Giriş — Ne amaçlı bu rehber?

Bu yazı, "Truvabet resmi site" gibi bir alan adını teknik açıdan nasıl doğrulayabileceğinize dair adım adım yönlendirme sunar. Amaç, site kimliği ve bağlantı güvenliği hakkında uygulanabilir kontroller sağlamaktır. Burada verilen adımlar genel araç ve yöntemleri açıklar; sonuçların yorumlanması sizin bağlamınıza bağlıdır ve kesin garanti sağlamaz.

Hızlı kontrol listesi (özet)

• WHOIS: Kayıt tarihi, sona erme, registrar ve ad sunucularını kontrol edin.
• DNS: A/AAAA, NS, TXT (SPF/DMARC) ve CNAME kayıtlarını doğrulayın.
• SSL/TLS: Sertifika geçerliliği, issuer (sertifika veren), SAN/CN alanlarını ve zinciri inceleyin.
• Sertifika geçmişi: CT (Certificate Transparency) kayıtlarını kontrol edin.
• Ağ/başlık kontrolleri: HSTS, TLS sürümleri ve güvenli yönlendirmeleri inceleyin.

WHOIS sorgusu: adım adım

WHOIS, bir alan adının kime kayıtlı olduğunu ve kayıtla ilgili meta verileri gösterir. Aşağıdaki adımlarla başlayın:

1. Temel sorgu: Terminalde whois truvabet.com komutunu veya web tabanlı bir hizmeti (ör. https://whois.icann.org/) kullanın.
2. Aranacak alanlar: "Creation Date" (kayıt tarihi), "Registry Expiry Date" (sona erme tarihi), "Registrar" (kayıtçı), "Name Server" (ad sunucuları) ve varsa registrant/contact bilgileri.
3. Gizlilik koruması: WHOIS bilgileri sıkça gizlilik koruması ile maskelenir; bu durumda alan sahibi detayları görünmeyebilir. Bu normal bir durumdur ve doğrudan bir olumsuzluk olarak yorumlanmamalıdır.
4. Şüpheli işaretler: Çok yeni kayıt tarihi veya sık kayıt değişimleri, siteyle ilgili daha dikkatli inceleme gerektiğine işaret edebilir. Ancak tek başına WHOIS verisi bir sonuca götürmez.

Kullanışlı WHOIS araçları

• ICANN WHOIS — Resmi WHOIS altyapısı için başlangıç.
• who.is — Hızlı web arayüzü ve geçmiş kayıtlar.

DNS kayıtları ve ne kontrol edilmeli

DNS kayıtları, alan adının hangi sunuculara işaret ettiğini ve e-posta/ek politikaları gösterir. Temel kontroller:

• A/AAAA: Alan adının IP adresleri. Beklediğiniz CDN veya barındırma sağlayıcısına işaret ediyor mu?
• NS: Yetkili ad sunucuları. Birden fazla güvenilir NS kaydı bulunmalı.
• TXT: SPF, DMARC, DKIM gibi e-posta ve doğrulama kayıtları burada yer alır.
• CNAME: Bazı alt alan adları başka hedeflere yönlendirilebilir; bu yönlendirmeler mantıklı mı değerlendirin.
• DNSSEC: DNSSEC kayıtları varsa ek güvenlik katmanı sağlar; bunun varlığı kontrol edilebilir.

Komut satırında örnek kontroller için: dig truvabet.com A +short, dig truvabet.com NS veya çevrimiçi araçlardan MXToolbox kullanılabilir.

SSL/TLS sertifikası ve sertifika zinciri

Tarayıcıdaki kilit simgesi güvenli bir bağlantı olduğunu gösterir; ancak detayları incelemek önemlidir. Aşağıdaki öğeleri kontrol edin:

• Geçerlilik: "Valid from" ve "Valid to" tarihleri. Süresi dolmuş sertifika problem yaratır.
• Subject (CN) ve SAN: Sertifikada belirtilen birincil alan adı (CN) ve Subject Alternative Names (SAN) listesinde alan adınız yer alıyor mu?
• Issuer (Sertifika Veren): Sertifikanın kimin tarafından verildiği (ör. Let's Encrypt, DigiCert gibi tanınmış CA'lar) önemlidir; seçilen CA'nın güvenilirliği genel kabul görmüştür.
• Sertifika zinciri: Ara sertifikalar (intermediate) doğru şekilde sunuluyor mu. Eksik ara sertifika tarayıcı hatalarına sebep olur.
• İptal durumu: OCSP veya CRL bilgileri ile sertifikanın iptal edilip edilmediği kontrol edilebilir; sunucu OCSP stapling yapıyorsa daha hızlı sonuç alırsınız.

Komut satırında kısa bir kontrol için: openssl s_client -connect truvabet.com:443 -servername truvabet.com -showcerts (sunucunun sunduğu sertifikaları listeler). Tarayıcıda sertifika ayrıntılarını görmek için kilit simgesine tıklayabilirsiniz.

Sertifika şeffaflığı (CT) ve geçmiş kayıtlar

Certificate Transparency kayıtları, bir alan adına ait yayınlanmış sertifikaları gösterir. Bir alan adının geçmişte hangi sertifika değişiklikleri olduğunu görmek için crt.sh gibi araçlar kullanılabilir. Beklenmeyen veya çok sayıda kayıt varsa daha fazla inceleme gerekebilir.

Ağ ve tarayıcı düzeyinde ek kontroller

Bağlantı güvenliği sadece sertifikadan ibaret değildir. Aşağılarını da kontrol edin:

• HSTS: Sunucu Strict-Transport-Security başlığı veriyor mu? Bu başlık HTTP üzerinden otomatik yönlendirme sağlama açısından değerlidir.
• TLS sürümleri ve şifre paketleri: Sunucu modern TLS sürümlerini (TLS 1.2/1.3) destekliyor mu, eski zayıf sürümler devre dışı mı?
• Yönlendirmeler: HTTP->HTTPS yönlendirmeleri doğru yapılandırılmış mı; gereksiz zincirler yok mu?
• Güvenlik başlıkları: Content-Security-Policy, X-Frame-Options gibi başlıklar uygulama katmanında ek güvenlik sağlar.

Hızlı kontrol için curl -I https://truvabet.com veya çevrimiçi araçlar kullanılabilir; daha detaylı analiz için SSL Labs raporunu çalıştırabilirsiniz.

Adım adım uygulanabilir kontrol listesi

1. WHOIS çalıştırın ve kayıt/sonlandırma tarihlerine bakın.
2. DNS kayıtlarını doğrulayın (A/AAAA, NS, TXT/SPF/DMARC).
3. Tarayıcıda sertifika bilgilerini görüntüleyin; CN/SAN, issuer ve tarihleri kontrol edin.
4. openssl ile sertifika zincirini görün ve ara sertifikaların doğru geldiğinden emin olun.
5. crt.sh üzerinden sertifika geçmişini kontrol edin.
6. SSL Labs veya benzeri bir analiz ile TLS konfigürasyonunu test edin.
7. HSTS ve diğer güvenlik başlıklarını doğrulayın.

Sınırlamalar ve uyarılar

Bu teknik kontroller, bir alan adının temel güvenlik ve kimlik göstergelerini ortaya koyar; ancak bunlar tek başına sitenin tüm yönleri hakkında kesin hukuki veya düzenleyici bir yargı vermez. WHOIS bilgileri gizlenmiş olabilir; sertifika geçerli olsa bile başka doğrulamalar (ör. lisans bilgileri, müşteri hizmetleri doğrulaması) gerekebilir. Bu kılavuz bilgilendirme amaçlıdır ve resmi bir denetim ya da yasal tavsiye niteliği taşımaz.

Hızlı eylem kontrol listesi (en önemli 8 madde)

• WHOIS: creation/expiry ve registrar kontrolü.
• DNS: A/NS/TXT kayıtlarını doğrulayın.
• Sertifika: CN/SAN, issuer ve geçerlilik tarihleri.
• Sertifika zinciri: ara sertifikalar eksik mi?
• CT kayıtları: crt.sh kontrolü.
• OCSP/CRL: iptal durumu kontrolü.
• TLS konfigürasyonu: TLS 1.2/1.3 destekleniyor mu?
• HSTS ve temel güvenlik başlıkları var mı?

Teknik adımları uygularken takıldığınızda, bir ağ/IT güvenlik uzmanından yardım almanız yararlı olabilir. Ayrıca, siteyle ilgili resmi lisans veya düzenleyici bilgilerini kontrol etmek için ilgili yerel makamların ve sitenin kendi açıklamalarının doğruluğunu araştırın.