Giriş — Neden doğrulama yapmalısınız?

Bir web sitesinin resmi bağlantısını doğrulamak, hesabınızın ve kişisel bilgilerinizin güvenliğini artırmak için atılacak temel adımlardan biridir. Bu yazıda, ronabet resmi site bağlantısını tarayıcı sertifikası (SSL/TLS), DNS/IP kontrolleri ve bağımsız araçlarla nasıl inceleyebileceğinizi adım adım anlatıyorum. Amaç, hızlı, uygulanabilir ve teknik düzeyi düşük kullanıcılar için anlaşılır yönergeler sunmaktır.

Hızlı kontrol listesi (ilk 60 saniye)

  • Adres çubuğunda URL’nin tam ve doğru yazıldığını teyit edin (https ile başladığına dikkat edin).
  • Adres çubuğundaki kilit simgesine tıklayıp sertifika bilgilerini hızlıca gözden geçirin.
  • Sertifika sahibi alanının (Subject) site adıyla eşleşip eşleşmediğine bakın.
  • Sertifika geçerlilik tarihlerini kontrol edin (doluysa uyarı çıkar).
  • Resmi kaynaklardan (doğrulanmış sosyal hesaplar, e-posta bildirimleri veya resmi duyurular) güncel giriş adresini karşılaştırın ve tarayıcıda sayfayı yer imlerine ekleyin.

Tarayıcı sertifika (SSL/TLS) kontrolleri

Sertifika kontrolleri, bağlantının şifreli olduğunu ve sertifikanın hangi kuruma verildiğini gösterir. Bu adımlar masaüstü ve mobil tarayıcılarda benzerlik gösterir; farklı tarayıcılarda menü isimleri değişkenlik gösterebilir.

Masaüstü tarayıcı genel adımları

  1. Adres çubuğunu kontrol edin: URL’nin doğru yazıldığından ve https:// ile başladığından emin olun.
  2. Kilit simgesine tıklayın: Tarayıcı, bağlantının şifreli olup olmadığını kilit simgesiyle gösterir; bu simgeye tıklayarak sertifika veya bağlantı bilgilerini açın.
  3. Sertifika ayrıntılarını görüntüleyin: Açılan pencerede sertifikanın kime verildiğini (Subject), hangi alternatif alan adlarını içerdiğini (SAN), sertifikayı veren sertifika otoritesini (Issuer) ve geçerlilik tarihlerini kontrol edin.
  4. Sertifika zincirini inceleyin: Ara sertifikalar ve kök sertifika doğru şekilde sağlanmış mı bakın; eksik zincir uyarılara yol açabilir.

Tarayıcı özel notları (Chrome/Edge/Firefox/Safari)

  • Chrome/Edge: Kilit simgesine tıklayıp bağlantı veya sertifika seçeneklerinden sertifika bilgilerine ulaşabilirsiniz.
  • Firefox: Kilit simgesinden "Site bilgisi" veya benzeri menüyü açarak güvenlik ve sertifika detaylarına erişebilirsiniz.
  • Safari (macOS/iOS): Adres çubuğundaki kilit simgesinden sertifika detaylarını görebilirsiniz.

Sertifika ayrıntılarında hangi bilgileri aramalısınız?

  • Alan adı eşleşmesi: Sertifikanın Subject veya SAN (Subject Alternative Name) içinde kontrol ettiğiniz alan adını (site adresini) içerdiğinden emin olun.
  • İmzalayan kuruluş (Issuer): Sertifikayı veren kurumun geniş çapta tanınan bir sertifika otoritesi olması beklenir; bilinmeyen issuerlar uyarı gerektirebilir.
  • Geçerlilik tarihleri: Sertifika başlama (notBefore) ve bitiş (notAfter) tarihleri arasında olmalıdır; süresi geçmiş sertifikalar hataya neden olur.
  • Şifreleme algoritması: Modern, güvenli algoritmalar (ör. RSA 2048+, ECDSA) tercih edilir; çok eski algoritmalar risk oluşturabilir.
  • Parmak izi (fingerprint): Eğer yayımlanmış bir parmak izi varsa, bunu karşılaştırmak ek güvence sağlar.
  • Sertifika zinciri eksiksizliği: Ara sertifikalar tamamlanmamışsa tarayıcı uyarı verebilir; zincirin tam olması önemlidir.

Tarayıcı uyarılarını nasıl yorumlamalısınız?

Tarayıcı size "sertifika hatası", "bağlantı güvenli değil" veya benzeri uyarılar verdiğinde şu adımları izleyin:

  • Uyarı mesajını dikkatle okuyun: Tarih hatası mı, alan adı uyuşmazlığı mı yoksa bilinmeyen issuer mı bildiriliyor?
  • Eğer sertifika süresi dolmuş veya alan adı uyuşmuyorsa siteye kişisel bilgilerle giriş yapmayın ve ödeme bilgisi girmeyin.
  • Karar vermeden önce başka bir tarayıcı veya farklı bir cihazda aynı adresi kontrol edin; aynı uyarı çıkıyorsa dikkatli olun.

DNS ve IP doğrulama

Sertifika kontrolünün yanı sıra DNS ve IP düzeyinde de doğrulama yapmak faydalıdır. Bu adımlar, tarayıcı düzeyinde görünmeyen yönlendirmeleri veya DNS çözümleme farklılıklarını ortaya çıkarabilir.

Hızlı DNS/IP komut örnekleri

  • Windows: Komut İstemi'nde nslookup site-adresi komutunu çalıştırın.
  • macOS/Linux: Terminal'de dig +short site-adresi komutunu kullanın.
  • PING ile IP alınabilir, ancak bazı hizmetler ping yanıtı vermeyebilir.

Çıkan IP adresini, IP sahibi ve coğrafi bilgi için https://ipinfo.io/ veya benzeri araçlarla kontrol edebilirsiniz. Domain kayıt bilgilerini sorgulamak için https://whois.icann.org/ kullanılabilir.

Üçüncü taraf araçlar ve kaynaklar

Mobil uygulama ve mağaza doğrulamaları

Mobil uygulama kullanıyorsanız şu adımları uygulayın:

  • Uygulama mağazasında geliştirici adının resmi organizasyon ile eşleştiğini doğrulayın.
  • Uygulama açıklamasında veya geliştirici sayfasında resmi web sitesi bağlantısı bulunup bulunmadığını kontrol edin ve bu bağlantıyı site içindeki sertifika kontrolleriyle karşılaştırın.
  • Android için paket adı (ör. com.ornek.app) ve uygulama indirme sayıları ile açıklamaları gözden geçirerek olağandışı farklılıklara dikkat edin.

Adım adım doğrulama akışı (özet)

  1. Tarayıcıda adresi doğru yazdığınızdan ve https:// ile başladığından emin olun.
  2. Kilit simgesine tıklayarak sertifika sahibini, issuer bilgisini ve geçerlilik tarihlerini kontrol edin.
  3. DNS sorgusu yaparak sitenin çözlediği IP adresini not edin ve IP sahibi bilgilerini doğrulayın.
  4. Bağımsız bir aracı (ör. SSL Labs) kullanarak TLS yapılandırmasını hızlıca taratın.
  5. Resmi duyurular veya doğrulanmış iletişim kanallarından güncel adresle karşılaştırın ve emin olduğunuz bağlantıyı tarayıcı yer imlerine ekleyin.

Hızlı kontrol listesi (yazdırılabilir)

  • URL tam ve doğru mu? (https var mı?)
  • Kilit simgesi görünüyor mu?
  • Sertifika domaine uygun mu? (Subject/SAN)
  • Sertifika geçerli mi (tarihler)?
  • İssuer tanınıyor mu?
  • DNS/ip sahibi beklenen kurulumla uyumlu mu?
  • Resmi kanallardan bağlantı doğrulandı mı?

Sınırlamalar ve son notlar

Bu kontroller riskleri azaltmak için yararlıdır ancak hiçbir yöntem tek başına %100 garanti vermez. Teknik olarak emin olamadığınız durumda site destek kanallarıyla iletişime geçin veya resmi duyurular üzerinden doğrulamayı bekleyin. Ayrıca tarayıcılar ve güvenlik hizmetleri zaman içinde değişiklik gösterebilir; düzenli olarak güncel bilgi edinmek faydalıdır.

Sıkça Sorulan Sorular (SSS)

Sertifikadaki "geçersiz" uyarısı aldım, ne yapmalıyım?

Önce tarih bilgilerini ve alan adı eşleşmesini kontrol edin. Eğer sertifika tarihi geçmiş veya alan adı uyuşmuyorsa bağlantıya kişisel bilgi girmeyin ve doğrudan resmi iletişim kanallarından güncel adresi teyit edin.

Tarayıcı kilidi sitenin "güvenli" olduğunu kesin olarak söyler mi?

Kilit simgesi, tarayıcı ile site arasındaki trafiğin şifreli olduğunu gösterir; ancak bu, sitenin içerik veya hizmet açısından tamamen güvenilir olduğu anlamına gelmez. Sertifika ayrıntılarını incelemek ek bilgi sağlar.

DNS/IP bilgileri neden önemlidir?

DNS ve IP kontrolleri, siteye hangi sunucudan ulaştığınızı gösterir. Beklenmeyen bir IP adresi veya farklı bir coğrafi konum, ek inceleme gerektirebilir. Bu veriler, sertifika kontrolleriyle birlikte değerlendirildiğinde daha geniş bağlam sunar.

Bağımsız bir test aracı kullanmalı mıyım?

Evet; SSL Labs, crt.sh veya IP sorgulama araçları gibi bağımsız hizmetler TLS yapılandırması, sertifika zinciri ve geçmiş kayıtlar hakkında daha ayrıntılı bilgi verir. Ancak bu hizmetlerin de zaman içinde güncellendiğini unutmayın.

Not: Bu yazı genel bilgilendirme amaçlıdır ve bir güvenlik uzmanının yerini almaz. Kritik konularda doğrudan resmi destek ile iletişim kurmanız önerilir.