Domain Güvenliği: Registrar Kilidi, WHOIS Gizliliği, Hijack Koruması

Domain Güvenliği: Registrar Kilidi, WHOIS Gizliliği, Hijack Koruması

Bir alan adının ele geçirilmesi, birçok sistem yöneticisinin sunucu güvenliğine harcadığı emeğin yanında hafife aldığı bir risktir. Oysa saldırganın DNS kayıtlarınızı kendi sunucusuna yönlendirmesi için sunucunuza sızmasına bile gerek yoktur — sadece domain hesabınızın kontrolünü ele geçirmesi yeterlidir. E-posta, web sitesi, ödeme sistemi entegrasyonları, hatta SSL sertifikası doğrulaması dahil her şey o tek noktaya bağlıdır. Bu yazıda domain hijacking saldırılarının nasıl işlediğini, registrar kilidinin (domain lock) neden ilk savunma hattınız olduğunu, WHOIS gizliliğinin kişisel verilerinizi nasıl koruduğunu ve kurumsal seviyede alınabilecek ek önlemleri somut örneklerle ele alıyoruz.

Domain Hijacking Nedir, Neden Bu Kadar Tehlikeli?

Domain hijacking, bir alan adının sahibinin izni ve haberi olmadan başka bir kişi ya da kuruluş tarafından ele geçirilmesi veya kontrolünün değiştirilmesidir. Saldırgan bunu genellikle şu yollardan biriyle yapar:

• Sosyal mühendislik: Registrar destek ekibini arayıp sahte kimlik bilgileriyle domaini kendi hesabına transfer ettirmeye çalışmak.
• E-posta hesabı ele geçirme: Domain yönetim hesabına kayıtlı e-postanın şifresini kırmak veya sıfırlama bağlantısını yakalamak.
• Zayıf parola / parola tekrar kullanımı: Başka bir sitede sızdırılan aynı parolayı registrar panelinde de kullanmak.
• Süresi dolan alan adı: Yenileme hatırlatmalarını kaçırıp domainin serbest kalmasını beklemek, ardından hemen satın almak.
• Sahte transfer talepleri: Registrar'lar arası transfer sürecindeki onay adımlarını atlatmaya veya sahte EPP/auth kodu ile transfer başlatmaya çalışmak.

Bu senaryolardan herhangi biri gerçekleştiğinde sonuç genellikle aynıdır: DNS kayıtları değiştirilir, e-posta trafiği başka bir sunucuya yönlenir, web sitesi kopyalanıp phishing amacıyla kullanılır ya da domain doğrudan üçüncü şahıslara yeniden satılır. Kurumsal bir marka için bu, itibar kaybının ötesinde doğrudan gelir kaybı ve müşteri güveninin sarsılması anlamına gelir.

Büyükweb perspektifi: Destek hattımıza gelen "domainim gitti" vakalarının büyük çoğunluğu sunucu saldırısı değil, kayıtlı e-posta hesabının ele geçirilmesi ya da yenileme tarihinin unutulmasıdır. Domain güvenliği aslında bir altyapı sorunu değil, çoğu zaman bir süreç ve disiplin sorunudur.

Alan adı seçimi ve kayıt sürecinin temellerini yeni öğreniyorsanız alan adı nedir, domain satın alma rehberi yazımız iyi bir başlangıç noktası olabilir.

Registrar Kilidi (Domain Lock): İlk Savunma Hattınız

Domain yönetim panelinde göreceğiniz en önemli güvenlik ayarlarından biri registrar kilididir (bazı panellerde "transfer kilidi" veya "domain lock" olarak da geçer). Bu özellik etkinken alan adınız, sizin panel üzerinden bilinçli olarak kilidi kaldırmadığınız sürece başka bir registrar'a transfer edilemez, silinemez veya kritik alanları (nameserver, sahiplik bilgisi) değiştirilemez.

Teknik olarak bu kilit, alan adının EPP (Extensible Provisioning Protocol) durum kodlarına yansır. WHOIS sorgusu yaptığınızda şu şekilde bir çıktı görebilirsiniz:

Domain Name: ORNEKSITE.COM
Registry Domain ID: 123456789_DOMAIN_COM-VRSN
Registrar WHOIS Server: whois.ornekregistrar.com
Updated Date: 2026-06-12T10:15:00Z
Creation Date: 2019-03-04T08:22:00Z
Registry Expiry Date: 2027-03-04T08:22:00Z
Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited
Domain Status: clientUpdateProhibited https://icann.org/epp#clientUpdateProhibited
Domain Status: clientDeleteProhibited https://icann.org/epp#clientDeleteProhibited

Bu üç durum kodu birlikte çalışarak alan adınızı üç farklı tehditten korur:

EPP Durum Kodu	Ne Engeller	Neden Önemli
clientTransferProhibited	Başka registrar'a transfer	Yetkisiz transfer taleplerini engeller
clientUpdateProhibited	Nameserver / iletişim bilgisi değişikliği	DNS'in başka sunucuya yönlendirilmesini önler
clientDeleteProhibited	Domainin silinmesi	Kazara veya kötü niyetli silme işlemlerini engeller

Bu kilitler varsayılan olarak açık gelmeyebilir; birçok registrar panelinde ayrı bir "güvenlik" veya "domain kilidi" sekmesinde manuel olarak etkinleştirilmesi gerekir. Kilidi açtıktan sonra kontrol etmeniz gereken tek şey, gerçek bir transfer işlemi yapmadan önce bunu geçici olarak kapatmayı unutmamaktır — aksi halde kendi transfer talebiniz de reddedilir.

Kendi domaininiz için transfer sürecine girmeyi düşünüyorsanız, kilit ayarları dahil dikkat edilmesi gereken tüm adımları domain transfer süreci ve dikkat edilecekler yazımızda ayrıntılı olarak bulabilirsiniz.

WHOIS Gizliliği: Kişisel Verilerinizi Herkese Açmayın

WHOIS, bir alan adının kime ait olduğunu, hangi tarihte kaydedildiğini ve iletişim bilgilerinin ne olduğunu sorgulayabileceğiniz herkese açık bir veritabanı sistemidir. Gizlilik koruması etkin olmadığında ad-soyad, adres, telefon ve e-posta bilgileriniz herkesin bir komut satırı sorgusuyla erişebileceği şekilde açıkta kalır:

whois orneksite.com

Bu görünürlük iki somut riske yol açar:

1. Hedefli phishing: Saldırganlar WHOIS'ten aldığı gerçek ad-soyad ve e-posta bilgisiyle "registrar'dan geliyormuş gibi görünen" ikna edici sahte yenileme veya transfer e-postaları gönderir. Bu e-postalar genel spam'lere göre çok daha inandırıcıdır çünkü kişiselleştirilmiştir.
2. Doğrudan taciz veya spam: Telefon ve adres bilgileri veri kazıma (scraping) botları tarafından toplanıp pazarlama listelerine, hatta kötü niyetli kullanımlara dahil edilebilir.

WHOIS gizliliği (WHOIS privacy / proxy protection) hizmeti etkinleştirildiğinde, gerçek bilgileriniz yerine registrar'ın sağladığı vekil (proxy) iletişim bilgileri görüntülenir; gelen postalar/e-postalar sizin gerçek adresinize iletilir ama sorgulayan kişi doğrudan sizin bilgilerinize ulaşamaz.

.com/.net ve .com.tr Alan Adlarında WHOIS Farkı

Burada bir ayrım yapmak gerekiyor: .com, .net, .org gibi jenerik uzantılarda (gTLD) WHOIS gizliliği çoğu registrar tarafından ek bir hizmet olarak sunulur ve etkinleştirilmesi genellikle önerilir. .com.tr, .tr gibi ülke kodlu uzantılarda (ccTLD) ise WHOIS gösterim politikaları ilgili ülke registry kuruluşunun (Türkiye'de ODTÜ Nic.tr) belirlediği kurallara tabidir ve gösterilen veri seti gTLD'lerden farklı olabilir; bazı ccTLD'lerde bireysel kayıt sahiplerinin kişisel verileri zaten varsayılan olarak sınırlı gösterilir. Yeni bir domain kaydı yaparken uzantının WHOIS politikasını ve gizlilik seçeneğinin mevcut olup olmadığını mutlaka kontrol edin.

Büyükweb perspektifi: WHOIS gizliliğini "isteğe bağlı bir lüks" olarak görmemenizi öneririz. Kurumsal bir alan adı için maliyeti neredeyse ihmal edilebilir düzeydeyken, hedefli phishing riskini ciddi oranda azaltır. Özellikle şirket yetkilisinin kişisel telefon numarasının kayıt bilgisinde göründüğü durumlarda bu koruma bir gereklilik haline gelir.

Hesap Güvenliği: Zayıf Halka Genellikle İnsan Faktörüdür

Registrar kilidi ve WHOIS gizliliği ne kadar iyi yapılandırılırsa yapılandırılsın, saldırgan doğrudan domain yönetim hesabınıza (registrar paneline) erişim sağlarsa bu önlemlerin hepsini kendi eliyle devre dışı bırakabilir. Bu yüzden hesap güvenliği, teknik kilitlerden önce gelir.

Dikkat edilmesi gereken temel noktalar:

• Domain hesabına özel, benzersiz bir parola kullanın. Başka hiçbir yerde kullanılmayan, uzun ve rastgele üretilmiş bir parola tercih edin; bir şifre yöneticisiyle saklayın.
• Domain yönetim hesabına kayıtlı e-postayı ayrı ve güvenli tutun. Bu e-posta adresinin kendisi de güçlü bir parola ve mümkünse iki faktörlü doğrulama ile korunmalı; günlük yazışmalarda kullanılan genel bir kurumsal adres yerine, sadece kritik hesap yönetimine ayrılmış bir adres tercih etmek riski azaltır.
• Panel giriş bildirimlerini açık tutun. Yeni cihazdan giriş, parola değişikliği veya nameserver güncellemesi gibi işlemlerde otomatik e-posta/SMS bildirimi alacak şekilde ayar yapın; böylece yetkisiz bir işlem anında fark edilir.

İki Faktörlü Kimlik Doğrulama (2FA)

Registrar panelinizde iki faktörlü kimlik doğrulama (2FA) seçeneği varsa mutlaka etkinleştirin. Kimlik doğrulayıcı uygulama (TOTP tabanlı) tabanlı 2FA, SMS tabanlı doğrulamaya göre SIM takas (SIM swap) saldırılarına karşı daha dayanıklıdır çünkü doğrulama kodu operatör ağına değil, doğrudan telefonunuzdaki uygulamaya bağlıdır. Kurumsal hesaplarda mümkünse yedek kurtarma kodlarını fiziksel olarak güvenli bir yerde (ör. kasada) saklamanızı öneririz — bulut not uygulamasına yazılan kurtarma kodları, hesap ele geçirildiğinde saldırganın işini kolaylaştırır.

Domain Transferinde Dikkat Edilmesi Gerekenler

Meşru bir domain transferi sırasında da güvenlik zafiyetleri ortaya çıkabilir. Transfer süreci genellikle şu adımları izler: registrar kilidinin kaldırılması, mevcut registrar'dan bir EPP kodu (auth kodu / transfer kodu) alınması, bu kodun yeni registrar'a girilmesi ve kayıtlı e-posta adresine gelen onay bağlantısının tıklanması.

Bu süreçte en sık yapılan hatalar:

• EPP kodunu e-posta veya mesajlaşma uygulaması üzerinden güvensiz şekilde paylaşmak (kod, domaine tam kontrol sağlayan bir anahtar gibi düşünülmelidir).
• Transfer onay e-postasını okumadan otomatik olarak onaylamak — bu e-posta aslında transferi sizin başlatıp başlatmadığınızı doğrulayan son kontrol noktasıdır.
• Transfer sonrası registrar kilidini yeniden etkinleştirmeyi unutmak.

Transfer sürecinin adım adım işleyişini, süre beklentilerini ve olası aksaklıkları domain transfer süreci ve dikkat edilecekler yazımızda detaylı işledik. Eğer alan adınızı Büyükweb üzerinde yönettiğiniz hosting hesabınızla birlikte tek panelden takip etmek istiyorsanız, web hosting hizmetlerimiz üzerinden domain ve barındırma yönetimini aynı kontrol panelinde birleştirebilirsiniz.

DNSSEC ve Registry Lock: Bir Adım Daha İleri

Registrar kilidi transfer ve silme işlemlerini engellerken, DNS yanıtlarının bütünlüğünü doğrulamaz. Burada devreye DNSSEC (DNS Security Extensions) girer. DNSSEC, DNS yanıtlarını kriptografik imzalarla doğrulayarak DNS cache poisoning ve sahte yanıt enjeksiyonu gibi saldırılara karşı ek bir güvence katmanı sağlar. Alan adınız için DNSSEC'i nasıl etkinleştireceğinizi ve hangi durumlarda öncelikli olduğunu DNSSEC: DNS güvenlik uzantıları ve alan adı güvenliği yazımızda ele aldık.

Kurumsal ve yüksek değerli alan adları için bir üst seviye koruma registry lock'tur. Registrar kilidinden farklı olarak registry lock, kilidi doğrudan registry (uzantının üst kayıt otoritesi) seviyesinde uygular; kilidi kaldırmak için genellikle çok adımlı manuel doğrulama (telefon görüşmesi, belge kontrolü, dijital imza gibi) gerekir. Bu, registrar panel hesabınız tamamen ele geçirilse bile saldırganın domaini anında transfer edip nameserver değiştirmesini pratik olarak imkânsız hale getirir. Registry lock genellikle her uzantıda standart olarak sunulmaz ve ek bir hizmet olarak talep edilir; büyük kurumsal markalar ve finans/e-ticaret alan adları için ciddi olarak değerlendirilmesi gereken bir önlemdir.

Büyükweb perspektifi: Küçük ve orta ölçekli bir işletme için registrar kilidi + WHOIS gizliliği + 2FA kombinasyonu, riskin büyük kısmını makul bir maliyetle kapatır. Registry lock'u genellikle yüksek trafikli e-ticaret siteleri, finans kuruluşları veya marka değeri yüksek kurumsal domainler için öneriyoruz — çünkü süreç, günlük DNS güncellemelerini de yavaşlatabilir.

Kurumsal Alan Adları İçin Ek Önlemler

Tek bir kritik domaine bağımlı büyük ölçekli işletmeler için aşağıdaki ek pratikler risk yüzeyini daha da daraltır:

• Portföy izleme: Ana markanızla karışabilecek benzer alan adlarının (typosquatting) kayıt altına alınıp alınmadığını periyodik olarak izleyin. Marka ve alan adı ilişkisinin hukuki boyutlarını alan adı tescili, marka koruması ve hukuki boyutlar yazımızda inceledik.
• Yenileme takvimini merkezi bir sistemde tutun. Domainin süresinin dolmasına izin vermek, saldırganın onu doğrudan satın almasına açık kapı bırakmanın en kolay yoludur; otomatik yenileme etkinken bile ödeme yönteminin geçerliliğini periyodik kontrol edin.
• Erişim yetkilerini sınırlayın. Domain yönetim paneline kaç kişinin erişimi olduğunu asgari düzeyde tutun; ayrılan çalışanların erişimini derhal kaldırın.
• DNS değişikliklerini loglayın ve izleyin. Nameserver veya kayıt değişikliklerinde anlık bildirim alacak bir izleme mekanizması kurmak, hijack girişimini saatler içinde değil dakikalar içinde fark etmenizi sağlar.
• Kritik DNS kayıtlarını (MX, SPF/DKIM/DMARC) düzenli denetleyin. DNS seviyesinde e-posta kimlik doğrulama kayıtlarının bütünlüğü de domain güvenliğinin bir parçasıdır; bu konuyu SPF, DKIM, DMARC e-posta kimlik doğrulama rehberi yazımızda ayrıntılı işledik.

Bu önlemlerin hiçbiri tek başına "yeterli" değildir; asıl güvenlik, katmanlı savunmadan (registrar kilidi + WHOIS gizliliği + güçlü kimlik doğrulama + izleme) gelir. Domain, dijital varlıklarınızın kök noktasıdır — sunucu güvenliğine ayırdığınız özenin en azından bir kısmını domain hesabınıza da ayırmanız gerekir.

Sıkça Sorulan Sorular

Registrar kilidi (domain lock) alan adımı yavaşlatır mı, DNS güncellemelerimi engeller mi?

Hayır. Registrar kilidi yalnızca transfer, silme ve sahiplik/nameserver bilgisi değişikliği gibi kritik işlemleri sınırlar (durum kodlarına bağlı olarak). Günlük DNS kayıt yönetimi (A, CNAME, MX gibi kayıtların düzenlenmesi) genellikle registrar kilidinden etkilenmez; DNS yönetim panelinizden normal şekilde devam edebilirsiniz.

WHOIS gizliliğini açtığımda gerçek iletişim bilgilerime hiç ulaşılamaz mı?

Ulaşılabilir, ancak dolaylı yoldan. Vekil iletişim bilgileri görüntülenir ve size gönderilen postalar/e-postalar sizin gerçek adresinize iletilir. Yasal makamlar veya hukuki bir talep söz konusu olduğunda registrar, gerekli prosedürler çerçevesinde gerçek kayıt sahibi bilgisini paylaşabilir.

Domainim çalındıysa (hijack edildiyse) ilk ne yapmalıyım?

Öncelikle registrar'ınızın destek hattıyla acilen iletişime geçin ve olayı bildirin; çoğu registrar, hesap ele geçirme şüphesinde işlemleri geçici olarak dondurabilir. Aynı anda kayıtlı e-posta hesabınızın parolasını değiştirin, giriş kayıtlarını kontrol edin ve mümkünse ilgili registry'ye de durumu bildirin. Ne kadar hızlı hareket ederseniz, transferin geri alınma ihtimali o kadar yüksek olur.

İki faktörlü kimlik doğrulama neden SMS yerine uygulama tabanlı olmalı?

SMS tabanlı doğrulama kodları, saldırganın telefon operatörünüzü kandırarak numaranızı kendi SIM kartına aktarmasıyla (SIM takas saldırısı) ele geçirilebilir. Kimlik doğrulayıcı uygulama (TOTP) tabanlı 2FA ise doğrudan cihazınızda üretildiği için bu tür bir saldırıya karşı önemli ölçüde daha dayanıklıdır.

Registry lock ile registrar kilidi arasındaki fark nedir?

Registrar kilidi, kayıtlı olduğunuz registrar'ın panelinden sizin kontrolünüzde açılıp kapatılan bir korumadır. Registry lock ise koruma seviyesini registry'ye (uzantının üst otoritesine) taşır ve kilidi kaldırmak için genellikle manuel, çok adımlı bir doğrulama süreci gerektirir — bu yüzden hesap ele geçirilse bile saldırganın hızlıca hareket etmesini fiilen engeller.

Küçük bir işletme olarak domain güvenliği için en öncelikli üç adım ne olmalı?

Öncelik sırasıyla: (1) registrar kilidini etkinleştirmek, (2) domain hesabına ve kayıtlı e-postaya güçlü parola ile birlikte iki faktörlü kimlik doğrulama eklemek, (3) WHOIS gizliliğini açmak. Bu üç adım, maliyeti düşük olmasına rağmen hijack risklerinin büyük çoğunluğunu kapatır.

Alan adımın süresi dolarsa ne olur, hemen başkası satın alabilir mi?

Genellikle süre dolduktan sonra bir "zarif dönem" (grace period) ve ardından kurtarma (redemption) süresi tanınır; bu süre boyunca domaini genellikle ek bir ücretle geri alabilirsiniz. Ancak bu süreler uzantıya göre değişir ve süre tamamen bittiğinde domain herkese açık şekilde yeniden satışa çıkar — bu noktada başka biri tarafından anında satın alınabilir. En güvenli yaklaşım, otomatik yenilemeyi açık tutmak ve yenileme bildirimlerini asla göz ardı etmemektir.

Büyükweb Hizmetleri

Alan adınızı ve barındırma altyapınızı tek yerden, güvenlik odaklı bir yaklaşımla yönetmek isterseniz:

• Web Hosting

Sorularınız için 0850 302 60 70 numaralı satış öncesi destek numaramızdan bize ulaşabilir veya iletişim sayfası üzerinden yazılı destek talebinde bulunabilirsiniz.