Domain Privacy Lock Nedir? Neden Mutlaka Aktif Etmelisiniz?

Domain Privacy Lock, alan adı (domain) kayıt bilgilerinin ve bazı kritik işlemlerin yetkisiz değişimini zorlaştıran bir güvenlik katmanıdır. Domain dünyasında en çok yaşanan problemlerden biri, kayıt bilgilerinin ele geçirilmesi veya yetkisiz transfer başlatılmasıdır. Bu yazıda Domain Privacy Lock ile neyin kilitlendiğini, kimlerin neyi neden kilitlemesi gerektiğini ve aktif etmediğinizde pratikte hangi risklerle karşılaştığınızı net şekilde göreceksiniz. Ayrıca kontrol paneli üzerinden nasıl doğrulayacağınızı adım adım anlatacağım.

Domain Privacy Lock tam olarak nedir?

Domain Privacy Lock, domain kayıt operatörünüzün (registrar) sunduğu bir “kilitleme” özelliğidir. Amaç, alan adında belirli değişiklikleri yalnızca yetkili hesapla veya belirli doğrulama adımlarıyla yapılabilir hale getirmektir.

Privacy (gizlilik) kelimesi sizi yanıltmasın: Privacy Lock çoğu sağlayıcıda iki farklı korumayla karışabilir:

• WHOIS Gizliliği (WHOIS privacy / redaction): Domain sahibi bilgilerini (ad, e-posta, telefon) gizler veya vekil bilgi gösterir.
• Lock (transfer / update lock): Domain üzerinde kritik işlemleri (ör. transfer başlatma, kayıt bilgisi güncelleme, bazı durumlarda DNS değişiklikleri) kısıtlar.

NetKıyas açısından önemli nokta şu: Bir sağlayıcı “privacy” adını kullanıp sadece WHOIS gizliliği sunuyor olabilir. Diğer sağlayıcı ise gerçekten “lock” mantığıyla yetkisiz işlemleri kesiyor olabilir. Bu yüzden aktivasyon ekranında tam olarak hangi kısıtın etkinleştiğini kontrol etmek gerekir.

Lock hangi işlemleri kısıtlar?

Kısıtlar sağlayıcıya göre değişir; ancak yaygın olarak şu sınıflar görülür:

• Domain transfer kilidi: Yetkisiz transfer (ör. başka bir registrara taşıma) başlatmayı zorlaştırır.
• Kayıt bilgisi güncelleme kilidi: İsim, e-posta adresi, yönetici/teknik kişi gibi alanlarda değişiklik yapmayı sınırlar.
• Bazı ayar değişiklikleri için ek doğrulama: Telefon/e-posta değişikliği, authInfo/EPP kodu talebi gibi adımlarda ek doğrulama ister.

Önemli: Domain transferi genellikle “EPP/AuthInfo kodu” ile başlar. Lock, bu kodun kolayca talep edilmesini veya transferin otomatik ilerlemesini engelleyebilir.

Neden mutlaka aktif olmalı? (Somut riskler)

Domain Privacy Lock’ı “opsiyonel ekstra güvenlik” gibi düşünmek yerine, alan adınızdaki en pahalı tekil varlık olduğu gerçeğiyle değerlendirmek gerekir. Çünkü domain, web sitenizin, e-postanızın ve güvenilir markanızın kimlik doğrulamasında temel rol oynar.

Aşağıdaki riskler, lock pasifken daha olası hale gelir:

1) Yetkisiz transfer (domain hijack’in en kritik aşaması)

Kötü niyetli kişi, yönetici e-postasına erişmeden bile bazı yollarla taşımayı başlatmaya çalışabilir. Lock aktif değilse, registrar panelinde transfer adımları daha hızlı ilerleyebilir.

Sonuç: Domain başka registrara taşınır, DNS ayarları değiştirilir ve web/e-posta kesintisi yaşanır.

2) WHOIS/iletişim bilgisi ele geçirilmesi ve “kilit çözme” denemeleri

Saldırganlar çoğu zaman ilk hedef olarak kayıt e-postasını veya iletişim bilgilerini değiştirir. Bu sayede siz hesabınıza erişemez hale gelirken, saldırgan kontrolü ele geçirmeyi tamamlar.

Lock aktif değilse, bu güncellemeler daha az sürer.

3) EPP/AuthInfo kodunun istem dışı talep edilmesi

AuthInfo/EPP kodu transfer için kritik anahtardır. Bazı süreçlerde saldırganlar küçük adımlarla kod talep eder, transfer başlatır.

Privacy Lock, bu adımı ya tamamen durdurur ya da ek doğrulama ister.

4) Sosyal mühendislik (destek ekibi üzerinden geri kazanım)

Destek ekiplerine erişim bilgileri üzerinden yönlendirme yapılabilir. Lock aktif olduğunda, destek ekibi işlemleri daha sıkı prosedüre bağlar.

Net etki: “Hızlı kurtarma” veya “kolay değişiklik” denemeleri daha zorlaşır.

5) Yanlışlıkla yapılan değişiklikler (insan hatası)

Lock sadece saldırganlara karşı değildir. Panelde işlem sırasını karıştıran bir kullanıcı (veya yanlışlıkla yetki verilmiş bir çalışan) transfer/ayar güncellemesini istemeden başlatabilir.

Lock, bu hatayı “geri dönüşü daha zor hale gelmeden” durdurur.

Privacy Lock ile WHOIS Privacy arasındaki fark

Domain güvenliğini kurarken iki katmanı ayrı düşünün: gizlilik ve kilitleme.

Not: Her registrarda bu iki özellik aynı menüde bulunmayabilir. “Privacy” yazıyor diye her zaman “lock” etkin olduğu varsaymayın.

Aktif olup olmadığını nasıl kontrol edersiniz? (Net kontrol listesi)

Aşağıdaki kontrol adımları, hangi registrar kullanırsanız kullanın uygulanabilir mantıktadır. Arayüz adları değişebilir.

1) Registrar panelinde domain durumunu bulun

Genelde şu alanlar benzer isimlerle yer alır:

• Domain settings / Domain details
• Security / Locks
• Transfer lock / Registrar lock

Hedef: “Enabled/Disabled” durumunu ve kilidin türünü görmek.

2) Lock yanında hangi işlem kısıtları yazıyor kontrol edin

Ekranda çoğunlukla şu cümleler görülür:

• “Transfer lock is enabled”
• “Update lock is enabled”
• “EPP code protected”

Hedef, kilidin gerçekten transferi ve güncellemeyi kısıtlayıp kısıtlamadığını teyit etmektir.

3) Transfer denemesi değil, panel göstergesi ile doğrulayın

Transferi denemek üretim ortamında risk yaratır. Doğrulama için en güvenli yöntem:

• Panelde lock durumunu görmek
• Eğer panelde transfer başlangıç butonu varsa, lock ile birlikte nasıl davrandığını incelemek

4) WHOIS privacy durumunu ayrıca kontrol edin

Lock’u aktive ettiğinizde her zaman WHOIS privacy de gelmeyebilir. İki özellik ayrı ayrı listelenir.

5) E-posta doğrulama ve hesap kurtarma adımlarını güçlendirin

Lock tek başına yeterli değildir. Hesap güvenliği için:

• Registrar hesabında MFA (iki adımlı doğrulama) kullanın
• Kayıtlı e-posta adresini güncel tutun
• Erişim yetkisi verdiğiniz kişiler için roller tanımlayın

Ne zaman lock'u kaldırmanız gerekir?

Domain güvenliği için lock genellikle kalıcı açıktır. Ancak operasyonel gereksinimler olduğunda kilit kaldırılabilir.

Lock kaldırma gerektiren tipik senaryolar:

• Domain’i başka bir registrara transfer etmek
• Bazı özel güncellemelerin (kayıt bilgilerinde zorunlu değişim) yapılması
• AuthInfo/EPP kodu ile kontrollü bir taşıma sürecinin yürütülmesi

En güvenli yaklaşım: süreli kaldırma + hızlı tekrar aktif etme

Lock’u kaldırmanız gerekiyorsa iki kural uygulayın:

• İşlem tamamlanır tamamlanmaz lock’u tekrar açın.
• Erişim bilgilerinizi (panel şifresi, MFA, yedek kodlar) işlem öncesi kontrol edin.

Hosting tarafında etkisi: Web ve e-posta kesintisi zinciri

Bir domainin transfer edilmesi veya DNS ayarlarının değiştirilmesi, hosting ve e-posta üzerinde zincir etki yaratır. Bu zincir genelde şu şekilde ilerler:

1) Domain başka hesaba/registrara taşınır veya yönetim ele geçirilir. 2) Nameserver (DNS) değiştirilir. 3) Web trafiği yanlış sunucuya gider. 4) DNS kayıtları bozulursa SSL/TLS yenileme ve e-posta teslimi etkilenir.

Privacy Lock, bu zincirin en kritik halkalarından birini baştan zayıflatır: “kontrol panelindeki kritik adım”

NetKıyas için pratik öneri: Hangi planlama doğru?

Domain güvenliğini operasyon yönetimi gibi ele alın. Aşağıdaki öneri seti somut bir çerçeve sunar.

Çoğu kullanıcı için standart güvenlik kurulumu

• Privacy Lock / Transfer lock: Enabled
• WHOIS privacy: Enabled
• Registrar hesabında MFA: Enabled
• Kayıtlı e-posta adresi: güncel ve erişilebilir

Kurumsal ekiplere özel süreç

• En az iki kişi için roller belirleyin (ör. biri panel erişimi, diğeri onay)
• Domain ile ilişkili e-posta adreslerini (örn. admin@, hostmaster@) ayrı sistemlerde koruyun
• Transfer/lock kaldırma işlemi için onay akışı oluşturun

Sık yapılan hatalar (net biçimde kaçının)

• “WHOIS gizli görünüyor, problem yok.”: WHOIS gizliliği lock değildir.
• “Lock’u yalnızca transfer öncesi açarım.”: Bu yaklaşım, saldırı penceresini gereksiz büyütür.
• “Tek kullanıcıyız, sorun olmaz.”: Yanlışlıkla yapılan değişiklik riski saldırgan kadar gerçektir.
• “Panelde lock var sanıyorum.”: Lock türünü (transfer mi, update mi) doğrulayın.

Sonuç: Aksiyona geçin (bugün yapabileceğiniz 4 adım)

Domain Privacy Lock, alan adınızı ele geçirmeye giden yolda en hızlı etki üreten bariyerlerden biridir. Önce registrar panelinizden Transfer lock ve varsa Update lock durumunu kontrol edin; ardından WHOIS privacy’yi ayrıca doğrulayın. Registrar hesabında MFA açık değilse hemen aktifleştirin ve lock kaldırma gerekeceğiniz bir işlem yoksa kilidi kalıcı olarak açık bırakın. Bu 4 adımı bugün tamamladığınızda, domain kaynaklı web/e-posta kesintisi riskini somut şekilde azaltmış olursunuz.