İçindekiler
- 1 Alan adı güvenliği neden kritik bir iş varlığı konusu?
- 2 Tehdit modeli: Alan adınıza gerçekte ne olabilir?
- 3 Registry lock nedir, registrar lock’tan farkı ne?
- 4 Hangi durumlarda registry lock kullanmalısınız?
- 5 Transfer kilidi (registrar lock) ve EPP kodu yönetimi
- 6 Yetkisiz değişiklikleri önlemek için pratik stratejiler
- 7 DCHost tarafında registry lock ve transfer güvenliği yaklaşımımız
- 8 Alan adı güvenliğini diğer katmanlarla birleştirmek
- 9 Kurum içi politika ve kontrol listesi
- 10 Sonuç: Registry lock, transfer kilidi ve sağlam süreçlerle alan adınızı gerçekten koruyun
Alan adı güvenliği neden kritik bir iş varlığı konusu?
Alan adınız, markanızın internetteki en kritik varlıklarından biri. Web siteniz, e-posta adresleriniz, API uçlarınız, hatta bazı entegrasyonlarınız doğrudan bu alan adına bağlı. Yani bir saldırgan alan adınızı ele geçirdiğinde, aslında web sitenizi hacklemeden de tüm trafiği kendi altyapısına yönlendirebilir, e-posta kutularınızı taklit edebilir veya SEO itibarınızı kısa sürede yok edebilir.
Güvenlik denetimleri yaptığımız pek çok projede, sunucu tarafında son derece sıkı önlemler alındığı hâlde alan adı tarafının neredeyse hiç düşünülmediğini görüyoruz. Oysa basit bir yetkisiz transfer, yanlışlıkla açılmış bir DNS kaydı düzenleme yetkisi veya ele geçirilmiş bir domain paneli; en iyi yapılandırılmış VPS, dedicated veya colocation altyapısını bile tek hamlede devre dışı bırakabilir.
Bu rehberde, özellikle üç kilit mekanizmaya odaklanacağız: registry lock, transfer kilidi (registrar lock) ve yetkisiz değişiklikleri önlemeye yönelik pratik süreçler. Hedefimiz; teknik seviyeniz ne olursa olsun, alan adı güvenliğinizi sistematik bir şekilde güçlendirebilmeniz ve DCHost üzerinde yönettiğiniz domainleri daha güvenle kullanabilmeniz.
Tehdit modeli: Alan adınıza gerçekte ne olabilir?
Sağlam bir alan adı güvenliği stratejisi kurmanın ilk adımı, neye karşı korunduğunuzu netleştirmektir. DCHost tarafında sahada gördüğümüz tipik riskler şöyle özetlenebilir:
- Yetkisiz transfer (domain hijacking): Saldırgan, alan adınızı rızanız dışında başka bir kayıt operatörüne (registrar) taşır, siz fark ettiğinizde iş işten geçmiş olur.
- DNS kayıtlarının değiştirilmesi: Nameserver veya A/MX/TXT kayıtları değiştirilerek trafiğiniz saldırganın sunucularına yönlendirilir. Bu, phishing, kötü amaçlı yazılım yayma veya e-posta ele geçirme için kullanılır.
- Alan adının silinmesi veya süresinin bilerek uzatılmaması: Domain kasıtlı olarak silinir ya da yenileme yapılmayarak düşürülür; ardından üçüncü taraflar tarafından yeniden kaydedilir.
- Hesap ele geçirme: Domain panelinize ait kullanıcı hesabı ele geçirilir; transfer kilidi kapatılır, EPP kodu alınır, DNS ayarları değiştirilir.
- Sosyal mühendislik: Destek ekibi kandırılarak, sizmişsiniz gibi davranılır ve alan adı üzerinde işlem yapılması istenir.
Bu tehditlerin çoğu, doğru kombinasyondaki teknik ve operasyonel kontrollerle ciddi oranda azaltılabilir. DCHost blogunda yayınladığımız alan adı yaşam döngüsü ve düşen domain yakalama rehberi alan adınızın süresi dolduğunda neler olabileceğini, subdomain takeover ve boşta kalan DNS kayıtları ise DNS tarafındaki yapılandırma hatalarının nasıl istismar edilebileceğini detaylı anlatıyor. Bu yazıda ise odak noktamız: kök seviyede alan adının kendisini kilitlemek.
Registry lock nedir, registrar lock’tan farkı ne?
Alan adı güvenliği konuşulurken en çok karıştırılan iki kavram registry lock ve registrar lock (transfer kilidi) oluyor. İsim benzerliği yüzünden aynı şey sanılsalar da, aslında tamamen farklı katmanlarda çalışan iki güvenlik mekanizmasıdır.
Registry, registrar ve domain sahibi ilişkisi
Basitçe özetleyelim:
- Registry: İlgili TLD’nin (örneğin .com, .net vb.) kök veritabanını yöneten kurum.
- Registrar (kayıt operatörü): Bizim gibi, son kullanıcıya alan adını satan ve yöneten firma.
- Domain sahibi: Alan adının hukuki sahibi olan gerçek veya tüzel kişi.
Registry lock, kök veritabanı düzeyinde; registrar lock ise registrar arayüzü düzeyinde çalışan bir kilit mekanizmasıdır.
Registry lock nedir?
Registry lock, alan adınızın registry tarafında “özel kilit” statüsüne alınmasıdır. Bu durumda aşağıdaki kritik işlemler, sadece registry ile özel ve ek doğrulamalı bir süreç sonunda yapılabilir:
- Alan adının başka bir registrara transfer edilmesi
- Nameserver’ların değiştirilmesi
- Alan adının silinmesi
- Alan adı üzerinde bazı kritik alanların güncellenmesi
Yani varsayımsal en kötü senaryoyu düşünelim: Registrar hesabınız ele geçirildi, hatta registrar altyapısı bile bir şekilde kompromize oldu. Registry lock aktifse, saldırgan registry ile ek doğrulama sürecini geçmeden bu kritik işlemleri yapamaz.
Registry lock’ın tipik özellikleri
- Out-of-band doğrulama: Registry lock açma/kapama veya değişiklik talepleri için çoğu zaman telefonla geri arama, kayıtlı güvenlik soruları, PGP imzalı e-posta gibi ek doğrulamaya ihtiyaç duyulur.
- Manuel süreç: Gerçek bir insanın onayı gerekir; bu da otomatik bot saldırılarını ciddi şekilde zorlaştırır.
- Kapsamlı koruma: Sadece transferi değil, çoğu zaman update ve delete işlemlerini de engeller.
Registry lock tüm TLD’ler için zorunlu bir özellik değildir; bazı uzantılar destekler, bazıları desteklemez. Kritik alan adı portföyleri olan müşterilerimizde, destekleyen TLD’ler için registry lock kullanılmasını net şekilde öneriyoruz.
Registrar lock (transfer kilidi) nedir?
Registrar lock veya panelde sıkça gördüğünüz hâliyle transfer kilidi, alan adınızın başka bir registrara transfer edilmesini engelleyen, registrar tarafında uygulanan bir EPP statüsüdür. Çoğu zaman teknik olarak şu EPP koduyla temsil edilir: clientTransferProhibited.
Bu kilit aktifken, alan adınızın transfer talebi iletilse bile, registry bu talebi reddeder. Transfer yapmanız gerektiğinde, önce DCHost panelinizden transfer kilidini kapatırsınız; ardından EPP kodunu kullanarak yeni registrara transferi başlatırsınız.
Burada kritik nokta şu: Registrar lock, hesabınız ele geçirilirse saldırgan tarafından da kapatılabilir. Yani tek başına “son savunma hattı” değildir; fakat registry lock desteklenmeyen uzantılarda veya daha hafif güvenlik ihtiyaçlarında olmazsa olmaz bir katmandır.
Registry lock ve registrar lock farklarını özetleyelim
| Özellik | Registry Lock | Registrar Lock (Transfer Kilidi) |
|---|---|---|
| Uygulama katmanı | Registry (kök veritabanı) | Registrar (DCHost gibi kayıt operatörü) |
| Kim açar/kapatır? | Registry ile özel süreç, genellikle registrar aracılığıyla | Domain sahibi veya yetkili kullanıcı, panel üzerinden |
| Hangi işlemleri engeller? | Transfer, çoğu zaman update ve delete | Genelde yalnızca transfer |
| Hesap ele geçirilirse? | Ek out-of-band doğrulama gerektiğinden daha dayanıklı | Saldırgan panelden kapatabilir; ek koruma şart |
Hangi durumlarda registry lock kullanmalısınız?
Registry lock her domain için “zorunlu” değildir; ancak bazı senaryolarda ciddi anlamda hayat kurtarıcı olabilir. DCHost tarafında gördüğümüz ve registry lock tavsiye ettiğimiz tipik durumlar şöyle:
- Marka alan adları: Şirketinizin ana .com veya .com.tr gibi kurumsal alan adları, müşteri gözünde markanızı temsil eder.
- Yüksek trafik alan projeler: E-ticaret, haber portalı, büyük SaaS ürünleri gibi ciddi gelir üreten siteler.
- Kritik entegrasyonları olan altyapılar: Örneğin çok sayıda API client’ının bağlandığı merkezi bir alan adı.
- Regüle sektörler: Finans, sağlık, kamu ve benzeri yüksek regülasyonlu alanlarda hizmet veren projeler.
- Alan adı saldırı geçmişi olan kurumlar: Daha önce domain hijacking veya DNS manipülasyonu yaşamış işletmeler.
Alan adı portföyünüz genişse, hangi domainlerde registry lock kullanmanız gerektiğini belirlemek için alan adı portföy yönetimi rehberimizdeki sınıflandırma yaklaşımını kullanabilirsiniz. Özetle, her domain eşit kritik değildir; en kritik %10–20’lik dilime registry lock gibi ileri seviye korumaları uygulamak çoğu zaman en mantıklı stratejidir.
Transfer kilidi (registrar lock) ve EPP kodu yönetimi
Registry lock olsa da olmasa da, transfer kilidi ve EPP kodu yönetimi alan adı güvenliğinin temel taşıdır. DCHost panelinizde alan adı detayına girdiğinizde genellikle “Transfer Kilidi: Açık/Kapalı” şeklinde bir anahtar görürsünüz; bu anahtar tam da bu EPP statüsünü kontrol eder.
Transfer kilidi nasıl çalışır?
Arka planda olanlar, sadeleştirilmiş hâliyle şu şekildedir:
- Transfer kilidi açıksa (clientTransferProhibited): Başka bir registrar sizin alan adınızı transfer etmek istediğinde, registry bu transfer talebini otomatik olarak reddeder.
- Transfer kilidini kapattığınızda: EPP statüsü kaldırılır, transfer yapılabilir hâle gelir.
- Transfer tamamlandıktan veya iptal edildikten sonra: Güvenlik için tekrar açılması gerekir.
Bu sürecin kesintisiz ve güvenli şekilde nasıl işleyeceğini detaylı anlattığımız alan adı transfer rehberine göz atmanızda fayda var. Özellikle e-posta kesintilerini önlemek, DNS yayılımını doğru yönetmek ve SEO etkilerini minimize etmek için oradaki adımlar kritik.
EPP kodu (yetki kodu) güvenliği
EPP kodu, alan adınızı başka bir registrara transfer etmek için kullanılan, bir nevi “tek kullanımlık şifre” gibidir. Güvenliği çoğu zaman hafife alınsa da şu prensipler hayat kurtarır:
- EPP kodunu asla şifresiz e-posta ile göndermeyin; en azından şifreli arşiv, güvenli mesajlaşma veya parola yöneticisi kullanın.
- Kodu kopyalayıp şirket içi wiki, herkesin erişebildiği notlar gibi ortamlara yapıştırmayın.
- Transfer tamamlandıktan sonra mümkünse yeni bir EPP kodu üretin (bazı sistemler otomatik yapar).
- EPP kodu talebi geldiğinde, bu talebin gerçek sahibinden geldiğini mutlaka ikinci bir kanal (telefon, kurumsal chat vb.) ile doğrulayın.
Transfer kilidinin açık, EPP kodunun ise yalnızca gerektiğinde üretilip güvenle saklandığı bir düzen, pratikte çoğu yetkisiz transfer vakasını baştan keser.
Yetkisiz değişiklikleri önlemek için pratik stratejiler
Registry lock ve transfer kilidi kritik, ama tek başına yeterli değil. Gerçek hayatta alan adları en çok hesap ele geçirilmesi, yanlış yetki paylaşımı ve süreci olmayan değişiklik talepleri yüzünden zarar görüyor. Aşağıdaki pratikleri DCHost müşterilerimize düzenli olarak öneriyoruz.
1. Domain paneli hesabınızı sağlamlaştırın
- Özel e-posta kullanın: Kişisel e-posta adresleriniz yerine, sadece domain yönetimi için kullanılan kurumsal bir adres (ör. domains@…) tercih edin.
- Güçlü ve benzersiz parola: Parolayı başka hiçbir sistemde kullanmayın, parola yöneticisiyle yönetin.
- İki faktörlü kimlik doğrulama (2FA): DCHost hesabınızda 2FA açıksa, bunu devreye alın; değilse, hesabınızla ilişkili e-posta hesapları için mutlaka aktif edin.
- Oturum ve cihaz kontrolü: Mümkünse hesabınızı yalnızca kurumsal cihazlardan ve güvenilir ağlardan kullanın.
Temel seviye önlemler için daha geniş bir çerçeve isterseniz, alan adı güvenliği, DNSSEC, Whois gizliliği ve 2FA rehberimizi mutlaka okuyun. Bu yazıda registry lock gibi ileri seviye konuları onun üzerine inşa ediyoruz.
2. Rol ve yetki tasarımı yapın
Özellikle ajanslar ve büyük ekiplerde sık gördüğümüz hata şu: Tek bir kullanıcı hesabı, hem fatura ödemeden hem DNS güncellemesinden hem de alan adı transferinden sorumlu. Bu, hem güvenlik hem operasyonel açıdan riskli.
- Domain paneline erişimi olan kişi sayısını minimumda tutun.
- DNS değişikliklerini yapacak teknik ekip ile fatura ödemelerini yapan ekibi birbirinden ayırın.
- En kritik alan adları için “iki kişi onayı olmadan değişiklik yok” politikasını benimseyin (en azından fiili olarak).
3. Standart değişiklik süreci tanımlayın
“Şu DNS kaydını değiştirelim mi?” mesajıyla başlayan, ama kimin onayladığının, ne zaman yapıldığının kaydının tutulmadığı süreçler, hem güvenlik hem hata yönetimi açısından sıkıntılı. Basit ama etkili bir çerçeve şöyle olabilir:
- Değişiklik talebi yazılı bir kanaldan (ticket, proje yönetim aracı vb.) gelir.
- İlgili kişi, isteği teknik ve iş açısından inceler; gerekiyorsa risk analizini yazar.
- Onaylayan kişi net şekilde bellidir (ad/soyad veya kullanıcı adı).
- Değişiklik yapıldıktan sonra ne değiştiği kayda geçirilir ve mümkünse ekran görüntüsü veya diff tutulur.
Bu süreç; DNSSEC anahtar dönüşü (DNSSEC key rollover rehberinde anlattığımız gibi), nameserver değişiklikleri veya TTL düşürme gibi daha sofistike işlemlerde hayat kurtarır.
4. Bildirim ve logları aktif kullanın
- Domain panelinizde varsa, hesap etkinlik bildirimlerini ve giriş uyarılarını aktif edin.
- DNS değişiklikleri, nameserver güncellemeleri, transfer kilidi açma/kapama olaylarının loglarını belirli aralıklarla gözden geçirin.
- Kritik alan adları için, dışarıdan periyodik DNS bütünlük kontrolleri (örneğin monitoring aracıyla A/MX/NS kayıtlarını doğrulama) kurun.
DCHost tarafında registry lock ve transfer güvenliği yaklaşımımız
DCHost olarak odağımız, sadece hızlı ve kararlı hosting sunmak değil; aynı zamanda alan adı, DNS ve sunucu güvenliğini birlikte ele alan bir yaklaşım geliştirmek. Registry lock ve transfer kilidi de bu yaklaşımın parçası.
Transfer kilidi ve EPP kodu yönetimi
Genel akış şu şekilde olmalıdır:
- Kritik gördüğünüz tüm alan adlarında transfer kilidini varsayılan olarak açık tutun.
- Transfer yapılacağı zaman, yalnızca ilgili, yetkili kişi kilidi kapatsın ve EPP kodunu alsın.
- Transfer tamamlandığında veya iptal olduğunda, kilidin tekrar açıldığından emin olun.
Transfer planlaması yaparken, DNS yayılımı ve e-posta kesinti risklerini minimize etmek için TTL stratejileri rehberimizdeki önerileri de uygulamanızı öneririz. Böylece hem güvenli hem kesintisiz bir geçiş elde edersiniz.
Registry lock talepleri
Registry lock, TLD’ye göre değişen ve çoğu zaman manuel süreç içeren bir hizmet olduğu için, tipik akış şu şekilde ilerler:
- Kritik alan adlarınızı belirler ve hangileri için registry lock istediğinizi netleştirirsiniz.
- DCHost destek ekibiyle iletişime geçerek TLD bazlı olanakları, ücretlendirme ve süreç detaylarını öğrenirsiniz.
- Onayınız sonrası, registry ile gerekli süreçler başlatılır ve alan adınız registry lock kapsamına alınır.
- İleride DNS veya transfer gibi kritik bir değişiklik gerektiğinde, önceden tanımlanmış doğrulama kanalları üzerinden bu kilidin geçici olarak açılması sağlanır; işlem sonrası tekrar kapatılır.
Buradaki en önemli nokta, önceden tanımlı ve yazılı bir prosedürünüzün olmasıdır. Kim, hangi kanaldan, hangi kimlik doğrulama adımlarıyla talepte bulunabilir; bunları netleştirmek, sosyal mühendislik riskini ciddi şekilde azaltır.
Alan adı güvenliğini diğer katmanlarla birleştirmek
Registry lock ve transfer kilidi, büyük resmin sadece bir parçası. Gerçek anlamda güvenli bir alan adı altyapısı için, şu katmanları da mutlaka hesaba katmalısınız:
- DNSSEC: DNS yanıtlarının kriptografik olarak imzalanmasını sağlayarak, DNS spoofing riskini azaltır. DNSSEC nedir ve adım adım kurulum rehberi bu konuda iyi bir başlangıç noktası.
- CAA kayıtları: Hangi sertifika otoritelerinin alan adınız için SSL sertifikası üretebileceğini sınırlandırır; yanlış veya sahte sertifika riskini azaltır.
- Whois verisi ve iletişim e-postaları: Kayıtlı e-posta adreslerinizin güncel ve güvenli olması, hem yenileme hem de güvenlik bildirimleri için hayati.
- HTTP güvenlik başlıkları ve HSTS: DNS veya sertifika tarafındaki bir ihlalin etkisini azaltmak için, HTTP güvenlik başlıkları rehberindeki ayarlarla web uygulamanızı güçlendirin.
Böylece sadece alan adınızın kayıt tarafını değil, o alan adının işaret ettiği tüm HTTP, e-posta ve API ekosistemini birlikte sertleştirmiş olursunuz.
Kurum içi politika ve kontrol listesi
Son olarak, konuyu tamamen operasyonel bir seviyeye indirip, kullanabileceğiniz pratik bir kontrol listesi çıkaralım. Bu listeyi, şirket içi bilgi güvenliği veya DevOps dokümantasyonunuza ekleyebilirsiniz.
Alan adı güvenliği kontrol listesi
- Kritiklik sınıflandırması: Tüm alan adlarınızı listeleyin; “kritik / önemli / düşük önemde” şeklinde sınıflandırın.
- Registry lock: Kritik alan adları için TLD bazında registry lock imkânını değerlendirin, uygunsa aktive edin.
- Transfer kilidi: Tüm alan adlarında transfer kilidinin varsayılan olarak açık olduğundan emin olun.
- EPP kodu yönetimi: Kimlerin EPP kodu talep edebileceği, nasıl saklanacağı ve ne zaman yenileneceği yazılı olsun.
- Hesap güvenliği: Domain paneli hesabınızda güçlü parola, 2FA ve güvenilir kurtarma e-posta adresleri kullanın.
- Yetki dağılımı: DNS ve domain yönetimi yetkilerini kişi bazında değil, rol bazında tanımlayın.
- Değişiklik süreci: DNS, nameserver, transfer kilidi açma, EPP kodu talebi gibi işlemler için standart onay adımlarınız olsun.
- Bildirimler: Mümkün olan her durumda giriş ve değişiklik bildirimlerini aktif edin; logları periyodik gözden geçirin.
- DNSSEC ve CAA: Uygun alan adlarında DNSSEC’i etkinleştirin, CAA kayıtlarını yapılandırın.
- Yedek iletişim kanalı: Domain ile ilgili acil durumlarda kullanılacak alternatif iletişim kanalları (telefon, ikincil e-posta) belirli olsun.
Sonuç: Registry lock, transfer kilidi ve sağlam süreçlerle alan adınızı gerçekten koruyun
Alan adı güvenliği, çoğu zaman “şimdi değil, sonra bakarız” denilen ama sorun çıktığında en pahalıya mal olan konulardan biri. Bu rehberde registry lock, transfer kilidi ve yetkisiz değişiklikleri engellemek için kurulması gereken süreçleri detaylı şekilde ele aldık. Özetle; kritik alan adlarınız için registry lock, tüm alan adlarınız için sıkı transfer kilidi ve EPP kodu yönetimi, bunların üzerinde de iyi tanımlanmış kurum içi süreçler, sizi alan adı tarafındaki tipik saldırı senaryolarının büyük çoğunluğundan korur.
Şimdi yapabileceğiniz somut adım basit: DCHost hesabınıza girin, tüm alan adlarınızı kritik seviyesine göre sınıflandırın ve bu rehberdeki kontrol listesini tek tek uygulamaya başlayın. Registry lock, DNSSEC, CAA veya daha karmaşık güvenlik yapılandırmaları için ek desteğe ihtiyacınız olursa, DCHost ekibi olarak domain, hosting, VPS, dedicated sunucu ve colocation altyapılarınızı birlikte ele alıp size uygun bir güvenlik yol haritası çıkarmaktan memnuniyet duyarız.
