Alan Adı Gizliliği: WHOIS Verilerinin Korunması

Alan adı tescili, tescil ettiren kişi ya da kuruluşa ait kimlik ve iletişim bilgilerinin kayıt kuruluşuna (registrar) ve merkezi kayıt otoritesine (registry) iletilmesini gerektirir. Bu bilgiler uzun yıllar boyunca WHOIS adı verilen sorgu hizmeti üzerinden herkese açık biçimde görüntülenebiliyordu. Alan adı gizliliği kavramı, söz konusu verilerin üçüncü taraflarca sınırsız biçimde erişilebilir olmasını sınırlandırmaya yönelik teknik ve hukuki uygulamaların bütününü ifade eder. Bu yazıda WHOIS veri modelinin yapısı, kişisel verilerin maskelenme yöntemleri ve veri koruma düzenlemelerinin alan adı ekosistemine etkisi ele alınmaktadır.

WHOIS Veritabanının Yapısı ve İşlevi

WHOIS, alan adı tescillerine ilişkin kayıt bilgilerini sorgulamak amacıyla geliştirilmiş, metin tabanlı ve köklü bir protokoldür. Bir alan adı sorgulandığında dönen yanıt tipik olarak üç katmanlı bir yapı içerir: kayıt otoritesi (registry) verisi, kayıt kuruluşu (registrar) verisi ve tescil ettiren (registrant) verisi. Bu katmanlar arasında alan adının oluşturulma ve bitiş tarihleri, güncel durum kodları, ad sunucuları (name server) ve tescil ettirenin ad, adres, e-posta, telefon bilgileri gibi alanlar yer alır.

WHOIS verisi başlangıçta teknik koordinasyon amacıyla tasarlanmıştı. Alan adı sisteminde yaşanan bir sorunun kime bildirileceğini belirlemek, ağ operatörlerinin birbirine ulaşabilmesini sağlamak gibi işlevleri vardı. Ancak internetin yaygınlaşmasıyla birlikte bu veri kümesi, alan adı sahipliğinin kimliğini tespit etmek isteyen çok sayıda farklı aktör için başvurulan bir kaynak hâline geldi. Zamanla WHOIS protokolünün teknik sınırlamaları belirginleşti; yapılandırılmamış çıktı biçimi, uluslararasılaştırılmış karakter desteğinin yetersizliği ve kimlik doğrulama mekanizmasının bulunmaması gibi sorunlar ortaya çıktı.

Bu sınırlamalara yanıt olarak RDAP (Registration Data Access Protocol) geliştirildi. RDAP, sorgu sonuçlarını JSON biçiminde, standartlaştırılmış alan adlarıyla ve HTTPS üzerinden sunar. Erişim yetkilendirmesi ve katmanlı veri sunumu gibi imkânları yapısal olarak destekler. Genel üst düzey alan adlarında RDAP, WHOIS'in yerini alan bir sorgu yöntemi olarak kullanılmaktadır.

Kişisel Verilerin Görünürlüğünden Kaynaklanan Riskler

Açık erişimli kayıt verileri, alan adı sahiplerinin kimlik bilgilerinin otomatik araçlarla toplanmasına olanak tanır. Bu veriler üzerinden yürütülebilecek faaliyetler arasında istenmeyen ticari iletilerin gönderilmesi, kimlik avı girişimleri, sosyal mühendislik saldırıları ve kişinin fiziksel adresinin ifşası gibi durumlar sayılabilir. Bireysel tescil sahipleri için bu durum hem mahremiyet hem de güvenlik açısından sonuç doğurabilir.

Kurumsal tescil sahipleri açısından ise riskler farklı bir boyut kazanır. Kuruluşların teknik iletişim adresleri, altyapı tercihleri ve organizasyon yapısı hakkında dolaylı bilgi üretebilir. Toplu veri çekme yöntemleriyle elde edilen kayıt bilgileri, rakip analizi veya hedefli iletişim amacıyla kullanılabilir. Ayrıca eski çalışanlara ait e-posta adreslerinin kayıtlarda güncel görünmesi, devir teslim süreçlerinin yönetilmediği durumlarda yetki karmaşasına yol açabilir.

Alan Adı Gizliliği Hizmetlerinin İşleyiş Biçimi

Alan adı gizliliği, tescil ettirenin kişisel verilerinin kamuya açık kayıt çıktısında doğrudan görünmesini engellemeye yönelik uygulamaları kapsar. Bu uygulamalar yalnızca teknik bir maskeleme işlemi değildir; beraberinde veri sorumluluğu, sözleşmesel ilişkiler ve erişim yetkileri gibi hukuki boyutlar da taşır.

Vekil Kayıt ve Gizlilik Hizmeti Ayrımı

Geleneksel uygulamada iki farklı model öne çıkmıştır. Vekil kayıt (proxy) modelinde, alan adı hizmet sağlayıcının kendi adına tescil edilir; sağlayıcı, gelen iletişimi gerçek sahibe yönlendirir. Gizlilik hizmeti (privacy service) modelinde ise tescil gerçek sahip adına yapılır ancak kamuya açık kayıtta sağlayıcının iletişim bilgileri gösterilir. Her iki modelde de gerçek tescil verisi kayıt kuruluşunda saklı kalır ve yetkili merciler ile uyuşmazlık çözüm organları için erişilebilir durumdadır.

Redaksiyon ve Veri Minimizasyonu

Veri koruma mevzuatının etkisiyle birlikte üçüncü bir yaklaşım yaygınlaşmıştır: redaksiyon. Bu yaklaşımda kayıt kuruluşu, kişisel nitelikli alanları (ad, adres, telefon, e-posta gibi) kamuya açık çıktıdan çıkarır veya anonimleştirir. Alan adının kendisi, kayıt kuruluşunun kimliği, oluşturulma ve bitiş tarihleri, ad sunucuları ve durum kodları gibi teknik alanlar açık kalır. Böylece alan adı sisteminin işleyişi için gerekli kamu yararı korunurken kişisel verilerin ifşası sınırlandırılmış olur.

Veri Koruma Düzenlemelerinin Etkisi

Avrupa Birliği Genel Veri Koruma Tüzüğü'nün (GDPR) 2018 yılında yürürlüğe girmesi, alan adı kayıt verisinin işlenmesinde belirgin bir dönüşüm başlattı. Tüzük, kişisel verilerin işlenmesi için hukuki bir dayanak gerektirmekte; veri minimizasyonu, amaçla sınırlılık ve şeffaflık ilkelerini tanımlamaktadır. Kamuya açık biçimde sınırsız veri yayımlanması bu ilkelerle bağdaşmadığı için kayıt kuruluşları ve merkezi kayıt otoriteleri uygulamalarını yeniden düzenlemek durumunda kaldı.

ICANN'in Geçici Spesifikasyonu ve Sonraki Politikalar

Bu dönüşüm karşısında ICANN, genel üst düzey alan adlarında geçerli olacak geçici bir spesifikasyon yayımlayarak kayıt verisinin kamuya açık biçimde sunulmasını yeniden çerçeveledi. Böylece kişisel verilerin çıktıdan çıkarılması yaygın bir uygulama hâline geldi. İlerleyen süreçte geçici düzenlemenin yerini kalıcı bir politika çerçevesi alacak biçimde çalışmalar yürütüldü ve kayıt verisi politikası konsolide edildi. Amaç, veri koruma yükümlülükleri ile alan adı sisteminin şeffaflık ihtiyacı arasında dengeli bir çerçeve kurmaktı.

Katmanlı Erişim Tartışmaları

Kamuya açık erişimin sınırlandırılması, meşru amaçlarla veriye ihtiyaç duyan aktörler için yeni bir sorun ortaya çıkardı. Kolluk kuvvetleri, fikri mülkiyet hak sahipleri, güvenlik araştırmacıları ve akreditasyon kuruluşları, kişisel verilerin tamamına erişmek yerine amaca uygun ve yetkilendirilmiş bir modele ihtiyaç duyduklarını belirtti. Bu doğrultuda katmanlı erişim (tiered access) modelleri tartışıldı; kimin hangi koşullarda hangi veriye erişebileceğini tanımlayan, başvuru ve doğrulama süreçleri içeren yapılar önerildi. Bu tartışma, veri koruma ile hesap verebilirlik arasındaki dengeyi arayan bir süreç olarak sürmektedir.

Ulusal Düzenlemeler ve Ülke Kodlu Alan Adları

Ülke kodlu üst düzey alan adlarında uygulama, ilgili ülkenin kayıt otoritesinin benimsediği politikalara göre farklılık gösterir. Türkiye'de 6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verilerin işlenmesine ilişkin genel çerçeveyi belirler ve veri sorumlularına bilgilendirme, amaca bağlılık ve güvenlik yükümlülükleri getirir. Alan adı kayıt süreçleri de bu çerçevenin dışında değildir. Ülke kodlu alan adlarının yönetimi, ilgili ülkelerde zaman içinde kurumsal yapı değişiklikleri yaşayabilmekte; kayıt politikaları ve veri görünürlüğü kuralları bu yapıya paralel olarak güncellenmektedir.

Gizliliğin Sınırları ve İstisnaları

Alan adı gizliliği, kayıt verisinin hiçbir koşulda paylaşılmadığı bir durum anlamına gelmez. Uygulamada birtakım sınırlar ve istisnalar bulunur:

• Kayıt kuruluşu ve merkezi kayıt otoritesi, gerçek tescil verisini her koşulda saklar ve alan adının teknik olarak işletilebilmesi için bu veriye ihtiyaç duyar.
• Kolluk kuvvetlerinin usulüne uygun talepleri ile mahkeme kararları, gizlilik katmanının ötesinde veri erişimi sağlayabilir.
• Alan adı uyuşmazlıklarının çözümünde kullanılan tahkim mekanizmaları, ilgili usuller çerçevesinde kayıt verisine erişebilir.
• Kötüye kullanım bildirimlerinin (spam, kimlik avı, kötü amaçlı yazılım dağıtımı) iletilmesi ve değerlendirilmesi için iletişim kanalları açık tutulur.
• Alan adının süresi dolduğunda veya kayıt askıya alındığında uygulanan politikalar, gizlilik hizmetinden bağımsız olarak işler.

Bu istisnalar, gizliliğin mutlak bir perdeleme değil; veri işleme amacına ve hukuki dayanağa bağlı, katmanlı bir koruma mekanizması olduğunu gösterir.

Kayıt Verisinin Doğruluğu ve Doğrulama Yükümlülükleri

Alan adı kayıt sözleşmeleri, tescil ettirenin doğru ve güncel bilgi sağlamasını şart koşar. Kayıt kuruluşları, belirli aralıklarla e-posta veya telefon üzerinden doğrulama yaparak kayıt verisinin geçerliliğini kontrol eder. Doğrulanmayan iletişim bilgileri, alan adının askıya alınmasına yol açabilir. Bu nedenle gizlilik hizmeti kullanılsa bile gerçek verinin doğru tutulması ve değişikliklerin zamanında bildirilmesi gerekir.

Doğrulama yükümlülüklerinin amacı yalnızca kamuya açık kaydın tutarlılığı değildir. Erişilemeyen bir iletişim adresi, güvenlik ihlali bildirimlerinin iletilmesini, yenileme hatırlatmalarının ulaşmasını ve uyuşmazlık süreçlerinin yürütülmesini engeller. Bu durum, alan adının kullanılamaz hâle gelmesine kadar varan sonuçlar doğurabilir.

Kurumsal Alan Adı Portföylerinde Veri Yönetimi

Çok sayıda alan adı yöneten kuruluşlar için kayıt verisinin yönetimi, teknik bir işlem olmanın ötesinde bir uyum sürecidir. Portföy genelinde tutarlı bir veri politikası belirlemek, hangi alan adlarında kurumsal iletişim bilgisinin, hangilerinde gizlilik hizmetinin kullanılacağını tanımlamayı gerektirir.

• Kayıt verisinde kişiye bağlı e-posta adresi yerine kurumsal ve rol bazlı adreslerin kullanılması, personel değişimlerinde süreklilik sağlar.
• Alan adı envanterinin merkezi olarak izlenmesi, yenileme tarihlerinin ve durum kodlarının takibini kolaylaştırır.
• Yetkilendirilmiş erişim seviyelerinin tanımlanması, kayıt paneli üzerindeki işlemlerin denetlenebilir olmasını sağlar.
• Gizlilik hizmeti sağlayıcısıyla yapılan sözleşmelerde veri işleme rolleri, saklama süreleri ve devir koşullarının açıkça düzenlenmesi gerekir.
• Alan adı devri, birleşme veya yeniden yapılanma süreçlerinde kayıt verisinin güncellenmesi ayrı bir iş kalemi olarak planlanmalıdır.

Veri Saklama, Erişim ve Şeffaflık Dengesi

Kayıt kuruluşları, topladıkları veriyi belirli süreler boyunca saklar ve bu verinin hangi amaçlarla işlendiğini şeffaf biçimde açıklamakla yükümlüdür. RDAP gibi standartlaştırılmış sorgu arayüzleri, hangi alanların kamuya açık olduğunu ve erişimin nasıl yetkilendirildiğini teknik olarak tanımlar. Bu yapı, hem alan adı sisteminin işleyişi için gerekli bilgi akışını hem de kişisel verilerin korunmasını aynı çerçevede ele almaya çalışır.

Sonuç olarak alan adı gizliliği, tek bir hizmetin adı olmaktan çok; veri minimizasyonu ilkeleri, kayıt kuruluşu politikaları, uluslararası koordinasyon kuralları ve ulusal veri koruma mevzuatının kesiştiği bir alandır. Tescil ettirenler için bu alandaki temel gereklilik, gizlilik katmanının sağladığı korumayı bilmek ve buna karşın kayıt verisinin doğru, güncel ve erişilebilir tutulmasını sürdürmektir. Bu denge korunduğu sürece hem mahremiyet hem de alan adı sisteminin güvenilirliği birlikte gözetilebilir.