Whois Gizliliği Nedir? Hangi Bilgiler Görünür, Nasıl Gizlenir

Whois, bir alan adının kime kayıtlı olduğunu, ne zaman tescil edildiğini ve hangi kayıt kuruluşu üzerinden yönetildiğini gösteren genel bir kayıt sistemidir. Kuruluşundan bu yana amacı sorumluluk zincirini görünür tutmaktı: bir alan adı üzerinden sorun yaşandığında muhatabın kim olduğu bilinsin.

Bu şeffaflık bir yandan da her alan adı sahibinin ad, adres, telefon ve e-posta bilgisini herkese açık hâle getiriyordu. 2018’de GDPR yürürlüğe girdikten sonra bu tablo köklü biçimde değişti. Bugün “Whois’te bilgilerim görünüyor mu?” sorusunun cevabı uzantıya ve kayıt kuruluşuna göre farklılaşıyor.

Bu yazıda Whois’in ne gösterdiğini, gizlilik servisinin tam olarak neyi değiştirdiğini ve gizliliğin hangi durumlarda size zarar verebileceğini anlatıyoruz.

Whois sorgusunda ne görünür?

Standart bir gTLD sorgusunda alanlar şunlardır:

• Domain Name ve Registry Domain ID
• Registrar — alan adının yönetildiği kayıt kuruluşu
• Creation / Updated / Expiry Date — tescil, son değişiklik ve bitiş tarihleri
• Domain Status — clientTransferProhibited, redemptionPeriod gibi durum kodları
• Name Server — yetkili ad sunucuları
• Registrant / Admin / Tech Contact — sahip, yönetici ve teknik iletişim bilgileri

Gizlilik uygulansa bile ilk beş grup her zaman açık kalır. Yani bir alan adının ne zaman alındığı, ne zaman biteceği, kilitli olup olmadığı ve hangi nameserver’ları kullandığı gizlenemez. Gizlenen kısım yalnızca iletişim bilgileridir.

Gizlilik servisi ne yapar?

Whois gizliliği (privacy protection), iletişim alanlarındaki gerçek bilgilerinizi bir aracı servisin bilgileriyle değiştirir. Tipik çıktı şöyle görünür:

Kritik ayrıntı e-posta satırındadır. Gizlilik servisi rastgele bir takma adres üretir ve o adrese gelen postaları sizin gerçek adresinize iletir. Bu iletme mekanizması bazen çalışmaz veya postayı spam’e düşürür. Alan adı transferi yaparken onay e-postasının ulaşmama sebebi çoğu zaman budur; transfer rehberinde bu adımı ayrıca vurguladık.

Gizlilik servisi sahipliği devretmez. Alan adı hukuken hâlâ sizindir; yalnızca kamuya açık kayıtta göründüğünüz isim değişir.

GDPR ve KVKK sonrası ne değişti?

2018 Mayıs’ında GDPR yürürlüğe girince ICANN geçici bir politika yayımladı ve kayıt kuruluşları gerçek kişilere ait iletişim bilgilerini varsayılan olarak maskelemeye başladı. Bugün çoğu gTLD sorgusunda, hiçbir ek hizmet satın alınmamış olsa bile şu satırı görürsünüz:

Registrant Email: Please query the RDDS service of the Registrar of Record

Yani gerçek kişiler için gizlilik büyük ölçüde varsayılan hâle geldi. Tüzel kişilerde ise şirket bilgileri zaten kişisel veri sayılmadığı için çoğu kayıt kuruluşu bunları açık bırakabiliyor. Türkiye’de KVKK da benzer bir çerçeve çizer: gerçek kişinin adı, adresi ve iletişim bilgisi kişisel veridir ve açık rıza olmadan yayımlanması sorunludur.

Teknik tarafta da bir değişim yaşandı: klasik Whois protokolünün yerini kademeli olarak RDAP alıyor. RDAP, sorgulayanın kimliğine göre farklı ayrıntı seviyesi döndürebilen, JSON tabanlı bir protokoldür. Yani hukuki bir talebi olan taraf ile sıradan bir sorgulayan aynı çıktıyı görmez.

.tr uzantılarında durum

TRABIS üzerinden yürütülen .tr sorgularında da benzer bir ayrım vardır. Gerçek kişi tescillerinde kişisel bilgiler kamuya açık sorguda gösterilmez; tüzel kişi tescillerinde kurum adı ve tescil bilgileri görünür. Bu yüzden .tr tarafında ayrıca bir gizlilik hizmeti satın almak çoğu senaryoda gereksizdir.

Buna karşılık, TRABIS’te kayıtlı iletişim adresinin güncel olması .tr’de daha kritiktir; yenileme ve kayıt kuruluşu değişikliği bildirimlerinin tek kanalı odur.

Gizlilik spam ve dolandırıcılığı azaltır mı?

Kısmen. Whois’i tarayıp toplu e-posta gönderen otomatik sistemler açık adresleri hedefler; gizlilik bu tip spam’i belirgin şekilde azaltır. Klasik dolandırıcılık senaryosunda alan adı sahibine “alan adınızın süresi doluyor, hemen ödeyin” diyen sahte faturalar posta veya e-posta ile gönderilir. Gizlilik bu postaların önünü keser.

Ancak gizlilik bir güvenlik önlemi değildir. Alan adınızı gerçekten koruyan şeyler ayrıdır:

• Kayıt kuruluşu hesabınızda iki adımlı doğrulama
• Transfer kilidinin (clientTransferProhibited) açık kalması
• Yönetici e-posta hesabının güçlü bir parolayla korunması — bu hesap ele geçirilirse alan adı da gider, ele geçirilmiş e-posta hesabı yazısı bu senaryoyu ayrıntılandırır

Gizliliğin riskleri

1. Sahiplik ispatı zorlaşır. Bir alan adı üzerinde hak iddia ettiğinizde ya da uyuşmazlık sürecine girdiğinizde, açık Whois kaydı en hızlı delildir. Gizli kayıtta ispat için kayıt kuruluşundan yazı almanız gerekir ve bu süreç uzar.
2. Kurumsal güven kaybı. Bir e-ticaret sitesinde tamamen gizli Whois kaydı, kurumsal alıcılar ve bazı ödeme sağlayıcıları tarafından olumsuz bir sinyal olarak okunabilir.
3. Kritik bildirimlerin kaçması. Transfer onayı, sahiplik değişikliği doğrulaması ve ICANN’in yıllık iletişim doğrulama postası takma adres üzerinden gelir; iletme çalışmazsa alan adı askıya alınabilir.
4. Marka takibinde görünmezlik. Markanızı taklit eden bir alan adının sahibini bulmak isterseniz aynı gizlilik duvarı size karşı da çalışır.

Pratik denge şudur: kişisel projelerde ve gerçek kişi tescillerinde gizlilik mantıklıdır. Kurumsal alan adlarında ise şirket adı ve kurumsal bir e-posta adresiyle açık kayıt tutmak, hem güven hem hukuki ispat açısından daha iyidir. Yeni bir alan adı alırken bu tercihi baştan yapın; alan adı paneli üzerinden ayarı sonradan da açıp kapatabilirsiniz.

Özetle

• Whois, alan adının tescil tarihi, bitiş tarihi, durumu ve nameserver’larını her hâlükârda gösterir; gizlenen yalnızca iletişim bilgileridir.
• GDPR sonrası gerçek kişi bilgileri çoğu gTLD’de zaten varsayılan olarak maskeleniyor; RDAP bu ayrımı protokol seviyesine taşıdı.
• .tr tarafında gerçek kişi bilgileri gösterilmediği için ayrı bir gizlilik hizmeti genelde gereksizdir.
• Gizlilik spam’i azaltır ama güvenlik sağlamaz; asıl koruma iki adımlı doğrulama ve transfer kilididir.
• Kurumsal alan adlarında açık kayıt, uyuşmazlık ve ispat süreçlerinde belirgin bir avantajdır.