FTP vs SFTP: Güvenli Dosya Transferi için Net Karşılaştırma

Dosya transferi, web sitenizden uygulamanıza kadar birçok akışın temelidir. Ancak “dosyayı atmak” kadar dosyanın yolda nasıl taşındığı da önemlidir. Bu rehberde FTP ile SFTP arasındaki güvenlik farkını somut şekilde ele alacak, hangi durumda neyin doğru seçim olduğunu göstereceğiz. Ayrıca pratik bir kontrol listesiyle doğru protokolü ve güvenlik ayarlarını hızlıca doğrulayacaksınız.

FTP ve SFTP aynı şey mi? Temel fark: şifreleme (en kritik nokta)

FTP (File Transfer Protocol), veri aktarırken genellikle şifreleme sağlamaz. Kullanıcı adı/parola ve dosya içeriği ağ üzerinden okunabilir biçimde gidebilir. Bu; aynı ağda (özellikle kurumsal ağlar, ortak Wi‑Fi, veri merkezi içi paylaşımlar) üçüncü tarafın trafiği yakalaması durumunda risk yaratır.

SFTP (SSH File Transfer Protocol) ise SSH (Secure Shell) üzerinden çalışır. Aktarım sırasında veri ve kimlik doğrulama bilgileri şifrelenir. Sonuç olarak, taşınan içerik ve parolalar ağ üzerinde okunamaz hale gelir.

Ne zaman FTP kullanılır?

FTP bugün için güvenlik açısından “standart tercih” değildir. Ancak aşağıdaki gibi zorunlu ve kontrollü senaryolarda kısa süreli kullanım görülebilir:

Eski sistem/legacy entegrasyon nedeniyle FTP istemcisinin başka protokole geçememesi
Aktarımın yalnızca kapalı ve güvenilir bir ağ içinde yapılması (tamamen yalıtılmış ağ gibi)
Parolanın ve kullanıcı erişiminin katı şekilde yönetilmesi

Yine de NetKıyas bakış açısıyla net tavsiye şöyledir: İnternet üzerinden erişilebilir FTP kullanmayın. Internet’ten erişen FTP yerine SFTP tercih edin.

Portlar ve bağlantı davranışı: Ağ seviyesi farklar

Doğru teşhis ve doğru kural seti için portlar önemlidir. FTP, verinin taşınması için kontrol bağlantısına ek olarak veri bağlantısı da kullanabilir; bu nedenle firewall tarafında daha fazla kurala ihtiyaç duyabilir.

Aşağıdaki tablo, pratikte en çok işinize yarayacak noktaları özetler:

Protokol	Şifreleme	Varsayılan port	Trafik türü	Tipik kullanım
FTP	Yok (varsayılan)	21	Kontrol + ayrıca veri	Legacy entegrasyonlar
FTPS (FTP + TLS/SSL)	Var	21 (ve TLS)	TLS ile	FTP ekosistemini koruyanlar
SFTP	Var (SSH)	22	Tek kanaldan şifreli aktarım	Güncel, güvenli dosya transferi

Not: Bazı sistemler FTPS veya SFTP için farklı portlar kullanabilir. İlgili servis konfigürasyonunu kontrol edin.

Kimlik doğrulama ve izin modeli: Sunucu tarafında ne kontrol edilmeli?

SFTP’nin güvenliği, yalnızca protokol seçimiyle bitmez. Sunucuda kimlik doğrulama yöntemi ve dosya izinleri doğru kurgulanmalıdır.

SFTP’de yaygın kimlik doğrulama seçenekleri

SFTP tarafında en sık iki yöntem görülür:

Parola (password) ile giriş: Hızlı kurulur ama parola politikası sıkı olmalıdır.
SSH anahtarı (key-based authentication): Parola tabanlı sisteme göre daha güvenli ve yönetimi daha tutarlıdır.

NetKıyas uygulama pratiği: Parola ile giriş gerekiyorsa güçlü parola politikası + erişim kısıtı + deneme limitleri uygulanmalıdır. Anahtar tabanlı giriş daha az risklidir.

Kullanıcı chroot / dizin sınırlandırma

Bir SFTP kullanıcısının tüm dosya sistemine erişmesi risk doğurabilir. Bu yüzden şu kontroller önemlidir:

Kullanıcının belirli bir kök dizine (chroot) hapsedilmesi
Dosya ve dizin izinlerinin (permission) doğru verilmesi
Uygulama için minimum yetki (least privilege)

Örneğin web kök dizinine yetkisiz kullanıcıların yazma izni olmamalıdır. Ayrıca sadece gerektiği kadar dizine erişim verilmelidir.

Performans ve pratik kullanım: Günlükte farkı yaratan şeyler

FTP ile SFTP arasındaki “dosya boyutu” benzer olsa bile, SFTP’de şifreleme nedeniyle bir miktar ek CPU maliyeti olur. Ancak modern sunucularda bu fark genellikle yönetilebilir seviyededir.

Net karar kriteri şudur:

Veri güvenliği kritikse (çoğu durumda evet): SFTP tercih edin.
Çok yüksek hacimde dosya transferi yapıyorsanız: Sunucu CPU’su ve disk I/O’yu ölçün; şifreleme overhead’ı toplamda belirleyici olabilir.

Gerçekçi seçim için ölçüm yaklaşımı

Kararı varsayımla vermeyin. En sağlıklı yöntem:

Aynı dosya grubunu hem FTP (varsa) hem SFTP ile test edin.
Sunucu tarafında CPU kullanımını ve transfer süresini gözleyin.
Firewall/NAT kaynaklı ek gecikme varsa onu ayırın.

Bu sayede sadece “şifre var” diye değil, sizin senaryonuzda farkın ne kadar olduğunu görürsünüz.

Ne işe hangi protokol? Senaryo bazlı net rehber

Aşağıdaki senaryolar, hangi protokolün daha doğru olduğuna karar verirken pratik bir çerçeve sunar.

Web sitenize içerik yükleme (CMS/WordPress vb.)

Gereken: güvenli dosya yükleme + minimum yetki
Öneri: SFTP
Ek: Kullanıcıları yalnızca gerekli dizinlere bağlayın; yazma iznini kontrol edin.

Kurumsal entegrasyon (otomasyon/CI/CD)

Gereken: otomatik işlem + güvenli kimlik doğrulama
Öneri: SFTP ile anahtar tabanlı erişim
Ek: Anahtarları rotasyonla yönetin, erişimleri loglayın.

Legacy sistem (FTP zorunlu)

Gereken: mevcut entegrasyonu çalıştırma
Öneri: FTP’yi internete açık bırakmayın.
Alternatif: Mümkünse FTPS’e geçin veya ağ seviyesinde sınırlayın.

Güvenlik kontrol listesi: SFTP’yi doğru kurduğunuzdan emin olun

SFTP kullanıyor olmanız güvenlik garantisi değildir; şu maddeleri net şekilde kontrol edin.

1) Erişimi kısıtlayın

SFTP servisinin yalnızca ihtiyaç duyulan IP aralıklarından erişilebilir olduğundan emin olun.
Yönetim portlarını (ör. SSH) gereksiz şekilde internetten herkese açmayın.

2) Parola yerine anahtar kullanın

Anahtar tabanlı giriş, parola sızıntısı riskini düşürür.
Anahtarları kullanıcı bazında yönetin; ortak anahtar kullanmayın.

3) Oturum deneme limitleri ve koruma

FTP/SFTP dışı saldırılar için de aynı sunucu üzerinde korumalar önemlidir. Şunları uygulayın:

Brute-force denemelerine karşı deneme limitleri
Logların toplanması
Gerekiyorsa fail2ban benzeri yaklaşım

4) Dizin izinlerini minimum yetkiyle yapın

Uygulama dosyaları için “gerekiyorsa yazma, aksi halde okuma” yaklaşımı
Yanlışlıkla tüm dizinlerde yazma izni vermeyin

5) Yedekleme (backup) ve geri dönüş testi

Dosya transferi hataları geri dönüş gerektirir. Bu yüzden:

Uygulamaya uygun sıklıkta yedek alın
Yedekleri restore (geri yükleme) ederek doğrulayın
Yedek dosyalarının da erişim kontrolü altında olduğundan emin olun

FTP’yi tamamen bırakmak için geçiş planı

Birçok sistemde “FTP’den SFTP’ye geçtim ama sorun oldu” durumu yaşanır. Bunun nedeni genellikle yapı farklarıdır (dizin izinleri, kullanıcılar, otomasyon scriptleri, firewall kuralları).

Net geçiş adımları:

Sunucuda SFTP kullanıcılarını ve erişim dizinlerini oluşturun.
Uygulama/CI süreçlerinde kullanılan kimlikleri SFTP anahtarlarına taşıyın.
Firewall tarafında 22 portu ve gerektiği kadar kural açın.
Aynı dosya setiyle bir “pilot” aktarım yapın.
Hata senaryolarını simüle edin: yanlış dizin, eksik izin, kesintili bağlantı.
Son olarak FTP kullanıcılarını devre dışı bırakın.

NetKıyas için karar özeti: En doğru seçim hangisi?

İnternet üzerinden dosya aktarımı yapıyorsanız: SFTP tercih edin.
Güvenlik, kimlik doğrulama, izin sınırlandırma ve erişim kısıtıyla desteklemeyorsanız: sadece protokol seçimi yetmez.
Çok özel legacy zorunluluklar varsa: FTP’yi internete açık bırakmadan ve mümkünse FTPS’e geçerek riski kontrol edin.

Son adım olarak, mevcut sisteminizi bir “sorgu listesi” gibi değerlendirin: “Bağlantı protokolü ne? Parola mı anahtar mı? Kullanıcı hangi dizine hapsediliyor? 22/21 hangi IP’lere açık? Transfer edilen dosyalar için izinler minimum mu?” Bu soruların yanıtını netleştirdiğiniz anda doğru protokole ve doğru güvenlik ayarlarına karar vermek çok hızlı hale gelir.