Giriş — neden site doğrulama önemli?

Çevrimiçi bir hizmetin “resmi” olduğunu doğrulamak, hesabınızın, kişisel bilgilerinizin ve finansal işlemlerinizin daha güvenli olmasına yardımcı olur. SSL/TLS sertifikası ve IP/DNS bilgileri, bir sitenin bağlantısının şifreli ve sertifika zincirinin geçerli olduğunu gösterir; ancak bunlar tek başına kuruluşun güvenilirliğini tam anlamıyla garanti etmez. Aşağıda, tarayıcıdan teknik araçlara kadar uygulanabilir adımlarla nasıl doğrulama yapacağınızı bulacaksınız.

Tarayıcıda hızlı kontroller (ilk 60 saniye)

Hızlı bir ön inceleme, şüpheli durumları erken fark etmenizi sağlar. İlk bakışta kontrol edilecekler:

  • Adres çubuğu: Alan adının tam olarak doğru yazıldığından emin olun (yazım, ek karakterler, farklı TLD'ler gibi küçük farklar önemlidir).
  • HTTPS ve kilit simgesi: Kilit simgesi, tarayıcı ile sunucu arasındaki bağlantının şifreli olduğunu gösterir. Bu, sitenin “güvenilir” olduğunu otomatik olarak kanıtlamaz; yalnızca iletim şifrelemesinin aktif olduğunu gösterir.
  • Alt etki alanlarına dikkat: Bazen adres subdomain içinde görünebilir; örnek: hesap.example.com veya example.com farklı varlıklardır. Alan adı hiyerarşisini kontrol edin.
  • Görsel ve metin tutarlılığı: Ana sayfadaki logo, iletişim bilgileri ve yasal bilgiler (örn. lisans numarası, şirket adı) tutarlı mı diye hızlıca gözden geçirin.

Sertifika (SSL/TLS) detaylarını nasıl kontrol edersiniz?

Sertifika ayrıntıları, tarayıcı içinden veya teknik araçlarla görülebilir. Sertifikada kontrol edilmesi gereken ana noktalar:

  • Geçerlilik (validity): Sertifikanın başlama ve bitiş tarihlerini kontrol edin; süresi dolmuşsa uyarı verir.
  • Subject / Common Name (CN) ve SAN: Sertifikada belirtilen alan adlarının (Subject Alternative Names) eriştiğiniz alan adını kapsayıp kapsamadığını doğrulayın.
  • Yayımlayan (Issuer): Sertifikayı veren Merkezi Sertifika Otoritesi (CA) güvenilir mi (ör. yaygın tanınan CA'lar) diye bakın.
  • Şifreleme ve anahtar uzunluğu: Güncel TLS sürümleri (TLS 1.2 veya TLS 1.3) ve yeterli anahtar uzunlukları tercih edilir (ör. 2048-bit RSA veya uygun ECC anahtarları).
  • Zincir ve ara sertifikalar: Sertifika zincirinde eksik ara sertifika olup olmadığına dikkat edin; eksik zincir tarayıcı uyarısına sebep olabilir.

Tarayıcıdan genelde adres çubuğundaki kilit simgesine tıklayarak Sertifika veya Bağlantı güvenli seçeneklerinden ayrıntılara erişebilirsiniz. Bu adım, sertifikanın kime verildiğini, hangi CA tarafından imzalandığını ve geçerlilik tarihlerini gösterir.

Gelişmiş: Sertifika doğrulamasında dikkat edilecek teknik noktalar

  • OCSP/CRL ve revocation: Sertifika iptal durumları (revocation) için OCSP veya CRL kontrolleri yapın; bazı sunucular OCSP stapling destekler.
  • Certificate Transparency (CT): Public CT log kayıtları, sertifikanın yayımlanma geçmişini doğrulamada yardımcı olabilir.
  • EV vs DV vs OV: Sertifika türleri farklı bilgi düzeyleri verir; genişletilmiş doğrulama (EV) bazı tarayıcılarda kurum bilgilerini gösterirken, alan adı doğrulayan DV sertifikalar sadece alan adını doğrular. Hangi tür sertifikaya sahip olunduğunu kontrol etmek faydalıdır.

Whois, DNS ve IP kontrolleri — teknik doğrulama adımları

Whois, DNS ve IP bilgileri, alan adının kayıt geçmişi ve barındırma detayları hakkında veri verir. Bu kontrol adımları, sitenin arkasındaki altyapı ve kayıt bilgilerini anlamanıza yardımcı olur.

  • Whois sorgusu: Alan adının kayıt tarihi, kayıt kuruluşu (registrar), name server bilgileri ve varsa kayıt sahibinin bilgileri burada görünür. Gizlilik koruması aktifse kayıt sahibi bilgileri gizlenmiş olabilir.
  • DNS kayıtları: A/AAAA, NS, MX, TXT (SPF/DMARC) kayıtlarını kontrol edin. Name server'lar, sitenin hangi sağlayıcı veya altyapı üzerinde barındırıldığını gösterir.
  • IP ve ASN: Alan adının çözümlediği IP adresinin sahibi (hosting sağlayıcı veya CDN) ve AS numarası (ASN) bilgileri, sunucunun hangi ülkede/sağlayıcıda barındırıldığını gösterir. Bu tek başına kuruluşun yeri hakkında kesin bilgi vermez; ancak beklenmedik bir coğrafya veya bilinmeyen bir hosting sağlayıcısı olması ek inceleme gerektirebilir.

Hızlı online kontroller için kullanabileceğiniz servisler: ICANN WHOIS, SSL Labs, crt.sh (sertifika logları) ve IPinfo. Bu sayfalar alan adı, sertifika ve IP hakkında açık bilgiler sunar.

Pratik komut örnekleri (temel düzey)

Eğer komut satırına erişiminiz varsa, bazı temel komutlar hızlı bilgiye ulaşmanızı sağlar. Aşağıdaki örneklerde example.com yerine kontrol etmek istediğiniz alan adını kullanın.

  • Sertifika bilgisi (OpenSSL): openssl s_client -connect example.com:443 -servername example.com -showcerts
  • HTTP başlıkları ve TLS el sıkışması (curl): curl -Iv https://example.com
  • DNS çözümlemesi: dig +short example.com veya nslookup example.com
  • Whois sorgusu (terminal): whois example.com veya web tabanlı olarak ICANN WHOIS

Bu komutlar gelişmiş değerlendirmeler içindir; komut çıktılarının yorumlanması teknik bilgi gerektirebilir. Web tabanlı SSL/DNS araçları, teknik olmayan kullanıcılar için daha görsel çıktı sunar.

Hızlı doğrulama kontrol listesi (adım adım)

  1. Adres çubuğunu kontrol edin: alan adı tam olarak doğru mu?
  2. Kilit simgesine tıklayarak sertifika bilgilerini görüntüleyin: CN/SAN, yayıncı, geçerlilik tarihleri doğru mu?
  3. Tarayıcı uyarıları var mı? (güvenlik uyarıları, kırık zincir vb.)
  4. Whois ile alan kayıt tarihini ve registrar bilgisini kontrol edin.
  5. IP adresini ve barındırma sağlayıcısını kontrol edin; beklenen altyapı ile uyumlu mu?
  6. Site üzerinde yayımlanan lisans numarası veya kurum bilgilerini, ilgili düzenleyici/denetleyici sitesinde doğrulayın.
  7. Tüm kontroller temiz görünmüyorsa, siteye giriş yapmadan veya para aktarımı yapmadan önce destek kanallarından doğrulama isteyin.

Ne zaman daha dikkatli olunmalı?

  • Sertifika alan adıyla eşleşmiyorsa veya süresi dolmuşsa.
  • Adres çubuğunda beklenmeyen alt dizinler ya da farklı bir alan adı görünüyorsa.
  • Whois kaydı çok yeni veya kayıt sahibi bilgileri birbiriyle çelişiyorsa.
  • Tarayıcı sürekli güvenlik uyarısı veriyorsa.

Bu tür durumlarda, hesabınıza giriş yapmaktan veya para gönderme gibi işlemler yapmaktan kaçının; doğrudan firmanın resmi ve doğrulanmış iletişim kanalları üzerinden teyit alın.

Sınırlamalar ve son uyarılar

SSL/TLS, verinin iletim esnasında şifrelenmesini sağlar; bu, web sitesinin işletmecisinin kim olduğunu tek başına kanıtlamaz. DNS/Whois/IP verileri de bağlam sağlar ancak her zaman kesin sonuç vermez (ör. gizlilik koruması, CDN kullanımları, üçüncü taraf barındırma). Bu rehber bilgi amaçlıdır; hukuki veya finansal tavsiye yerine geçmez. Yerel düzenlemeleri ve geçerli yasal çerçeveyi kontrol etmek sizin sorumluluğunuzdadır.

Sıkça sorulan sorular (SSS)

S: Adres çubuğundaki kilit simgesi sitenin tamamen güvenli olduğunu mu gösterir?

Cevap: Kilit simgesi, tarayıcı ile sunucu arasındaki bağlantının şifreli olduğunu gösterir. Ancak bu, sitenin işletmecisinin güvenilir olduğu veya sitenin içeriğinin doğrulandığı anlamına gelmez. Diğer doğrulama adımlarını da uygulamak gerekir.

S: Sertifika sahibi farklı görünüyorsa ne yapmalıyım?

Cevap: Eğer sertifika sahibi beklediğiniz alan adını veya kurumu göstermiyorsa, işlem yapmadan önce siteyle resmi iletişim kanallarından (örneğin firmanın resmi web sitesinde yayımlanmış telefon veya e-posta) teyit alın.

S: Whois gizliliği aktifse ne anlarım?

Cevap: Whois gizliliği, kayıt sahibinin kişisel bilgilerini gizler; bu yaygın bir uygulamadır. Bu durumda diğer göstergelere (sertifika ayrıntıları, lisans bilgileri, şirket adresi doğrulaması) daha fazla önem verin.

S: IP adresi farklı bir ülkede görünüyorsa bu ne demek?

Cevap: Sunucular CDN, bulut sağlayıcıları veya uzak barındırma üzerinden hizmet verebilir; bu nedenle fiziksel IP lokasyonu her zaman şirketin gerçek merkeziyle eşleşmeyebilir. Ancak olağan dışı durumlarda ek inceleme yapılmalıdır.

S: Hızlı bir kontrol listesi istiyorum, en önemli 3 madde nedir?

Cevap: (1) Alan adının tam doğruluğu; (2) Sertifikanın CN/SAN, yayıncı ve geçerlilik durumu; (3) Lisans/şirket bilgilerinin resmi kayıtlarla karşılaştırılması.