Domain Kilidi (Registrar Lock) Nedir

Domain kilidi (İngilizce registrar lock ya da transfer lock), bir alan adının izniniz dışında başka bir kayıt firmasına (registrar) taşınmasını engelleyen bir güvenlik statüsüdür. Teknik tarafta bu koruma, alan adının registry kaydına eklenen clientTransferProhibited adlı bir EPP statü koduyla sağlanır. Bu statü etkin olduğu sürece hiçbir yeni firma, alan adınız için başlatılan bir transfer talebini işleme alamaz; registry, talebi henüz doğrulama aşamasına gelmeden reddeder. Yani kilit, transferin en başındaki kapıyı kapatır.

Bu koruma bugün neredeyse tüm gTLD (.com, .net, .org gibi) alan adlarında varsayılan olarak açıktır ve çoğu firma yeni bir alan adı kaydettiğinizde kilidi otomatik devreye alır. Bu rehberde domain kilidinin tam olarak nasıl çalıştığını, WHOIS çıktısında nasıl göründüğünü, registrar panelinden nasıl açılıp kapatıldığını, transfer sürecinde neden önce kaldırılması gerektiğini ve .com.tr gibi Türkiye uzantıları ile kurumsal alan adları için sunulan daha güçlü registry lock seçeneğini kıdemli bir sistem yöneticisinin bakış açısıyla ele alacağız.

Domain Kilidi Nasıl Çalışır?#

Bir alan adı kaydedildiğinde, o kaydın durumu registry (uzantıyı yöneten üst kuruluş) tarafından tutulan bir dizi EPP statü kodu ile ifade edilir. EPP (Extensible Provisioning Protocol), registrar'lar ile registry arasında alan adı işlemlerinin yürütüldüğü standart protokoldür. Bu statü kodları alan adının ne yapabileceğini ve ne yapamayacağını belirler. Domain kilidi de işte bu statü kodlarından biridir.

Kilit açık olduğunda alan adına clientTransferProhibited statüsü eklenir. Buradaki client öneki, bu kısıtlamayı registrar'ın (yani firmanızın) koyduğunu anlatır; siz panelden istediğiniz an kaldırabilirsiniz. Bir de serverTransferProhibited vardır ki onu registry koyar ve müşteri kaldıramaz; genellikle yasal ihtilaf, ödeme sorunu veya kötüye kullanım durumlarında devreye girer. İkisini karıştırmamak önemlidir: birincisi sizin kontrolünüzdedir, ikincisi değildir.

Kilit etkinken transfer akışı şöyle kesilir: yeni firmaya "şu alan adını bana taşı" dediğinizde, o firma registry'ye bir transfer talebi gönderir. Registry, alan adının statüsünde clientTransferProhibited gördüğü an talebi kabul etmez. Dolayısıyla EPP (auth) kodu doğru olsa bile, kilit açıkken transfer başlayamaz. Bu, çok katmanlı savunmanın ilk katmanıdır: saldırganın hem kilidi kaldırması hem de doğru auth kodunu ele geçirmesi gerekir.

Domain Kilidini Neden Kullanmalısınız?#

Bir alan adı, çoğu işletme için markanın dijital kimliğidir; e-posta trafiği, web sitesi ve bazen tüm müşteri iletişimi ona bağlıdır. Alan adının izinsiz ele geçirilmesi (domain hijacking) senaryosunda saldırgan, ele geçirdiği alan adını hızla başka bir firmaya ve hatta başka bir ülkeye transfer ederek geri alınmasını son derece zorlaştırır. Domain kilidi, bu hızlı kaçışı engelleyen en temel bariyerdir.

Aşağıdaki tablo, kilidin açık ve kapalı olduğu durumlarda risk profilini özetliyor:

Dikkat edilmesi gereken kritik nokta şudur: domain kilidi DNS ayarlarınızı, e-postanızı veya web sitenizi hiçbir şekilde etkilemez. Kilit yalnızca "başka firmaya taşıma" işlemini durdurur; A kaydı ekleyebilir, nameserver değiştirebilir, alt alan adı oluşturabilirsiniz. Bu yüzden kilidi kapatmak için hiçbir günlük operasyonel neden yoktur. Alan adı güvenliğinin yalnızca kilit tarafını değil, kişisel bilgilerinizin görünürlüğünü de merak ediyorsanız WHOIS nedir yazımız iyi bir tamamlayıcıdır.

WHOIS Çıktısında Kilit Durumunu Görme#

Kilidin açık olup olmadığını doğrulamanın en güvenilir yolu, alan adının WHOIS kaydındaki status (statü) satırlarına bakmaktır. Panelin gösterdiği "kilitli/açık" etiketine güvenmek yerine doğrudan registry verisini okumak, gerçeğin ne olduğunu söyler. Bir Linux/macOS terminalinde whois komutuyla bunu kolayca sorgulayabilirsiniz:

whois example.com | grep -i "status"

Kilit açık bir alan adında çıktı tipik olarak şuna benzer:

Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited
Domain Status: clientUpdateProhibited https://icann.org/epp#clientUpdateProhibited
Domain Status: clientDeleteProhibited https://icann.org/epp#clientDeleteProhibited

Kilit kapalı olduğunda ise bu satırların yerini genellikle tek bir statü alır:

Domain Status: ok https://icann.org/epp#ok

Buradaki ok (bazı registry'lerde active) statüsü, alan adı üzerinde hiçbir kısıtlama olmadığı anlamına gelir ve transfer işlemine tamamen açıktır. Uygulamada clientTransferProhibited ile birlikte sık gördüğünüz clientUpdateProhibited ve clientDeleteProhibited statüleri de ilgili işlemleri (güncelleme ve silme) kilitleyen ek koruma katmanlarıdır. Kritik alan adlarında bu üçünü birlikte açık tutmak, saldırganın hem taşıma hem kayıt silme hem de nameserver değiştirme yollarını aynı anda kapatır.

Terminaliniz yoksa aynı bilgiye tarayıcıdan da ulaşabilirsiniz; birçok firma ve ICANN Lookup gibi araçlar aynı statü satırlarını gösterir. Alan adının kayıt/bitiş tarihleri ve nameserver'ları da bu çıktıda yer alır.

Kilidi Registrar Panelinden Açma ve Kapatma#

clientTransferProhibited statüsünü koyan ve kaldıran taraf firmanız olduğu için, kilidi yönetmek her zaman mevcut registrar'ınızın müşteri panelinden yapılır. Panellerin arayüzü değişse de mantık aynıdır. Aşağıdaki adımlar tipik bir akışı özetler:

• Firmanızın müşteri paneline giriş yapın.
• Alan adları listesinden ilgili alan adını seçin.
• "Domain Kilidi", "Registrar Lock", "Transfer Lock" veya Türkçe panellerde "Alan Adı Kilidi" başlığını bulun.
• Anahtarı kapatarak kilidi kaldırın; kapatmak isterseniz aynı anahtarı geri açın.

Clou.TR panelinde bu işlem alan adı yönetim ekranındaki tek bir anahtardan yönetilir. Kilidi kaldırdıktan sonra WHOIS'in güncellenmesi anlık olmayabilir; registry'nin değişikliği yansıtması genellikle birkaç dakika, bazı uzantılarda daha uzun sürer. Statünün gerçekten değiştiğini teyit etmek için kısa bir bekleyiş sonrası whois sorgusunu tekrarlayın:

# Kilit kaldırıldıktan sonra doğrulama
whois example.com | grep -i "clientTransferProhibited" || echo "Kilit kalkmis görünüyor"

Yukarıdaki komut, statü satırı artık bulunamazsa "Kilit kalkmis görünüyor" mesajını yazdırır. Bir noktanın altını çizelim: kilidi transfer dışında kaldırıp öylece bırakmayın. Transfer bittiğinde ya da kilidi test amaçlı açtıysanız işiniz biter bitmez hemen geri kilitleyin. Açık bırakılmış bir alan adı, auth kodunuzun sızması hâlinde savunmasız kalır.

Transferden Önce Kilidi Kaldırmak#

Domain kilidinin operasyonel olarak kaldırılması gereken tek meşru an, alan adını bilerek ve isteyerek başka bir firmaya taşıdığınız transfer sürecidir. Kilit açıkken transfer talebi registry tarafından reddedileceği için, taşımayı başlatmadan önce kilidi kaldırmanız zorunludur. Transfer akışında kilit, adımların en başında yer alır.

Tipik bir kesintisiz transfer sırası şöyledir:

• 1. Kilidi kaldırın. Mevcut firmanızın panelinden clientTransferProhibited statüsünü pasif hale getirin.
• 2. EPP/Auth kodunu alın. Alan adına özgü yetkilendirme şifresini panelden kopyalayın; bu kodu yeni firmaya vereceksiniz.
• 3. WHOIS gizliliğini geçici olarak kapatın. Bazı firmalar transfer onay e-postasını yönetici adresine gönderir; gizlilik açıkken bu e-posta gizli adrese düşebilir.
• 4. Transferi yeni firmada başlatın. Auth kodunu girin, ödemeyi tamamlayın ve onay e-postasını doğrulayın.

Bu sıralamada kilidi ilk adıma koymamızın nedeni, sonraki tüm adımların kilit açık olmadan işe yaramamasıdır. Auth kodunu almış olsanız bile kilit açılmadıysa yeni firma transferi başlatamaz. Transferin EPP kodu, WHOIS doğrulama e-postası ve 60 gün kuralı gibi diğer tüm detaylarını alan adı transferi yazımızda adım adım bulabilirsiniz. Transfer sürerken alan adınızın nameserver'larını değiştirmemeniz, DNS ve e-posta kesintisi yaşamamak için iyi bir alışkanlıktır.

Transferi tamamladıktan sonra ise yapılacak ilk iş, alan adını yeni firmanızın panelinde tekrar kilitlemektir. Transfer sonrası birçok firma kilidi otomatik açar; bunu kontrol edip elle kilitlemek, alan adınızı yeniden koruma altına alır.

Registry Lock — Bir Üst Seviye Koruma#

Standart domain kilidi (clientTransferProhibited) çoğu işletme için yeterlidir; ancak bankalar, büyük e-ticaret siteleri ve kritik altyapı işleten kurumlar için tek başına yetersiz kalabilir. Çünkü bu kilit, sizin firma panelinizden bir tıkla açılabilir. Saldırgan panel hesabınızı ele geçirirse (örneğin zayıf parola veya oltalama ile) kilidi kaldırıp transferi başlatabilir. İşte bu ileri senaryo için registry lock (registry seviyesinde kilit) devreye girer.

Registry lock, serverTransferProhibited, serverUpdateProhibited ve serverDeleteProhibited statülerini alan adına ekler. Bu server önekli statüler doğrudan registry tarafından tutulur ve firma panelinden kaldırılamaz. Kilidi açmak için, önceden tanımlanmış bir manuel doğrulama sürecinden geçmek gerekir: genellikle registry'ye yetkili kişilerin telefonla ya da imzalı talep formuyla kimlik doğrulaması yapması istenir. Yani bir saldırgan yalnızca web panelini ele geçirerek bu kilidi aşamaz.

Registry lock ücretli bir hizmettir ve her uzantıda sunulmaz; ayrıca açma süreci manuel olduğu için sık transfer yapan alan adları için pratik değildir. Bu nedenle onu "her şeyi bir kez kur ve yıllarca dokunma" gibi kritik alan adları için düşünmek doğrudur. Alan adının teknik güvenliğinin yanında DNS kayıtlarının bütünlüğünü de önemsiyorsanız DNSSEC'i registry lock ile birlikte değerlendirmek, uçtan uca bir koruma sağlar.

Kilit Dışındaki Tamamlayıcı Önlemler#

Domain kilidi güçlü bir bariyerdir ama alan adı güvenliğinin tamamı değildir. Gerçek dünyadaki ele geçirme vakalarının çoğu, alan adının kendisinden değil, alan adını yöneten hesabın zayıflığından kaynaklanır. Dolayısıyla kilidi açtığınız kısa transfer pencerelerinde bile alan adınızı ayakta tutan asıl şey, iyi korunan bir müşteri panelidir.

Şu önlemleri kilitle birlikte uygulamak, savunmanızı çok katmanlı hale getirir:

• Panel hesabınızda iki adımlı doğrulama (2FA) açın; parola tek başına yeterli değildir.
• Kayıt sahibi e-posta adresinizi güçlü koruyun. Transfer onayları bu adrese gider; e-posta ele geçirilirse alan adı da tehlikededir.
• Alan adı ve e-posta hesaplarında ayrı, güçlü parolalar kullanın; parola yöneticisi bu işi kolaylaştırır.
• Otomatik yenilemeyi açın ki alan adı süre bitiminde yanlışlıkla düşmesin ve kurtarma sürecine girmesin.
• WHOIS gizliliğini açık tutarak yönetici e-postanızı ve telefon numaranızı oltalamacılardan gizleyin.

Bu önlemleri düşük maliyetli bir sigorta gibi görün. Alan adının değeri ele geçirildiğinde ortaya çıkar; oysa birkaç dakikalık ayar, bu riski en baştan büyük ölçüde ortadan kaldırır. Alan adınızla birlikte barındırma, e-posta ve SSL gibi hizmetleri tek çatı altında toplamak da yönetim yükünü azaltır ve güvenlik açıklarını daralttığı için ayrıca faydalıdır.

Sıkça Sorulan Sorular#

Domain kilidi web sitemi veya e-postamı etkiler mi?#

Hayır, hiçbir şekilde etkilemez. Domain kilidi yalnızca alan adının başka bir registrar'a transfer edilmesini engeller. A kaydı, MX kaydı, nameserver değişikliği, alt alan adı oluşturma gibi tüm DNS işlemleri kilit açıkken de kapalıyken de normal çalışmaya devam eder. Bu yüzden kilidi günlük operasyonlar için kapatmanız gereken bir durum yoktur; sürekli açık tutmak en güvenli seçenektir.

Kilit açık olduğunda alan adımı hiç transfer edemez miyim?#

Edebilirsiniz, ancak önce kilidi kaldırmanız gerekir. Transfer sürecinin ilk adımı mevcut firmanızın panelinden clientTransferProhibited statüsünü pasif hale getirmektir. Kilit açılmadan yeni firma transfer talebini işleme alamaz; auth kodunuz doğru olsa bile registry talebi reddeder. Transfer tamamlandıktan sonra alan adını yeni firmada tekrar kilitlemeyi unutmayın.

Kilidi kaldırdım ama WHOIS hâlâ kilitli görünüyor, neden?#

Registry değişiklikleri anlık yansıtmadığı için bu normaldir. Panelden kilidi kaldırdıktan sonra WHOIS statüsünün güncellenmesi genellikle birkaç dakika, bazı uzantılarda daha uzun sürer. Birkaç dakika bekleyip whois example.com sorgusunu tekrarlayın. Uzun süre değişmezse panelde işlemin gerçekten kaydedildiğini kontrol edin ve gerekirse firmanızın destek ekibine başvurun.

Domain kilidi ile registry lock arasındaki fark nedir?#

Standart domain kilidi (clientTransferProhibited) firma panelinizden bir tıkla açılabilen, ücretsiz ve varsayılan bir korumadır. Registry lock ise (serverTransferProhibited) doğrudan registry tarafından tutulur, firma panelinden kaldırılamaz ve açmak için manuel kimlik doğrulama gerektirir. Registry lock genellikle ücretlidir ve bankalar gibi kritik kurumlar için uygundur; standart kilit çoğu işletme için yeterlidir.

Yeni aldığım alan adı otomatik kilitli mi geliyor?#

Evet, günümüzde çoğu firma yeni kaydedilen gTLD alan adlarına domain kilidini varsayılan olarak açık şekilde ekler. Yine de bunu WHOIS sorgusuyla veya panelinizden teyit etmek iyi bir alışkanlıktır. Ayrıca ICANN'in 60 gün kuralı gereği yeni kaydedilen bir alan adı ilk 60 gün boyunca zaten transfer edilemez; bu, kilitten bağımsız ek bir koruma katmanıdır.

Kilit varken saldırgan alan adımı ele geçirebilir mi?#

Domain kilidi transferi engellese de, saldırgan firma panelinizin hesabını ele geçirirse kilidi kaldırıp transferi başlatabilir. Bu yüzden kilit tek başına yeterli değildir; panel hesabınızda iki adımlı doğrulama (2FA), güçlü parola ve iyi korunan bir yönetici e-postası da şarttır. En yüksek risk profilindeki alan adları için ise registry lock ek bir güvence sağlar.

Kapanış#

Domain kilidi, alan adı güvenliğinin en düşük maliyetli ama en yüksek getirili adımıdır. clientTransferProhibited statüsünü açık tutmak, alan adınızın izinsiz transferle ele geçirilmesini büyük ölçüde önler ve web siteniz ile e-postanızın günlük çalışmasına hiçbir olumsuz etkisi olmaz. Kural basittir: kilidi yalnızca bilerek transfer yaparken, kısa bir süre için ve hemen ardından geri kapatmak üzere açın. Kritik alan adlarınız için buna registry lock, 2FA ve WHOIS gizliliğini de eklediğinizde çok katmanlı, gerçekten sağlam bir savunmaya kavuşursunuz.

Clou.TR'de alan adınızı kaydederken domain kilidi varsayılan olarak açık gelir ve panelden tek tıkla yönetilir. Alan adı hizmetlerimizi inceleyerek yeni bir alan adı alabilir, mevcut alan adınızı bize taşıyabilir ve SSL sertifikası ile barındırma paketlerimizi aynı çatı altında birleştirerek güvenliği ve yönetim kolaylığını tek panelde toplayabilirsiniz. Kurumsal ölçekte ek koruma isterseniz sunucu yönetimi ekibimiz registry lock ve DNS güvenliği konularında size yol gösterir.