Resmi ayna adreslerini doğrulama: neden önemlidir?

Ayna adresleri (mirror adresleri), bir hizmetin farklı alan adları veya alt alan adları üzerinden erişim sağlanan kopyalarıdır. Bu rehberde amaç, bir ayna adresinin gerçek bir yetkili kaynak tarafından yayınlanıp yayınlanmadığını teknik ve pratik yöntemlerle nasıl kontrol edeceğinizi adım adım göstermek; SSL/sertifika, HTTPS doğrulaması ve Whois kontrolleri üzerinden güvenli karar vermenize yardımcı olmaktır. Aşağıdaki adımlar genel güvenlik kontrolleridir ve tek başına kesin garanti sağlamayabilir.

Hızlı kontrol listesi (özet)

1. Tarayıcıda adresin yanında kilit simgesini ve tam alan adını doğrulayın.
2. Sertifika detaylarını açın: Subject/SAN, geçerlilik tarihleri ve sertifika vereni kontrol edin.
3. crt.sh veya benzeri ile sertifika geçmişini kontrol edin.
4. Whois sorgusu ile alan adı oluşturma/tarih ve kayıt bilgilerini inceleyin.
5. Resmi duyurular ve doğrulanmış sosyal medya hesaplarıyla adresi karşılaştırın.
6. Şüphe varsa giriş yapmayın veya kişisel bilgilerinizi girmeyin; resmi kanallar üzerinden teyit alın.

1) Tarayıcı üzerinden HTTPS ve sertifika kontrolü

Basit bir ön kontrol için tarayıcı yeterlidir. Aşağıdaki adımlar hem masaüstü hem mobil tarayıcılarda uygulanabilir.

Nasıl yapılır (genel adımlar)

• Adres çubuğundaki kilit simgesine tıklayın. Karşınıza çıkan pencerede sitenin HTTPS kullandığı ve bağlantının şifreli olduğu bilgisi gösterilir.
• Sertifika bilgilerini görüntüle seçeneğine tıklayın. "Certificate" veya "Sertifika" bölümünde "Issued to" (Subject) ve "Subject Alternative Name" (SAN) alanlarını arayın. Bu alanlarda ziyaret ettiğiniz alan adının (ör. www.ornek.com) bulunması gerekir.
• Geçerlilik tarihlerini kontrol edin: sertifika henüz başlamış mı, süresi dolmuş mu? Süresi dolmuş sertifikalar uyarı verir.
• Sertifika veren kuruluşu (Issuer) not edin. Güvenilen ve bilinen sertifika yetkilileri (CA) genellikle tarayıcılarda tanınır, ancak CA adı tek başına meşruluk garantisi değildir.

Tarayıcı özel notları

• Chrome/Edge: Kilit > Sertifika (Certificate) > Ayrıntılar (Details).
• Firefox: Kilit > Bağlantı güvenli > Daha fazla bilgi > Sertifikayı görüntüle.
• Mobil tarayıcılar: Aynı kilit simgesine dokunarak site bilgilerini görmeyi deneyin; bazı mobil tarayıcılarda sertifika detayları sınırlı olabilir.

Kontrol ederken dikkat edilmesi gerekenler: alan adı tam eşleşmesi (www dahil/olmadan uyum), süresi, ve sertifika zincirinin tanınan bir root CA'ya kadar gitmesi. Punycode (xn--) ile başlayan alan adlarına dikkat edin; bu tür adlar benzer harflerle taklit edilebilir.

2) Çevrimiçi araçlarla derinlemesine SSL testi

Tarayıcı kontrolü hızlıdır ancak eksik kalabilir. Aşağıdaki ücretsiz araçlar daha derin bilgi verir:

• SSL Labs (Qualys): Alan adını girerek TLS yapılandırmasını, desteklenen protokolleri, zincir sorunlarını ve güvenlik notunu görebilirsiniz.
• crt.sh: Sertifika şeffaflığı kayıtlarında bir alan adına ait yayımlanmış sertifikaları arar; kısa zamanda çıkmış çok sayıda sertifika veya beklenmedik sertifikalar dikkat çeker.

Bu araçlarla ortaya çıkan düşük notlar veya "zincir hatası" gibi uyarılar, daha fazla dikkat gerektirdiğine işaret eder.

3) Whois ve alan adı tarih kontrolü

Whois sorguları alan adıyla ilgili kayıt bilgilerini sunar: kayıt tarihi, son güncelleme, kayıt kuruluşu (registrar) ve bazen sahip bilgileri. Hızlı bir whois sorgusu için ICANN Lookup veya güvenilir whois hizmetleri kullanılabilir.

• Alan adının yeni kayıtlı olması tek başına olumsuz değildir ama “yeni açılmış görünen bir site” iddiasıyla çelişiyorsa dikkatli olun.
• Whois gizlilik/proxy hizmetleri sahip bilgilerinin görünmesini engelleyebilir; bu durumda farklı göstergelere (sertifika, SSL geçmişi, resmi duyurular) ağırlık verin.
• Ayrıca Wayback Machine aracılığıyla alan adının geçmiş kayıtlarını kontrol etmek, içerik geçmişi hakkında fikir verir.

4) Resmi duyurularla karşılaştırma

Bir ayna adresinin resmi olup olmadığını doğrulamak için en güvenli yol, bulunduğunuz platformun veya hizmetin doğrulanmış ilan kanallarını kontrol etmektir. Bu kanallar genellikle resmi web sitesi ana sayfasındaki duyurular, şirketin doğrulanmış sosyal medya hesapları veya resmi e-posta bültenleri olabilir.

Karşılaştırırken dikkat edin: duyuruda kullanılan alan adının yazımı tam eşleşmeli, duyurunun zaman damgası güncel olmalı ve duyuru daha önce doğruladığınız kaynaklarla uyumlu olmalıdır.

5) İleri düzey: Komut satırı kontrolleri

Teknik kullanıcılar için sertifika ayrıntılarını komut satırından almak mümkündür. Örnek komutlar (example.com yerine kontrol edilecek alan adını yazın):

• OpenSSL ile sertifika metni: echo | openssl s_client -connect example.com:443 -servername example.com | openssl x509 -noout -text
• HTTP başlıklarını inceleme (curl): curl -vI https://example.com 2&&1

OpenSSL çıktısında Subject, Issuer ve X509v3 Subject Alternative Name bölümlerini arayın. Komut satırı yöntemleri tarayıcıdan daha ayrıntılı veriler verebilir, ancak doğru yorumlama için temel sertifika bilgisi bilgisi gerektirir.

Risk işaretleri (kırmızı bayraklar)

• Adres çubuğunda kilit simgesinin olmaması veya tarayıcı uyarısı.
• Sertifika alan adının (Subject/SAN) ziyaret edilen alan adından farklı olması.
• Sertifika süresinin bitmiş veya henüz başlamamış olması.
• Self-signed (tarayıcı tarafından tanınmayan) sertifika veya zincir hataları.
• Whois bilgilerinin çok yeni kayıt tarihleri veya beklenmedik kayıt kuruluşu; ancak gizlilik koruması olması da mümkündür.
• Resmi kaynaklarda aynı adresle ilgili güncel bir bildiri yoksa veya duyuru farklıysa.

Şüpheli bir ayna adresi ile karşılaşırsanız atmanız gereken adımlar

1. O adrese kullanıcı adı/şifre gibi hassas bilgiler girmeyin.
2. Tarayıcıyı kapatın ve adresin ekran görüntüsünü alın; daha sonra resmi kanallarla karşılaştırmak için kullanabilirsiniz.
3. Resmi destek/iletişim kanallarından adresin geçerliliğini teyit edin.
4. Eğer yanlışlıkla giriş yaptıysanız, ilgili hesaplarınızın parolasını resmi kaynaklardan değiştirin ve iki faktörlü doğrulamayı etkinleştirin (varsa).
5. Şüpheli içerik veya görünen teknik anormallikler hakkında platformun destek ekibine bilgi verin.

Sınırlamalar ve uyarılar

SSL/HTTPS sertifikası bağlantının şifreli olduğunu gösterir; bu, adresin mutlaka yetkili veya güvenilir olduğu anlamına gelmez. Whois kayıtları gizlenmiş olabilir. Bu nedenle birden fazla kontrolü bir arada kullanmak önemlidir: sertifika, sertifika geçmişi, whois ve resmi duyuruların tutarlılığı birlikte değerlendirilmeli.

Özet — Hızlı doğrulama kontrol listesi

1. Adres çubuğu: tam alan adı + kilit simgesi.
2. Sertifika: Subject/SAN ve geçerlilik tarihleri eşleşmeli.
3. crt.sh: beklenmedik/çok yeni sertifikalar var mı?
4. Whois: kayıt tarihi ve registrar bilgisi tutarlı mı?
5. Resmi duyuru: adres yetkili kanallarda listelenmiş mi?

Yararlı araçlar: SSL Labs, crt.sh, ICANN Lookup, Wayback Machine ve Let's Encrypt kaynakları, sertifika ve alan adı geçmişi kontrollerinde sık kullanılan servislerdir.

Bu rehber teknik kontrol adımlarını açıklar; kesin sonuç için resmi bildirimleri ve platformun kendi destek kanallarını kullanarak doğrulama yapmanız önemlidir.