Çerez Nedir? Cookie Türleri ve Çerez Çalınırsa Ne Olur
Çerez (cookie), bir sitenin tarayıcına gönderdiği ve tarayıcının sonraki isteklerde siteye geri yolladığı küçük bir veri parçasıdır. Siteler çerezi oturumunu açık tutmak, tercihlerini hatırlamak ve davranışını ölçmek için kullanır. Giriş yaptığını kanıtlayan çerez çalınırsa saldırgan şifreni bilmeden de hesabına girebilir.
Çerez nedir diye soruyorsan kısa cevap şu: sitenin seni hatırlamak için tarayıcına bıraktığı küçük bir not. Çoğu çerez zararsızdır ve sitenin çalışması için gerekir. Asıl risk, giriş yaptığını kanıtlayan çerezin çalınmasıdır. Bu yazıda çerez türlerini, giriş çerezi çalındığında neler olduğunu, nasıl çalındığını, onay ekranında ne seçmen gerektiğini ve site sahiplerinin çerezi nasıl koruduğunu göreceksin.
Çerez nedir ve ne işe yarar?
MDN'nin tanımıyla çerez, sunucunun kullanıcının tarayıcısına gönderdiği küçük bir veri parçasıdır. Tarayıcı bu veriyi saklar ve aynı siteye yaptığı sonraki isteklere ekler. Böylece site, her sayfada seni yeniden tanımak zorunda kalmaz.
MDN çerezin üç ana kullanımını sayar:
- Oturum yönetimi: Giriş durumun, sepetindeki ürünler, oyun skorların.
- Kişiselleştirme: Dil ve tema gibi tercihler.
- İzleme: Davranışının kaydedilmesi ve analizi.
Çerez bir HTTP başlığıyla gelir. Örneğin hedef.example adresine giriş yaptığında sunucu şöyle bir yanıt başlığı gönderebilir:
Set-Cookie: oturum=a3fWa9k2; Secure; HttpOnly; SameSite=Lax; Path=/
Tarayıcın bundan sonra hedef.example'a giden her isteğe Cookie: oturum=a3fWa9k2 başlığını ekler. Sunucu bu değeri tanıdığı sürece seni giriş yapmış sayar. Çerez her istekte yeniden gönderildiği için MDN, genel amaçlı veri saklamak için çerez yerine Web Storage ve IndexedDB gibi tarayıcı arayüzlerinin kullanılmasını önerir. Bu akışı tarayıcının geliştirici araçlarındaki ağ sekmesinde kendin izleyebilirsin. Bağlantı şifresizse araya giren biri bu başlığı da okuyabilir. Bu riski ortadaki adam saldırısı yazısında anlattık.
Çerez türleri nelerdir?
Çerezler süreye, tarafa ve amaca göre ayrılır. KVKK'nın Temmuz 2025'te yayımladığı Çerez Uygulamaları Hakkında Rehber de bu üç ayrımı kullanır.
| Ayrım | Tür | Ne anlama gelir |
|---|---|---|
| Süre | Oturum çerezi | Expires ya da Max-Age taşımaz, tarayıcı oturumu bitince silinir |
| Süre | Kalıcı çerez | Belirtilen tarihe ya da süreye kadar cihazında kalır |
| Taraf | Birinci taraf | Girdiğin sitenin kendi çerezi |
| Taraf | Üçüncü taraf | Sayfaya gömülü başka bir alan adının çerezi |
| Amaç | Zorunlu ve kimlik doğrulama | Girişi ve sepeti hatırlar |
| Amaç | Analitik | Siteyi nasıl kullandığını ölçer |
| Amaç | Reklam ve takip | Seni siteler arasında tanıyıp profil çıkarır |
Bir ayrıntı karışıklığa yol açar. Teknik anlamda "oturum çerezi", süresi olmayan ve tarayıcı kapanınca silinen çerezdir. Giriş yaptığını kanıtlayan çerez ise çoğu zaman kalıcıdır. "Beni hatırla" kutusunu işaretlediğinde günlerce, hatta haftalarca durabilir. Güvenlik açısından önemli olan adı değil, bu çerezin girişini temsil etmesidir.
Giriş çerezi çalınırsa ne olur?
Giriş çerezi, şifrenin geçici bir yedeği gibidir. Sen şifreni ve iki adımlı doğrulama kodunu bir kez girersin, site karşılığında bu çerezi verir. Sonraki isteklerde yalnız çereze bakar.
Saldırgan çerezin değerini ele geçirip kendi tarayıcısına koyarsa site onu da oturum açmış biri gibi görebilir. Şifreyi kırmasına ya da doğrulama kodunu bilmesine gerek kalmaz. MDN de bu riski açıkça yazar: oturum kimliğini çalan biri, başkası gibi oturum açmış görünerek banka ya da alışveriş hesabını ele geçirebilir.
| Elde edilen | Saldırgan neyi aşmak zorunda | Sonuç |
|---|---|---|
| Şifre | İki adımlı doğrulama, yeni cihaz uyarısı | Giriş zorlaşabilir |
| Giriş çerezi | Çoğu zaman hiçbir şeyi | Açık oturum doğrudan devralınır |
Passkey de bu durumda tek başına yetmez. Passkey girişi korur, girişten sonra oluşan çerezi değil. Bazı büyük hizmetler çalıntı çerez kullanımını tespit etmeye çalışır. Google, hesap tabanlı tehdit tespitiyle çalınmış çerezlerin kullanımını işaretlediğini söylüyor. Ama her site bunu yapmaz. Birçok hizmet de bu riski azaltmak için şifre değiştirme ya da para gönderme gibi hassas işlemlerde şifreni veya doğrulamayı yeniden ister.
Çerezler nasıl çalınır?
En yaygın yollar şunlar:
- Bilgi hırsızı zararlı yazılım: Korsan program, hile dosyası ya da sahte güncelleme kılığında gelir. Tarayıcının sakladığı çerezleri ve şifreleri toplayıp gönderir. Google, Windows'ta bu saldırıları zorlaştırmak için Chrome 127 ile çerezleri uygulama kimliğine bağlı şifrelemeye başladı. Bu tür yazılımları keylogger ve bilgi hırsızı yazısında anlattık.
- Aracı oltalama sitesi: Sahte sayfa, seninle gerçek site arasına girer. Şifreni ve kodunu gerçek siteye iletir, oluşan çerezi alır. Bu yöntemin ayrıntısı iki adımlı doğrulama rehberinde var.
- XSS açığı: Güvenliği zayıf bir sitede sayfaya sızan betik, HttpOnly bayrağı olmayan çerezleri okuyabilir. Bu açığı XSS nedir yazısında anlattık.
- Şifresiz bağlantı: Secure bayrağı olmayan çerez, HTTPS olmayan bir istekte açık metin olarak gidebilir.
- Ortak bilgisayar: Çıkış yapmadan kapatılan bir oturum, sonraki kullanıcıya açık kalır.
Çerezin çalındığından şüphelenirsen ne yapmalısın?
Sıra önemli. Önce sızıntının kaynağını kapat, sonra oturumları geçersiz kıl:
- Cihazı temizle. Kaynağı belirsiz bir program çalıştırdıysan güvenlik taraması yap, tanımadığın tarayıcı uzantılarını kaldır. Cihaz temiz değilse yeni çerezlerin de çalınır.
- Tüm oturumları kapat. Hesabın güvenlik ayarlarındaki "tüm cihazlardan çıkış" ya da cihaz listesi seçeneğini kullan. Bu, saldırgandaki çerez kopyasını geçersiz kılar.
- Şifreni değiştir. Google gibi birçok hizmette şifre değişimi oturumların çoğunu kapatır.
- Bağlı uygulamaları ve kurtarma bilgilerini kontrol et.
- Hesap hareketlerine bak. Hangi kayıtlara bakacağını olağandışı giriş kontrolü yazısında bulabilirsin.
Yalnız tarayıcıdaki çerezleri silmek yetmez. Bu yalnız senin kopyanı siler.
Site sahipleri çerezleri nasıl korur?
Geliştiriciysen giriş çerezini birkaç bayrakla çok daha zor çalınır hâle getirebilirsin:
- Secure: Çerez yalnız HTTPS isteklerinde gönderilir.
- HttpOnly: Sayfadaki JavaScript çereze erişemez. XSS ile çerez çalmayı zorlaştırır.
- SameSite: Çerezin başka sitelerden gelen isteklerle gönderilmesini sınırlar. Strict, Lax ve None değerlerini ve CSRF ile ilişkisini CSRF yazısında anlattık.
- __Host- öneki: Bu önekle başlayan çerez Secure olmak, Domain taşımamak ve Path=/ ile ayarlanmak zorundadır. Alt alan adlarından üzerine yazılmasını engeller.
MDN ayrıca kullanıcı her giriş yaptığında oturum çerezinin yeniden üretilip gönderilmesini önerir. Bu, oturum sabitleme saldırısını önler. Çıkış yapıldığında oturumu sunucu tarafında da geçersiz kıl ve giriş çerezinin ömrünü gereğinden uzun tutma. Bu bayrakların eksik olduğu bir sitede sorunu saha görevlerinde kendin bulup düzeltebilirsin.
Çerez onay ekranında ne seçmelisin?
KVKK'nın çerez rehberi, hangi çerezin izin gerektirdiğini ayırır. Kimlik doğrulama çerezleri, sepet gibi kullanıcı girdisi çerezleri ve güvenlik çerezleri açık rıza gerektirmez. Davranışsal reklam çerezleri ise açık rıza gerektirir.
Rehberden kullanıcı olarak bilmen gereken üç nokta:
- Siteye girmiş olman, çerezlere onay verdiğin anlamına gelmez. Rıza aktif bir eylemle verilmelidir.
- "Kabul et", "reddet" ve "tercihler" düğmelerinin renk, büyüklük ve punto bakımından eşit sunulması iyi uygulama örneği olarak gösterilir.
- Zorunlu olmayan çerez seçeneklerinin ilk açılışta pasif gelmesi önemli kabul edilir.
Onay verdikten sonra fikrin değişirse sitenin altındaki çerez tercihleri bağlantısından seçimini güncelleyebilirsin. Tarayıcının gizlilik ayarları da ek denetim verir:
- Belirli bir sitenin çerezlerini tek tek görüp silebilirsin.
- Üçüncü taraf çerezleri tamamen engelleyebilirsin.
- Tarayıcıyı kapattığında çerezlerin silinmesini seçebilirsin. Bu durumda her açılışta yeniden giriş yaparsın.
Pratik kural: onay ekranında "reddet" ya da "yalnız zorunlu" seçeneğini kullan. Site bunu saklıyorsa tercihler bölümünden reklam ve takip çerezlerini kapat. Reddetmek siteyi çoğu zaman bozmaz.
Kaynaklar
Sık sorulan sorular
Çerezleri kabul etmek tehlikeli mi?
Hepsi tehlikeli değil. Girişini ve sepetini hatırlayan zorunlu çerezler sitenin çalışması için gerekir. KVKK'nın çerez rehberine göre kimlik doğrulama çerezleri açık rıza gerektirmez, davranışsal reklam çerezleri ise gerektirir. Gizliliğini önemsiyorsan onay ekranında yalnız zorunlu çerezleri kabul et, reklam ve takip çerezlerini reddet.
Giriş çerezim çalınırsa iki adımlı doğrulama beni korur mu?
Çoğu zaman korumaz. İki adımlı doğrulama giriş anında devreye girer. Çerez ise girişin zaten yapıldığını kanıtlar. Saldırgan çerezi kendi tarayıcısına koyduğunda site onu oturum açmış biri gibi görebilir. Bu yüzden şüphede tüm oturumları kapatıp şifreni değiştirmen gerekir. Önce cihazındaki zararlı yazılımı temizle.
Gizli sekme çerez çalınmasını önler mi?
Önlemez. Gizli sekme, pencereyi kapattığında o oturumun çerezlerini ve geçmişini siler. Ortak bir bilgisayarda iz bırakmamak için işe yarar. Ama sekme açıkken cihazında çalışan zararlı yazılım ya da güvenliği zayıf bir sitedeki betik çerezi yine okuyabilir. Asıl koruma temiz cihaz, güncel tarayıcı ve dikkatli indirmedir.
Çerezleri silersem ne olur?
Sitelerden çıkış yapmış olursun, sepetin ve dil gibi tercihlerin sıfırlanır. Tekrar girişte şifre ve iki adımlı doğrulama istenir. Çerez silmek tarayıcındaki kopyayı yok eder, ama çalınmış bir çerezin saldırgandaki kopyasını geçersiz kılmaz. Bunun için hesabın güvenlik ayarlarından tüm cihazlarda oturumu kapatman gerekir.
Üçüncü taraf çerez nedir?
Girdiğin siteden başka bir alan adına ait çerezdir. Genellikle sayfaya gömülen reklam, analiz ya da sosyal medya bileşenleri bırakır ve seni farklı siteler arasında tanımak için kullanılır. MDN'ye göre tarayıcı üreticileri bu çerezleri varsayılan olarak engellemeye başladı ya da bu yönde plan yaptı. Tarayıcı ayarlarından da engelleyebilirsin.
- çerez
- cookie
- oturum çalma
- tarayıcı güvenliği
- KVKK