardır ve bu, sorunun bir kısmını yumuşatır: mail sunucuda kalır, yani ikinci bir cihaz da indirebilir. Ama okundu bilgisi, klasör yapısı ve silme işlemi hâlâ eşitlenmez. İki cihazdan bakan bir kullanıcı aynı maili iki kez okur, birinde sildiğini diğerinde tekrar görür. Yani seçenek kotayı korur, deneyimi düzeltmez.

POP3’ün hâlâ anlamlı olduğu yerler dar ama gerçek:

• Tek bir bilgisayardan çalışılan, ikinci bir cihazı hiç olmayan bir hesap
• Sunucu kotası çok dar olan ve arşivin yerelde tutulması gereken bir kurulum
• Maili alıp işleyen, insan tarafından okunmayan bir uygulama hesabı

Bunların dışında POP3 seçmek, bugün çoğunlukla eski bir kurulumun devam ettirilmesinden ibarettir.

IMAP ve POP3 Farkı: Hangisini Seçmelisiniz?

IMAP ile POP3 arasındaki fark bir hız ya da güvenlik farkı değil, durumun nerede tutulduğu farkıdır. Diğer bütün farklar bundan türer.

Karar kuralı kısa: yeni bir kurulumda IMAP seçin. POP3’ü yalnızca yukarıdaki üç dar senaryodan birindeyseniz düşünün.

Bir uyarıyı da buraya koyalım, çünkü sahada pahalıya patlıyor: yıllardır POP3 kullanan bir hesabı IMAP’a çevirmek bir ayar değişikliği değil, bir taşıma projesidir. O hesabın bütün geçmişi tek bir bilgisayarın diskindedir; ayarı çevirdiğinizde sunucuda bulacağınız tek şey son birkaç maildir. Geçmişi taşımak, yerel arşivin yeni posta kutusuna aktarılmasını gerektirir ve bu iş klasör yapısı, tarih alanları ve boyut sınırları yüzünden düşünüldüğünden uzun sürer. Kararı vermeden önce o diskteki arşivin boyutuna bakın.

IMAP ve POP3 Portları: 143, 993, 110 ve 995

Her iki protokol de hem şifresiz hem şifreli bir portta çalışabilir, ve bugün kullanılması gereken portlar şifreli olanlardır.

Bir mail programı yapılandırırken gelen sunucu için doğru cevap neredeyse her zaman 993, giden sunucu için 587 olur. Sağlayıcınız başka bir şey belgeliyorsa onun belgesi kazanır.

143 ile 993 arasındaki fark şifrelemenin ne zaman başladığıdır: 993 ilk saniyeden şifreli kurulur, 143 düz metin başlar ve ancak istemci STARTTLS komutunu verirse şifreliye döner. Aynı ikilik LDAP tarafında da var ve çerçevesi LDAPS ile StartTLS ayrımında kurulu. Port kavramının kendisi ve bir portun açık olup olmadığını nasıl ölçeceğiniz ise port numaraları ve TCP ile UDP farkı makalesinde ele alınıyor.

Ölçüm: Şifresiz Bir IMAP Bağlantısında Ne Oluyor?

Sahada 143 numaralı port için sık verilen cevap şudur: “açık bırakılırsa parola düz metin geçer.” Ölçtüm, ve gerçek bunun biraz daha incesi çıktı: parola düz metin geçmiyor, çünkü sunucu onu almayı baştan reddediyor.

Yandex’in 143 numaralı portuna şifresiz bağlanıp önce yeteneklerini sordum, ardından sahte bir kimlikle giriş denedim. Dökümü okurken iki şeye bakın: yetenek listesinde ne yazdığına ve giriş denemesinin hangi gerekçeyle reddedildiğine.

* CAPABILITY IMAP4rev1 UIDPLUS ID UNSELECT CHILDREN NAMESPACE STARTTLS LOGINDISABLED AUTH=XOAUTH2
a2 BAD [PRIVACYREQUIRED] LOGIN Working without SSL/TLS encryption is not allowed

Satır satır ne oldu:

1. Sunucu yetenek listesini düz metin sıraladı: bağlantı henüz şifreli değildi ve bu satır ağdan geçen herkesin okuyabileceği haldeydi.
2. Listenin ilk kelimesi IMAP4rev1: sunucu protokolün güncel sürümünü değil, bir öncekini konuşuyor. O sürümün tanımı Mart 2003 tarihli RFC 3501 belgesidir.
3. Listede STARTTLS var, yani “şifrelemeye geçebiliriz” diyor.
4. Aynı listede LOGINDISABLED var. Bu, sunucunun şifresiz girişi baştan kapattığını ilan etmesi; istemci daha denemeden bunu okuyabilir.
5. Sahte kimlikle yaptığımız deneme BAD ile reddedildi ve gerekçe açıkça yazıldı: şifreleme olmadan çalışmaya izin yok.

POP3 tarafında da aynı kalıp geçerli. 110 numaralı porta bağlandığımızda sunucu yine düz metin karşıladı ve yetenekleri arasında STLS bulunuyordu, yani POP3’ün STARTTLS karşılığı.

Buradan çıkan operasyonel ders şu: yetenek listesi şifrelenmeden önce okunduğu için, bir saldırganın bağlantıyı izlemesi durumunda hesabın hangi kimlik doğrulama yöntemlerini desteklediğini görmesi mümkündür. Sunucu parolayı korumuş olur, ama bağlantının ilk yarısı yine de bilgi verir. Doğru yapılandırma bu yüzden “şifresiz porta izin ver ama parolayı reddet” değil, doğrudan 993 kullanmaktır; şifreleme o zaman ilk pakette başlar.

143 ve 110 Kapalı mı, Yoksa Kimse Cevap mı Vermiyor?

Aynı portları ölçerken kolayca yanlış bir sonuca varılıyor, ve bu ölçümü tekrarlayacak herkesin bilmesi gereken bir tuzak.

Gmail üzerinde 143 ve 110 numaralı portları taradığınızda ikisi de zaman aşımına düşer. Buradan “servis sağlayıcı bunları da kapatmış” sonucu çıkar ve yanlıştır. Başka hedeflerle ölçtüm:

Portlar açık. Google o portlarda hiçbir hizmet sunmuyor, o kadar. Zaman aşımı “engellendi” demek değildir, “cevap veren yok” demektir; ve bu ikisini ayırmanın tek yolu birden fazla hedefle ölçmektir. Tek bir sunucuya bakıp ağ hakkında hüküm vermek, bu makaledeki en kolay hatadır.

Yeni Mail Neden Anında Düşüyor?

IMAP’ta yeni mailin telefonunuza saniyeler içinde düşmesinin sebebi, istemcinizin sunucuyu sürekli sorgulaması değil, sunucunun istemciyi çağırabilmesidir. Bunu sağlayan mekanizmanın adı IMAP IDLE.

Klasik yöntemde istemci belirli aralıklarla sunucuya “yeni bir şey var mı?” diye sorar. Bu yöntem iki maliyet üretir: aralık kısaysa pil ve veri tüketilir, aralık uzunsa mail geç görünür. IDLE bu dengeyi ortadan kaldırır. İstemci bağlantıyı açık bırakır ve sunucuya “beklemedeyim, bir şey olursa haber ver” der; sunucu yeni mail geldiğinde aynı açık bağlantıdan haber verir.

Otogar benzetmesiyle: emanet görevlisine her on dakikada bir “benim için bir şey geldi mi?” diye sormak yerine, telefon numaranızı bırakırsınız. Gelince o arar.

POP3’te bunun karşılığı yoktur. POP3 istemcisi bağlanır, bekleyen maili indirir ve bağlantıyı kapatır; sunucunun onu çağırabileceği açık bir kanal kalmaz. Bu yüzden POP3 kullanan bir hesapta “yeni mail” her zaman istemcinin sorgulama aralığı kadar gecikir. Sahada “telefonuma mailler geç geliyor” şikâyetinin en sık sebeplerinden biri budur ve ayar değil protokol seçimidir.

IMAP’ta Posta Kutusu Dolunca Ne Olur?

IMAP’ın bedeli kotadır ve kota dolduğunda arızanın yanlış tarafta görünmesi, bunu teşhis listesinde üst sıraya taşıyan şeydir.

Mekanizma şöyle işler: mail sunucuda durduğu için sunucuda yer kaplar. Kutu dolduğunda alıcı sunucusu yeni mesajı kabul edemez ve gönderen tarafa bir hata kodu döner. Kod 4 ile başlıyorsa gönderen sunucu maili kuyruğa alıp tekrar dener, 5 ile başlıyorsa vazgeçer ve gönderene teslim edilemedi bildirimi gider.

Sonuç şu olur: sorun sizin kullanıcınızın kutusundadır, ama şikâyet karşı taraftan gelir. Kullanıcı “bana mail atamıyorlar” der, gönderen ise elinde bir hata mesajıyla oturur. İki taraf da arızanın kendi tarafında olmadığını düşünür.

Pratik kural: bir kullanıcı için “mail gelmiyor” şikâyeti geldiğinde, port ve kimlik doğrulama kontrolünden önce kutu doluluğuna bakın. Ölçmesi saniyeler sürer ve arızaların azımsanmayacak bir kısmını orada kapatırsınız.

POP3’te bu sorun büyük ölçüde yoktur, çünkü indirilen mail sunucudan silinir ve kutu kendiliğinden boşalır. Ama bu bir avantaj değil, bir takas: kotayı korurken arşivi tek bir diske bağlar. O disk bir kez gittiğinde yıllık yazışma da gider, ve bu tam olarak veri yedekleme ve felaket kurtarma planının kapsaması gereken bir risktir.

POP3’ten IMAP’a Geçiş Neden Bir Taşıma Projesidir?

Yıllardır POP3 kullanan bir hesabı IMAP’a çevirmek bir ayar değişikliği değildir, çünkü o hesabın geçmişi sunucuda değildir.

Mekanizma zaten anlatıldı: POP3 maili indirir ve sunucudaki kopyayı siler. Dolayısıyla beş yıllık bir arşiv, o hesabın kurulu olduğu bilgisayarın diskinde bir yerel dosyada durur. Ayarı IMAP’a çevirdiğinizde sunucuda bulacağınız tek şey, geçişten sonra gelen maillerdir.

Geçiş şu adımları gerektirir:

1. Yerel arşivin boyutunu ölçün. Bu sayı, geçişin ne kadar süreceğini ve yeni posta kutusunun kotasının yetip yetmeyeceğini birlikte belirler.
2. Yeni posta kutusunun kotasını doğrulayın. Arşiv kotadan büyükse geçiş yarıda kalır ve kullanıcı bunu ancak eksik klasörleri fark ettiğinde anlar.
3. Arşivi yeni kutuya aktarın. Mail programının kendi aktarım aracı çoğu durumda yeter, ama klasör yapısı korunuyor mu diye örnekleme yapın.
4. Tarih alanlarını kontrol edin. Bazı aktarımlarda mesajların tarihi aktarım günü olarak yazılır ve kullanıcının bütün arşivi aynı güne yığılır. Bu, geri alınması en zor hatadır.
5. Eski yerel dosyayı hemen silmeyin. Aktarım doğrulanana kadar tek yedeğiniz odur.

Bir de kaçınılması gereken sıra hatası var: hesabı IMAP’a çevirip sonra arşivi aktarmayı planlamak yerine, aktarımı önce yapıp doğrulayın. Kullanıcı yeni yapılandırmayla çalışmaya başladıktan sonra iki ayrı yerde biriken posta, taşıma işini gereksiz yere zorlaştırır.

Mail Alınamıyor: Okuma Tarafında Teşhis Sırası

Burada en sık yapılan hata, teşhise protokolden başlamaktır. IMAP ve POP3 posta kutusunda ne varsa onu gösterir; mail kutuya hiç girmediyse ikisi de kusursuz çalışıyor demektir. O yüzden ilk soru “istemcim niye göstermiyor” değil, “mail gerçekten geldi mi?” olmalı.

Sırası şöyle:

1. Mail kutuya ulaşmış mı, önce onu ayırın. Sağlayıcınızın web arayüzünden bakın. Mail orada görünüyor ama mail programınızda görünmüyorsa arıza gerçekten okuma tarafındadır ve aşağıdaki adımlar işinize yarar. Orada da yoksa bu makale yanlış adres: mail hiç teslim edilmemiştir ve aranacak yer alıcı sunucunun kabul zinciridir.

   Küçük bir çekince: Gmail ve Microsoft 365 gibi büyük sağlayıcılarda web arayüzü posta kutusuna doğrudan bakar, dolayısıyla bu bağımsız bir testtir. Kendi barındırdığınız bir kurulumda web arayüzünün kendisi de bir IMAP istemcisi olabilir; o zaman test zayıflar ama yine de ikinci bir istemciyle denemiş olursunuz.

2. Spam klasörüne bakın, ve oradan çıkacak sonucu doğru okuyun. Mail spam klasöründeyse IMAP zaten doğru çalışıyor: kutuda ne varsa onu gösteriyor, klasör bilgisi de sunucuda tutulduğu için bütün cihazlarınızda aynı yerde duruyor. Sorun protokolde değil, mesajın hangi klasöre konacağına karar veren filtrede. Gönderen taraf kendi alan adının kimlik doğrulamasını geçemiyorsa cevap SPF, DKIM ve DMARC kayıtlarında durur.
3. Kutu doluluğunu ölçün. Kutu doluysa yeni mail hiç kabul edilmez; gönderen hata alır, siz hiçbir şey görmezsiniz. Bir önceki bölümdeki sebeple bu adım port kontrolünden önce gelir.
4. Port erişimini ölçün. Gelen için 993. Bağlantı kurulamıyorsa sorun mail tarafında değil, ağ ya da güvenlik duvarı tarafındadır; güvenlik duvarı yapılandırması ilk bakılacak yerdir.
5. Kimlik doğrulamaya bakın. Bağlantı kuruluyor ama giriş reddediliyorsa parola yanlış olabilir, ya da hesap modern kimlik doğrulama gerektiriyordur ve istemci onu desteklemiyordur.

İlk iki adımın ortak dersi şu: okuma protokolü bir teşhis aracı değil, bir aynadır. Kutuda olmayan bir şeyi göstermemesi arıza değil, doğru davranıştır. Teşhisin protokole gelmesi ancak mailin kutuda olduğu doğrulandıktan sonra anlamlıdır.

Belirtiden başlamak isterseniz:

Sonuç: IMAP ile POP3 Arasındaki Seçimi Postanın Yeri Belirler

IMAP ile POP3’ü tek cümlede toparlayalım: IMAP durumu sunucuda tutar, POP3 cihazda. Okundu bilgisinin eşitlenmesinden kota sorununa, geç düşen bildirimden geçiş projesine kadar bu makalede anlatılan her şey bu tek ayrımın sonucudur.

Karar kuralı da o kadar kısa: yeni bir kurulumda IMAP seçin. POP3 bugün bir tercih değil, çoğunlukla devralınmış bir kurulumdur; ve devralınmışsa asıl mesele protokolü değiştirmek değil, o kullanıcının arşivinin nerede durduğunu bilmektir. Bu arşivin bir geçiş projesinde nasıl ele alındığını Microsoft 365 kurulumu ve geçişi sayfamızda yazdık.

Otogar benzetmesine son kez dönelim: dolabı açık bırakıp içeriğine her yerden bakabilmek ile bagajı alıp dolabı boşaltmak arasında “doğru” bir seçim yok, bir takas var. Dolabı kullanmak sizi görevlinin kapasitesine bağlar; bagajı almak ise onu tek bir çantaya bağlar. Kurumsal ortamda birinci takas neredeyse her zaman daha ucuzdur.

Zincirin gönderme tarafını, yani mailin bu dolaba nasıl geldiğini SMTP nedir rehberimizde ele alıyoruz. Protokollerin birbirine nasıl bağlandığını görmek isterseniz hangi protokolün hangi işi gördüğünü toplu gösteren rehber bu makalenin de ait olduğu haritayı çiziyor.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn