Domain ve DNS Bilgi Rehberi
Kilitli çekmecedeki özel kart ve duvarda hâlâ görünen bina rehberi

WHOIS Gizliliği (Privacy Protection) Gerçekte Ne Korur?

WHOIS sorgusu, bir domain adının kime ait olduğunu, kayıt tarihini ve nameserver bilgilerini gösteren kamuya açık bir veritabanıdır. Domain tescil sürecinde registrant adı, e-posta, telefon ve adres bilgileri bu veritabanına işlenir. Privacy protection (gizlilik koruması) hizmetini etkinleştirdiğinizde ise bu bilgilerin yerine registrar firmasının proxy iletişim bilgileri görünür.

Pek çok kullanıcı bu hizmeti kapsamlı bir anonimlik kalkanı olarak algılar; oysa koruma yalnızca WHOIS katmanındaki kişisel verilerle sınırlıdır. DNS kayıtları, alan adı yaşı, nameserver bilgileri ve IP adresleri her koşulda kamuya açık olmaya devam eder. Özellikle SPF ve DMARC yapılandırması söz konusu olduğunda bu ayrımın pratik sonuçlarını bilmek gerekir.

Bireysel bir blog veya kişisel portföy sitesi için privacy protection neredeyse her zaman işe yarar. Kurumsal kullanımda karar daha nüanslıdır ve e-posta altyapısına, hukuki yükümlülüklere, domain transfer planlarına göre şekillenir.

WHOIS Veritabanında Hangi Bilgiler Saklanır?

Kime ait olduğunu, kayıt tarihini ve nameserver bilgilerini gösteren WHOIS kaydı üç temel giriş içerir: registrant (tescil sahibi), administrative contact (yönetici) ve technical contact (teknik yetkili). Standart bir kayıtta şu alanlar yer alır:

2018'de yürürlüğe giren GDPR'dan sonra Avrupa kaynaklı tescillerde kişisel e-posta ve telefon gibi alanlar varsayılan olarak gizlenmeye başladı. .com, .net gibi jenerik uzantılarda bu otomatik gizleme çoğu durumda geçerli değildir; privacy protection hizmeti ayrıca satın alınır veya bazı registrar'lar tarafından ücretsiz sunulur.

.tr uzantısında nic.tr kendi politikasını uygular; belge katmanı BTK kayıt kurallarıyla kesişir. Bireysel hesaplarda registrant bilgileri görünmeyebilir; ancak kurumsal tescillerde şirket adı ve iletişim bilgileri açık kalabilir. Nameserver adresleri ve domain durum kodları ise privacy protection kapsamına hiçbir uzantıda girmez; bu bilgiler teknik işleyişin zorunlu parçasıdır ve gizlenemez.

Privacy Protection Tam Olarak Neyi Gizler?

Hizmet etkinleştirildiğinde registrant, administrative ve technical contact bölümlerindeki kişisel bilgiler registrar'ın proxy servisi bilgileriyle değiştirilir. E-posta alanında sizin adresiniz yerine [email protected] gibi bir proxy adresi görünür; bu adrese gelen mesajlar ya gerçek adresinize iletilir ya da filtrelenerek düşürülür. Telefon alanında genellikle registrar'ın genel numarası, adres alanında ise registrar'ın ofis adresi yer alır.

Gizlenebilecek tek şey kişisel iletişim bilgisi ve adrestir.

Privacy protection sonradan etkinleştirilmişse, daha önceki döneme ait kayıt bilgileri bazı WHOIS arşiv servislerinde erişilebilir kalabilir. Domain tescil edildiği andan itibaren koruma açıksa bu sorun yaşanmaz; ancak bir süre açık kaldıktan sonra hizmet eklendiyse o aralıktaki registrant bilgileri hâlâ görünür durumdadır. Privacy protection'ı mümkün olan en erken aşamada etkinleştirmek bu nedenle önemlidir; sonradan eklemek tarihsel veriyi geri almaz.

Bir domain'in hangi IP adresine bağlı olduğu A kaydı sorgusunda görünür. Hangi mail sunucusunu kullandığı MX kaydında okunabilir. Hangi SPF politikasını yayınladığı TXT kaydında erişilebilirdir. Privacy protection bu değerlere dokunmaz; çünkü bunlar DNS katmanında yaşar, WHOIS veritabanında değil. İki katman birbirinden bağımsız çalışır ve biri diğerinin içeriğini hiç etkilemez.

DNS Kayıtları Gizlilik Korumasına Rağmen Açık Kalır

DNS, domain'in çalışması için zorunlu olan teknik veriyi taşır ve bu veri kamuya açık olmak zorundadır. Bir e-posta sunucusu sizin domain'inize mesaj yönlendirmek istediğinde MX kaydını sorgulamak zorundadır. Tarayıcılar sitenize erişmek için A veya AAAA kaydına bakar. Bu sorgular herhangi bir kimlik doğrulama gerektirmez; yalnızca standart DNS protokolü üzerinden çalışır.

nslookup veya dig gibi araçlarla aşağıdaki kayıtlar her zaman okunabilir:

Privacy protection'ın aktif olup olmaması bu sorguların sonucunu hiç etkilemez. Nameserver adreslerinden hangi DNS sağlayıcısının kullanıldığı, MX kayıtlarından hangi e-posta platformuna geçildiği saniyeler içinde okunabilir. Domain üzerinde çalışan e-posta altyapısı, barındırma sağlayıcısı ve kullanılan CDN gibi bilgiler DNS üzerinden her zaman çıkarılabilir. Bu hizmeti "tam anonimlik" olarak değil, yalnızca kişisel iletişim verisini koruyan dar kapsamlı bir önlem olarak konumlandırmak gerekir.

SPF ve DMARC Yapılandırmasıyla Çakışma Var mı?

Hayır. Privacy protection, SPF veya DMARC kayıtlarına müdahale etmez.

SPF bir TXT kaydı olarak DNS zone dosyasına eklenir. DMARC politikası da _dmarc.yourdomain.com altında yine bir TXT kaydı olarak yayınlanır. DKIM public anahtarı ise selector tabanlı bir TXT kaydında tutulur. Bu kayıtların tamamı DNS katmanında çalışır; WHOIS veritabanında değil. Privacy protection yalnızca WHOIS'e yazılan registrant bilgilerini değiştirir, DNS zone dosyasına hiç dokunmaz.

Bununla birlikte, bazı registrar'lar domain doğrulaması sırasında registrant e-postasına doğrulama mesajı gönderir. Privacy protection aktifken bu mesajlar proxy adresine düşer; registrar'ın iletim ayarları sağlıklı çalışmıyorsa mesaj hiç ulaşmayabilir. Google Workspace için DNS kayıtlarını yapılandırırken veya Microsoft 365 MX ve SPF kayıtlarını kurarken registrar panelindeki doğrulama mesajlarını almak için proxy iletim ayarlarını önceden kontrol edin. SPF veya DMARC politikasının kendisi bu durumdan etkilenmez; yalnızca domain sahipliği doğrulama adımı gecikebilir.

E-posta deliverability sorunlarında privacy protection neredeyse hiçbir zaman doğrudan suçludur diyemeyiz. Sorun çoğunlukla SPF, DKIM veya DMARC hizalamasındadır ve bu hizalamayı WHOIS durumundan bağımsız olarak incelemek gerekir.

Privacy Protection'ı Kaldırmanız Gereken Durumlar

Çoğu senaryo için gizliliği açık tutmak sorun yaratmaz. Ancak bazı durumlarda kaldırmak ya da geçici olarak devre dışı bırakmak gerekebilir.

Domain transfer sürecinde: .tr uzantılı domain transferlerinde veya jenerik uzantılardaki registrar değişikliklerinde EPP kodu iletimi ve sahiplik doğrulaması registrant bilgilerine erişimi gerektirebilir. Proxy adresine gelen doğrulama mesajları iletilmezse transfer kilitlenebilir ve süreç beklenmedik biçimde uzayabilir.

Hukuki yükümlülüklerde: Bazı ülkelerin mevzuatı ticari amaçlı web sitelerinin kayıt bilgilerini kamuya açık tutmasını zorunlu kılar. Hukuki tebligat almamak için privacy protection cazip görünebilir; ancak bu durum bağlı olduğunuz ülkenin hukukuna ve sektörünüze göre ek yükümlülükler doğurabilir. Avukat görüşü almadan bu kararı vermek ek risk taşır.

UDRP süreçlerinde: Trademark ihlali uyuşmazlıklarında karşı tarafın registrant'a ulaşması gerekebilir. Süreç proxy adresi üzerinden de yürütülebilir; ancak proxy iletim gecikmesi hak kaybına neden olabilir. Aktif bir uyuşmazlık sırasında proxy iletim ayarlarını düzenli olarak kontrol etmek önerilir.

Bazı üçüncü taraf doğrulamalarında: Ödeme sistemleri, reklam ağları veya marketplace platformları domain sahipliği doğrulaması isteyebilir. Bu doğrulama genellikle DNS tabanlı bir TXT kaydıyla yapılır ve privacy protection'ı kaldırmayı gerektirmez. Nadir durumlarda WHOIS eşleşmesi istenirse geçici olarak devre dışı bırakmak yeterlidir; bu işlem geri alınabilir ve DNS yapılandırmasını hiç etkilemez.

Kurumsal ve Bireysel Kullanım Açısından Değerlendirme

Bireysel kullanım için tablo oldukça nettir. Kişisel telefon ve ev adresinin kamuya açık bir veritabanında yer alması, spam aramalar ve sosyal mühendislik saldırıları için doğrudan bir kapı bırakır. Privacy protection bu riski ortadan kaldırır ve e-posta altyapınıza herhangi bir ek yük getirmez.

Çok sayıda domain yöneten kişiler için her domain ayrı değerlendirilmelidir; ticari satışa sunulan domainlerde alıcıyla iletişim için proxy iletim ayarlarının düzgün çalışıp çalışmadığı aralıklı olarak kontrol edilmelidir. Proxy iletimi kapanmış ya da filtrelenmiş bir domain'de potansiyel bir alıcının mesajı kaybolabilir. Aynı durum, domain üzerinden doğrulama e-postası bekleyen partner platformları için de geçerlidir.

Kurumsal kullanımda resim biraz farklıdır. Şirket adı, kurumsal e-posta ve genel merkez adresi zaten halka açık bilgilerdir; bu verilerin WHOIS'te görünmesi ek güvenlik riski yaratmaz. Buna karşın bireysel çalışan adı veya kişisel telefon numarası gibi bilgiler WHOIS'e yanlışlıkla eklenmişse privacy protection bu açığı kapatır. Toplu e-posta gönderiminde DMARC politikası belirlerken WHOIS gizliliğinin DNS TXT kayıtlarına dokunmadığını, yani reject, quarantine veya none değerlerini WHOIS durumundan tamamen bağımsız biçimde yapılandırabileceğinizi hatırlayın.

Privacy protection etkinleştirildiğinde domain'in teknik işleyişi kısıtlanmaz. E-posta alır ve gönderirsiniz, siteniz yayında kalır, DNS kayıtları güncellenebilir. Tek fark kişisel iletişim bilgilerinizin WHOIS sorgu sonuçlarından çekilmiş olmasıdır.

Korumayı açıp kapatma kararı için doğru soru şudur: WHOIS'te kişisel mi yoksa kurumsal bilgi mi yer alıyor? Kişisel bilgi varsa kapatmak için güçlü bir neden gerekir; kurumsal bilgi varsa gizlilik sağladığı avantaj sınırlıdır ve transfer ile doğrulama süreçlerinde proxy iletimini ayrıca izlemek gerektiğini göz önünde bulundurmak gerekir.

İlgili Yazılar