WHOIS Gizliliği (Domain Privacy) Nedir

Bir alan adı satın aldığınız anda, adınız, ev veya iş adresiniz, telefon numaranız ve e-posta adresiniz internetin en eski açık veri sistemlerinden biri olan WHOIS veritabanına işlenir. Yani ornek.com gibi masum görünen bir domain aldığınızda, farkında olmadan kişisel iletişim bilgilerinizi dünyanın herhangi bir yerinden tek bir komutla sorgulanabilir hâle getirmiş olursunuz. Kayıt kuruluşları bu bilgileri toplamak zorundadır çünkü ICANN sözleşmeleri her domain için doğru ve güncel iletişim verisi tutulmasını şart koşar; ancak bu verinin herkese açık olması, alan adı sahiplerini uzun yıllar boyunca spam, dolandırıcılık ve taciz saldırılarına maruz bıraktı.

İşte WHOIS gizliliği — sektörde daha çok "domain privacy" veya "WHOIS koruması" adıyla bilinen hizmet — tam olarak bu sorunu çözmek için ortaya çıktı. Bu hizmet, sizin gerçek bilgilerinizi kayıt kuruluşunun (registrar) sağladığı proxy iletişim bilgileriyle değiştirir; böylece domain size ait olmaya devam eder, ancak dışarıya bakan WHOIS çıktısında sizin adınız yerine bir aracının bilgileri görünür. Bu yazıda gizliliğin teknik olarak nasıl çalıştığını, hangi tehditlere karşı koruma sağladığını, GDPR ve KVKK ile ilişkisini, .tr gibi bazı uzantılarda neden farklı davrandığını ve gizliliğe rağmen dikkat etmeniz gereken noktaları kıdemli bir sistem yöneticisinin gözünden anlatacağım.

WHOIS Gizliliği Tam Olarak Ne Yapar?#

WHOIS gizliliği, teknik olarak bir "maskeleme" katmanıdır. Domain'in gerçek sahibi hukuken siz olmaya devam edersiniz; registrar sizin gerçek bilgilerinizi kendi güvenli veritabanında tutar ve ICANN'a karşı yükümlülüklerini yerine getirir. Ancak dışarıdan biri WHOIS sorgusu çektiğinde, gerçek bilgileriniz yerine registrar'ın gizlilik servisine ait genel bir kayıt döner.

Koruma açıkken tipik bir WHOIS çıktısı şuna benzer:

Registrant Name: Domain Privacy Service
Registrant Organization: WhoisGuard Protected
Registrant Street: 100 Privacy Way, Suite 400
Registrant Email: [email protected]
Registrant Phone: +1.5555555555
Registrant Country: US

Buradaki e-posta adresi rastgele üretilmiş, size özel bir "forwarding" adresidir. Yani biri bu adrese e-posta gönderirse, mesaj filtrelenerek (çoğunlukla spam ayıklamasından sonra) gerçek e-posta kutunuza iletilir. Bu sayede domain'iniz için gerçekten önemli bir bildirim (örneğin hukuki bir uyarı) size ulaşırken, gün boyu gelen otomatik spam sizi rahatsız etmez.

Aynı mantık telefon ve adres için de geçerlidir. Adresiniz yerine registrar'ın posta kutusu adresi görünür; nadir de olsa resmi bir evrak o adrese gelirse, registrar bunu size yönlendirir. Kısacası gizlilik, sizi WHOIS'ten "silmez" — çünkü ICANN kuralları buna izin vermez — sadece herkese açık pencerede araya bir vekil koyar. Domain'in sahiplik zinciri ve WHOIS'in genel işleyişi hakkında daha fazla ayrıntıyı WHOIS nedir yazımızda bulabilirsiniz.

Neden WHOIS Gizliliğine İhtiyaç Duyulur?#

Bilgilerinizin açık olmasının size somut zararları olur. Bunları tek tek görmek, gizliliğin neden "isteğe bağlı bir lüks" değil, çoğu durumda "makul bir önlem" olduğunu netleştirir.

Spam ve otomatik veri kazıma. WHOIS veritabanı, spam gönderenlerin en sevdiği av alanıdır. Botlar milyonlarca domain'in WHOIS kaydını tarayıp e-posta adreslerini toplar (harvesting). Yeni bir domain aldıktan birkaç gün sonra "web tasarım teklifi", "SEO hizmeti" veya "domain yenileme dolandırıcılığı" başlıklı e-postaların yağmaya başlaması tesadüf değildir — adresiniz WHOIS'ten kazınmıştır.

Kimlik hırsızlığı ve sosyal mühendislik. Adınız, adresiniz ve telefonunuz bir arada olduğunda, bir saldırganın elinde sizi taklit etmek veya banka/registrar destek hattını arayıp hesabınıza erişmeye çalışmak için yeterli malzeme birikir. Sosyal mühendislik saldırılarının çoğu, kurban hakkında halka açık kaynaklardan toplanmış bu tür "küçük" bilgi parçalarıyla başlar.

Domain kaçırma (hijacking) girişimleri. Bir domain'in sahibinin e-postasını bilen saldırgan, o e-posta hesabını ele geçirmeye ya da registrar'a sahte transfer talepleri göndermeye odaklanabilir. E-posta adresiniz gizliyse bu saldırı yüzeyi belirgin şekilde daralır.

Rekabet ve mahremiyet. Bir yan proje, henüz duyurulmamış bir marka ya da kişisel bir blog için domain aldıysanız, gerçek adınızın veya şirketinizin bu projeyle ilişkilendirilmesini istemeyebilirsiniz. WHOIS gizliliği, projeyi hazır olana kadar sizinle ilişkilendirilmekten korur.

Fiziksel güvenlik ve taciz. Ev adresinizin herkese açık olması, özellikle kamuoyunda görünür kişiler, gazeteciler veya taciz mağdurları için doğrudan bir fiziksel risktir. Bu kişiler için domain privacy, dijital bir mahremiyet değil, gerçek bir güvenlik önlemidir.

WHOIS Gizliliği Teknik Olarak Nasıl Çalışır?#

Perde arkasında gizlilik hizmeti aslında bir proxy/forwarding sistemidir. Adım adım nasıl işlediğini görelim:

1. Domain'i satın alırken veya sonrasında gizlilik hizmetini aktifleştirirsiniz (birçok registrar bunu ücretsiz sunar).
2. Registrar, bu domain için WHOIS kayıt alanlarını kendi proxy kuruluşunun bilgileriyle günceller. Gerçek verileriniz "arka bahçe" veritabanında saklı kalır.
3. Size özel, rastgele üretilmiş bir forwarding e-posta adresi atanır (örneğin [email protected]).
4. Dışarıdan gelen her WHOIS/RDAP sorgusu, maskelenmiş bilgileri görür.
5. Bu proxy e-postaya gelen mesajlar spam filtresinden geçirilir ve meşru olanlar sizin gerçek adresinize iletilir.

Kendi domain'inizin gizlilik durumunu hızlıca kontrol etmek için Linux/macOS terminalinden whois komutunu kullanabilirsiniz:

# Domain'in WHOIS kaydını sorgula
whois orneksite.com

# Sadece registrant satırlarını görmek için filtrele
whois orneksite.com | grep -i "registrant"

Eğer çıktıda kendi adınız yerine "Privacy", "Protected", "Redacted" veya "Whois Privacy" gibi ifadeler görüyorsanız gizlilik aktiftir. Modern registrar API'lerinde gizlilik durumu genellikle basit bir bayrak (flag) olarak tutulur; örneğin bir yapılandırma dosyasında şöyle temsil edilebilir:

domain: orneksite.com
registrar: cloutr
privacy:
  enabled: true
  contact_proxy: "privacy-guard"
  forward_email: true
  auto_renew: true

Burada dikkat edilecek önemli bir nokta, RDAP protokolüdür. WHOIS'in modern halefi olan RDAP, gizlilik bilgilerini daha yapılandırılmış JSON formatında döndürür ve maskelenmiş alanları açıkça "redacted" olarak işaretler. Yani sorgulayan taraf, verinin "yok" değil "gizlenmiş" olduğunu net biçimde görebilir.

GDPR, KVKK ve WHOIS Gizliliğinin Değişen Kuralları#

WHOIS gizliliği uzun yıllar tamamen isteğe bağlı, çoğunlukla ek ücretli bir hizmetti. Ancak 2018'de Avrupa Birliği'nin GDPR (Genel Veri Koruma Tüzüğü) yürürlüğe girmesiyle bu tablo köklü biçimde değişti. GDPR, kişisel verilerin gerekçesiz biçimde herkese açık yayınlanmasını yasakladığı için, ICANN "Temporary Specification" adıyla geçici bir düzenleme yayımladı ve registrar'lar gerçek kişilere ait iletişim bilgilerini WHOIS'te varsayılan olarak maskelemeye başladı.

Bunun pratik sonucu şudur: bugün bir gerçek kişinin (bireysel kayıt sahibinin) domain'ini sorguladığınızda, gizlilik hizmeti hiç satın alınmamış olsa bile çoğu alanın "REDACTED FOR PRIVACY" olarak döndüğünü görürsünüz. Yani GDPR sonrası dünyada temel bir maskeleme adeta "varsayılan" hâle geldi.

Peki bu, ayrı bir domain privacy hizmetini gereksiz mi kılar? Tam olarak değil. Aradaki farkları bir tabloda görelim:

Türkiye'de KVKK (Kişisel Verilerin Korunması Kanunu) da benzer bir mantıkla kişisel verilerin işlenmesini ve yayınlanmasını sıkı kurallara bağlar. Yani bir Türk domain'i alırken de kişisel bilgilerinizin nasıl işlendiği ve kimlerin erişebileceği yasal olarak koruma altındadır. Alan adı sahipliğinin temel kavramları ve sorumlulukları için alan adı nedir yazımıza göz atabilirsiniz.

.tr ve Diğer Uzantılarda Gizliliğin Sınırları#

Domain privacy her uzantıda aynı şekilde çalışmaz; çünkü her registry'nin (uzantıyı işleten üst kuruluşun) kendi kuralları vardır. Bu, gizliliğin en çok yanlış anlaşılan yönlerinden biridir.

.com, .net, .org gibi jenerik uzantılarda (gTLD) gizlilik neredeyse evrensel olarak desteklenir ve pek çok registrar bunu ücretsiz verir. Buna karşılık bazı ülke uzantıları (ccTLD) gizliliği ya kısıtlar ya da tamamen engeller. Türkiye'nin .tr ve alt uzantıları (.com.tr, .org.tr, .gen.tr vb.) bu noktada özel bir örnektir.

.tr uzantılarında tarihsel olarak belge esaslı bir tahsis modeli uygulanmış ve kayıt sahibi bilgileri şeffaflık gerekçesiyle görece açık tutulmuştur. Kurumsal başvurularda özellikle firma/kuruluş bilgisinin görünür olması beklenir. Bu nedenle bir .com.tr domain'inde, bir .com domain'indeki kadar geniş bir gizlilik seçeneği bulamayabilirsiniz. Aşağıdaki tablo genel eğilimi özetler (kesin politika zaman içinde değişebileceği için işlem öncesi registrar'ınızdan teyit alın):

Buradan çıkacak pratik ders şudur: eğer mahremiyet sizin için kritikse ve uzantı seçiminde esnekseniz, .com gibi gizliliği tam destekleyen bir uzantı, .tr alt uzantısına kıyasla daha fazla koruma sağlar. Türkiye'de kurumsal bir kimlikle görünmeniz gerekiyorsa .com.tr mantıklıdır; ancak o zaman firma bilgilerinizin bir ölçüde açık kalabileceğini baştan kabul etmeniz gerekir. Uzantı ihtiyacınıza uygun domain'i alan adı sayfamızdan sorgulayabilirsiniz.

WHOIS Gizliliği Aktifken Bile Dikkat Etmeniz Gerekenler#

Gizlilik güçlü bir araçtır ama sizi tamamen görünmez yapmaz. Sık karşılaştığım yanılgıları ve gerçekleri netleştirelim.

Gizlilik anonimlik değildir. Registrar sizin gerçek kimliğinizi bilir ve tutar. Mahkeme kararı, geçerli bir hukuki talep ya da UDRP gibi bir alan adı uyuşmazlığı süreci söz konusu olduğunda, bilgileriniz yetkili mercilere açıklanabilir. Yani suç işlemek veya sorumluluktan kaçmak için domain privacy'e güvenmek yanlıştır — bu hizmet meşru mahremiyet içindir.

Geçmiş kayıtlar arşivlenmiş olabilir. Eğer domain'inizi bir süre gizlilik olmadan kullandıysanız, WHOIS geçmişini arşivleyen üçüncü taraf servisler o dönemki bilgilerinizi saklamış olabilir. Sonradan gizlilik açmak, geçmişteki açık kaydı geriye dönük silmez. Bu yüzden ideal olan, domain'i ilk aldığınız anda gizliliği aktifleştirmektir.

SSL sertifikaları ve diğer sızıntı noktaları. WHOIS'i gizleseniz bile, bilgileriniz başka kanallardan sızabilir. Örneğin bir Organization Validation (OV) SSL sertifikası aldıysanız, kuruluş bilgileriniz sertifikanın içinde ve halka açık Certificate Transparency loglarında görünür. Benzer şekilde site içeriğinizde (iletişim sayfası, KVKK metni) verdiğiniz bilgiler de zaten açıktır. SSL türleri ve doğrulama seviyeleri hakkında SSL sayfamızda daha fazla bilgi bulabilirsiniz.

Transfer sırasında geçici görünürlük. Bazı registrar'lar arası transfer işlemlerinde, doğrulama gereği bilgiler kısa süreliğine görünür hâle gelebilir. Kritik bir transfer öncesi bu ihtimali registrar'ınıza sormakta fayda var.

Yasal yükümlülükler öncelikli. Bir e-ticaret sitesi işletiyorsanız, ilgili mevzuat gereği işletme bilgilerinizi site üzerinde açıkça yayınlamanız zaten zorunlu olabilir. Bu durumda WHOIS gizliliği, sitenizdeki zorunlu bilgilendirmenin yerini tutmaz; sadece WHOIS veritabanındaki görünürlüğü azaltır.

Domain Privacy'yi Aktifleştirme ve Kontrol Etme#

Pratikte gizliliği yönetmek oldukça basittir. Çoğu registrar panelinde domain'in yanında bir "Privacy Protection" veya "WHOIS Gizliliği" anahtarı bulunur; tek tıkla açıp kapatabilirsiniz. Bir toplu yönetim senaryosunda, örneğin CLI veya API üzerinden, işlem şuna benzer bir mantıkla ilerler:

# Örnek registrar CLI ile gizliliği açma (kavramsal)
registrar-cli domain privacy enable orneksite.com

# Birden fazla domain için toplu açma
for d in siteler.txt; do
  registrar-cli domain privacy enable "$d"
done

# Durumu doğrulama
registrar-cli domain info orneksite.com --field privacy

Aktifleştirdikten sonra mutlaka bir teyit yapın. Birkaç dakika bekleyip (WHOIS güncellemeleri anlık olmayabilir) tekrar whois sorgusu çekerek gerçek bilgilerinizin artık görünmediğini doğrulayın:

whois orneksite.com | grep -iE "name|email|phone|street"

Çıktıda kendi adınız ve e-postanız yerine proxy bilgileri görüyorsanız her şey yolundadır. Ayrıca yeni bir domain aldığınızda "auto privacy" (otomatik gizlilik) seçeneği sunuluyorsa bunu açık tutmanızı öneririm; böylece gelecekte alacağınız domain'lerde bu adımı unutma riski ortadan kalkar.

Sıkça Sorulan Sorular#

WHOIS gizliliği domain sahipliğimi etkiler mi?#

Hayır, sahipliğiniz hiçbir şekilde etkilenmez. Gizlilik yalnızca halka açık WHOIS kaydında görünen bilgileri maskeler; domain hukuken sizin adınıza kayıtlı kalır ve registrar gerçek bilgilerinizi kendi güvenli sisteminde tutmaya devam eder. Yani domain'i satabilir, transfer edebilir veya yenileyebilirsiniz; gizlilik bu hakların hiçbirine dokunmaz. Bazı registrar'ların eski proxy modellerinde teknik sahiplik proxy kuruluşuna geçiyordu, ancak modern hizmetlerin çoğu bu sorunu ortadan kaldıracak şekilde tasarlanmıştır.

WHOIS gizliliği ücretsiz mi olmalı?#

Çoğu registrar artık jenerik uzantılarda (.com, .net, .org) gizliliği ücretsiz sunar ve bunu domain fiyatına dahil eder. GDPR sonrası temel maskelemenin yaygınlaşması da bu yöndeki beklentiyi güçlendirdi. Yine de bazı sağlayıcılar gizliliği ek ücretli bir "premium" hizmet olarak konumlandırabilir. Domain alırken toplam maliyeti değerlendirirken, gizliliğin fiyata dahil olup olmadığını mutlaka kontrol edin; küçük fiyat farkları bu tür gizli ücretlerden kaynaklanabilir.

Gizlilik açıkken bana e-posta nasıl ulaşır?#

Registrar size özel, rastgele üretilmiş bir forwarding e-posta adresi atar ve bu adres WHOIS kaydında görünür. Birisi bu adrese meşru bir mesaj gönderdiğinde, sistem mesajı spam filtresinden geçirir ve geçerli olanları sizin gerçek e-posta kutunuza iletir. Böylece domain'inizle ilgili önemli bir bildirim (hukuki uyarı, transfer talebi gibi) size ulaşırken, gün boyu gelen otomatik spam büyük ölçüde engellenmiş olur. Bazı registrar'lar bu iletimi tamamen kapatıp yalnızca panel üzerinden bildirim gösterir.

.tr uzantısında WHOIS gizliliği kullanabilir miyim?#

Türkiye'nin .tr uzantısı ve alt uzantılarında gizlilik desteği, jenerik uzantılara göre daha sınırlıdır. Bu uzantılar tarihsel olarak şeffaflık odaklı bir politika izlediği için, özellikle kurumsal kayıtlarda firma bilgisinin görünür kalması beklenir. Mahremiyet sizin için kritikse ve uzantı seçiminde esnekseniz, .com gibi gizliliği tam destekleyen bir uzantı daha güçlü koruma sağlar. .com.tr gibi bir Türk uzantısına ihtiyacınız varsa, işlem öncesi registrar'ınızdan güncel gizlilik politikasını teyit etmenizi öneririm.

Suç işlemek için WHOIS gizliliğinin arkasına saklanabilir miyim?#

Kesinlikle hayır ve bu yaygın bir yanlış anlamadır. WHOIS gizliliği sizi anonim yapmaz; registrar gerçek kimliğinizi bilir ve saklar. Geçerli bir mahkeme kararı, hukuki talep veya alan adı uyuşmazlığı süreci (UDRP gibi) söz konusu olduğunda bilgileriniz yetkili mercilere açıklanır. Gizlilik hizmeti yalnızca meşru mahremiyet ve spam koruması için tasarlanmıştır; sorumluluktan kaçmak veya kötü niyetli faaliyet yürütmek için bir kalkan değildir.

Gizliliği sonradan açsam eski bilgilerim silinir mi?#

Gizliliği aktifleştirdiğinizde WHOIS kaydınız ileriye dönük olarak maskelenir; ancak domain'i bir süre açık bilgilerle kullandıysanız, WHOIS geçmişini arşivleyen üçüncü taraf servisler o dönemki verilerinizi saklamış olabilir. Sonradan gizlilik açmak bu geçmiş arşivleri geriye dönük silmez. Bu nedenle en sağlıklı yaklaşım, domain'i satın aldığınız ilk anda gizliliği açmaktır. Halihazırda açık kullandığınız bir domain için de geç kalmış sayılmazsınız; en azından bundan sonraki görünürlüğü ortadan kaldırmış olursunuz.

Kapanış#

WHOIS gizliliği, alan adı sahipliğinin görünmez ama önemli bir güvenlik katmanıdır. Adınızı, adresinizi, telefonunuzu ve e-postanızı halka açık bir veritabanından çekip yerine bir proxy koyarak sizi spam botlarından, sosyal mühendislik girişimlerinden ve gereksiz mahremiyet ihlallerinden korur. GDPR ve KVKK gibi düzenlemeler temel maskelemeyi neredeyse standart hâline getirmiş olsa da, adanmış bir domain privacy hizmeti hâlâ daha tutarlı ve kapsamlı bir koruma sunar. Yalnızca .tr gibi bazı uzantıların şeffaflık odaklı politikaları nedeniyle gizliliğin sınırlı olabileceğini ve gizliliğin asla tam anonimlik anlamına gelmediğini unutmayın.

Clou.TR olarak, gizliliği tam destekleyen uzantılarda domain'lerinizi koruma altına almanızı ve dijital varlığınızı baştan sona güvence altına almanızı öneriyoruz. İhtiyacınıza uygun bir alan adını domain sayfamızdan sorgulayabilir, sitenizi SSL sertifikası ile güvenli hâle getirebilir ve barındırma çözümlerimizle güvenilir bir altyapıya taşıyabilirsiniz. Doğru uzantı seçimi, erken aktifleştirilmiş gizlilik ve sağlam bir güvenlik yapılandırması bir araya geldiğinde, alan adınız hem size ait hem de güvende kalır.