Kısaca
Misafir Wi-Fi'de "hangi siteye girdiği kaydedilir" inancı yaygın ama yanlış. HTTPS ve DNS-over-HTTPS çağında bir hotspot kutusunun gerçekten tuttuğu kayıt nedir?
Efsane nereden çıkıyor?
İşletme sahipleriyle konuştuğumuzda sık duyduğumuz cümle şu: "Misafir hangi siteye girdiyse kutu onu kaydediyor, başımız ağrımasın." Bu inanç iki kaynaktan besleniyor. Birincisi, eski internet kafelerde kullanılan ekran izleme yazılımları. İkincisi, "log tutmak" ifadesinin halk arasında "her şeyi tutmak" diye anlaşılması.
Oysa 5651 sayılı Kanun'un toplu kullanım sağlayıcıdan beklediği şey, hangi cihazın hangi saatte hangi iç IP adresini aldığını gösteren iç IP dağıtım kayıtlarıdır. Yani "kim, ne zaman, hangi adresle ağdaydı" sorusunun cevabı. "Ne okudu, ne izledi" sorusu bu kapsamda değildir.
Teknik gerçek: HTTPS her şeyi kapattı
Bugün bir misafirin telefonuyla açtığı sitelerin neredeyse tamamı HTTPS ile şifrelidir. Bu ne demek?
- Sayfanın içeriği şifrelidir. Arada duran hiçbir cihaz okuyamaz.
- Sayfanın tam adresi (URL) şifrelidir.
/sepet,/mesajlar,/arama?q=...gibi yollar görünmez. - Yalnızca bağlantının kurulduğu sunucu adı (SNI) ve IP adresi ağ üzerinde geçer. O da giderek şifrelenmektedir (Encrypted Client Hello).
Bir hotspot kutusu ağın ortasında dursa bile URL göremez. Görmek için şifreyi kırması, yani misafirin telefonuna sahte sertifika yüklemesi gerekir. Bu hem teknik olarak misafir cihazında müdahale ister hem de ciddi hukuki ve etik sorunlar doğurur. Kimse bunu yapmaz, yapmamalıdır.
DNS-over-HTTPS: alan adı bile görünmeyebilir
Eskiden "hangi alan adına gidildi" sorusu DNS sorgularından anlaşılabilirdi. Telefon ornek.com için IP sorar, ağ bunu görürdü. Artık modern tarayıcılar ve işletim sistemleri DNS sorgusunu da HTTPS içinde taşıyor (DNS-over-HTTPS, DoH). Sorgu, tarayıcıdan doğrudan bir DNS sağlayıcısına şifreli gidiyor. Aradaki ağ yalnızca "bir DNS sağlayıcısıyla konuştu" bilgisini görüyor.
Bu şu anlama gelir: "URL kaydı tutan hotspot" vaadi, bugünün cihazlarında çoğunlukla boş bir vaattir. Kutu ya hiçbir şey göremez ya da eksik ve yanıltıcı bir liste üretir. Eksik liste, tam listeden daha tehlikelidir; yanlış bir güven verir.
O zaman kutu ne tutar?
Hotspot-Box'ın tuttuğu kayıt, misafirin ağda kim olduğu ve ne zaman olduğu ile sınırlıdır:
| Alan | Ne anlama geliyor |
|---|---|
| Doğrulama bilgisi | SMS ile doğrulanan telefon numarası (şifreli saklanır, panelde maskeli), kupon kodu ya da e-posta |
| Cihaz MAC adresi | Misafir cihazının ağ kartı kimliği |
| Atanan iç IP | Kutunun o oturumda cihaza verdiği adres |
| Oturum başlangıcı ve bitişi | Zaman damgalı saatler |
| NAT bilgisi | Varsa, dışa çıkan adres ve port eşlemesi |
Günlük kayıt dosyaları SHA-256 özet zinciriyle birbirine bağlanır ve RFC 3161 zaman damgası alır. Damga servisine kaydın kendisi değil yalnızca özeti gider. Kayıtlar 2 yıl (730 gün) kutuda saklanır; süresi dolan gün otomatik silinir ve silme işlemi denetim izine yazılır.
Kutu neyi kesinlikle tutmaz?
- Ziyaret edilen siteler ve URL'ler
- Sayfa içeriği, indirilen dosyalar
- Mesajlar, e-posta içerikleri
- Konum bilgisi
- Misafirin sosyal medya profili
İsteğe bağlı bir DNS sorgu günlüğü özelliği vardır. Bunu açarsanız, kutunun DNS sunucusunu kullanan cihazların sorduğu alan adları tutulur. DoH kullanan cihazlar bu günlükte görünmez; yani bu özellik "tam liste" değildir ve biz onu bu şekilde tanıtmıyoruz. Açmadan önce aydınlatma metninizi ve saklama politikanızı buna göre güncellemeniz gerekir.
Sık yapılan hata: "URL logu da olsun" isteği
Kurulum görüşmelerinde bazen "kutu URL logu da tutsun, ne olur ne olmaz" talebi gelir. Bu talebi kabul etmiyoruz ve nedenini açık söylüyoruz. Birincisi, yukarıda anlattığımız gibi teknik olarak eksik kalır. İkincisi, tuttuğunuz her ek veri KVKK açısından bir işleme faaliyetidir: aydınlatma metnine yazmanız, saklama süresini belirlemeniz, erişimini kısıtlamanız gerekir. Üçüncüsü, bir talep geldiğinde yetkili kurum iç IP ve zaman sorar; URL listesi sunmanız sizi daha güvenli yapmaz, yalnızca daha fazla veri paylaşmış olursunuz.
Kutunun kurulumcusu ya da danışmanınız bunu öneriyorsa, "hangi soruya cevap verecek" diye sorun. Cevap "ne olur ne olmaz" ise, o veri tutulmamalıdır.
İşletme için ne değişir?
"Her şeyi kaydediyorum" demek yerine şunu söyleyebilirsiniz: "Ağımda kimin, ne zaman, hangi adresle bulunduğunu kanıtlayabilirim." Bir soruşturma geldiğinde yetkili kurumun sorduğu da budur: belirli bir saatte belirli bir iç IP'yi hangi cihaz kullanıyordu? Kutu bu soruya zaman damgalı, bütünlüğü doğrulanabilir bir cevap verir.
Daha az veri tutmak aynı zamanda daha az KVKK yükü demektir. Tutmadığınız veriyi sızdıramazsınız, yanlış paylaşamazsınız, saklama süresini kaçıramazsınız.
Özet
- "Erişilen siteler kaydedilir" cümlesi, HTTPS ve DoH yüzünden teknik olarak çoğunlukla gerçekleşemez.
- 5651 kapsamındaki beklenti iç IP dağıtım kayıtlarıdır; içerik ya da URL değil.
- Hotspot-Box kimlik, cihaz, adres ve zaman bilgisini tutar; içeriğe hiç dokunmaz.
Kayıtların nasıl üretildiğini ve doğrulandığını ürün sayfasında ayrıntılı anlattık. Sık sorulan sorular için SSS sayfasına bakabilirsiniz.
Bu yazı bilgilendirme amaçlıdır, hukuki danışmanlık değildir.
Bu yazı bilgilendirme amaçlıdır, hukuki danışmanlık değildir; yükümlülüğünüzü hukuk danışmanınızla doğrulayın.