OSINT Araçları 2026: Ücretsiz ve Hâlâ Çalışan Araçlar

OSINT, herkese açık kaynaklardan bilgi toplayıp doğrulama işidir. Doğru araçla saatler süren bir arama dakikalara iner. Bu listede 2026'da hâlâ çalışan ve ücretsiz kullanılabilen araçları amaca göre grupladık: alan adı ve altyapı, arşiv, görsel doğrulama, kullanıcı adı ve otomasyon. Her aracı önce kendi alan adınla ve kendi hesaplarınla dene.

OSINT nedir, araçlar neden tek başına yetmez?

OSINT, açık kaynak istihbaratı demektir. Bilgiyi bulmak işin yarısıdır. Diğer yarısı onu doğrulamak ve bir sonuca bağlamaktır. Kavramın tamamını ve istihbarat döngüsünü OSINT 101 rehberinde bulabilirsin. Bu yazı araç seçimine odaklanıyor.

Araçlar değişir. Bir hizmet kapanır, bir diğeri ücretli olur, bir özellik kaldırılır. Google 2024'te önbellek bağlantılarını kaldırdığında eski sayfa kopyalarına dayanan pek çok yöntem işe yaramaz hale geldi. Yöntem ise kalıcıdır: kaynağı kaydet, zamanı not et, bulguyu ikinci bir bağımsız kaynakla doğrula.

Araç seçmeden önce sorunu yaz. "Bu alan adı kime ait?", "Bu fotoğraf nerede çekildi?", "Bu kullanıcı adı başka nerede var?" Soru hangi gruptaysa o gruptan başla.

Alan adı ve altyapı için hangi araçlar var?

Bu araçlar bir sitenin kime kayıtlı olduğunu, ne zaman açıldığını, hangi alt alan adlarını kullandığını ve internete hangi hizmetleri açtığını gösterir.

Genel uzantılı alan adlarında kayıt bilgisinin yetkili kaynağı artık RDAP'tir. ICANN bu geçişi 28 Ocak 2025 tarihiyle duyurdu ve WHOIS hizmetini büyük ölçüde emekliye ayırdı. Kayıt sahibi bilgisi çoğu zaman gizlilik nedeniyle maskelidir. Bu yüzden asıl değer kayıt tarihinde, kayıt kuruluşunda ve ad sunucularındadır. Bir gün önce açılmış ve bilinen bir markayı taklit eden alan adı güçlü bir uyarı işaretidir.

Sertifika kayıtları unutulmuş alt alan adlarını bulmanın en kolay yoludur. Kendi alan adını sorgula ve listede kapatmayı unuttuğun bir test ortamı olup olmadığına bak. Shodan'ın filtrelerini ve savunmada kullanımını Shodan nedir yazısı ayrıntılı anlatıyor. Amass gibi araçların etkin tarama modlarını yalnız kendi alan adında ya da yazılı izinle kullan.

Arşiv ve web geçmişi için ne kullanılır?

Sayfalar değişir ve silinir. Internet Archive'ın Wayback Machine hizmeti bir sayfanın geçmiş kopyalarını tarih sırasıyla gösterir. Bir şirketin eski ekip sayfasını, kaldırılmış bir duyuruyu ya da sahte bir sitenin önceki halini buradan bulabilirsin. Ücretsizdir.

Araştırmanın kanıt değeri de buraya bağlıdır. Önemli bir bulguyu ekran görüntüsüyle birlikte arşive kaydet. Böylece sayfa silinse bile bulgunun tarihi ve adresi kalır.

Arama motorlarının gelişmiş operatörleriyle bir sitede açıkta kalan dosyaları bulmayı Google dorking nedir yazısında anlattık.

Görsel ve konum doğrulaması için hangi araçlar var?

Bir fotoğrafın ilk ne zaman, nerede yayımlandığını ve değiştirilip değiştirilmediğini bu araçlarla sınarsın.

Her tersine arama motoru farklı bir dizin kullanır. Bir motorda sonuç çıkmazsa diğerini dene. Fotoğrafın üst verisi boşsa bu bir şey kanıtlamaz. Platform yükleme sırasında silmiş olabilir. Üst verinin neyi ele verdiğini fotoğraftaki konum bilgisi yazısında okuyabilirsin.

Konum tahmininde ipucu görüntünün içindedir: tabela dili, plaka biçimi, mimari, gölge yönü, bitki örtüsü. Tahmini uydu görüntüsü ve sokak görüntüsüyle karşılaştırarak doğrula.

Kullanıcı adı ve sızıntı kontrolü için ne kullanılır?

Aynı kullanıcı adı aynı kişi demek değildir. Farklı insanlar aynı adı seçebilir. Eşleşmeyi profil fotoğrafı, yazım tarzı ya da bağlantılı hesaplar gibi ikinci bir ipucuyla doğrulamadan sonuca varma. Yanlış eşleştirme masum birini hedef haline getirebilir.

Otomasyon ve dizin araçları nelerdir?

Otomasyon araçlarının gücü bağlandıkları kaynaklardan gelir. Bu kaynakların çoğu API anahtarı ister ve ücretsiz katmanda sınırlıdır. Çıktıyı ham bulgu olarak gör, her satırı doğrula.

OSINT araçlarını kendi ayak izinde nasıl denersin?

Öğrenmenin en güvenli yolu ilk hedefi kendin yapmaktır:

1. Kendi alan adını ICANN Lookup ile sorgula ve hangi bilgilerin göründüğüne bak.
2. Sertifika kayıtlarında unuttuğun alt alan adı var mı kontrol et.
3. E-posta adresini Have I Been Pwned'da ara.
4. Sık kullandığın kullanıcı adını Sherlock ya da WhatsMyName ile tara.
5. Profil fotoğrafını Google Lens ve TinEye ile ara.
6. Bulduklarını bir tabloya yaz: kaynak, tarih, ne göründüğü, kapatılabilir mi.

Gereksiz izleri azaltmak için dijital ayak izi azaltma rehberini izle. Kurgusal bir şirketin dış ayak izini çıkardığın senaryolar için laboratuvar sayfasına bak.

OSINT yaparken yasal ve etik sınır nerede?

Herkese açık bilgiye bakmak serbesttir. Topladığın bilgiyle ne yaptığın ise hukuki sonuç doğurabilir:

• KVKK: Kişisel verinin belirli, açık ve meşru bir amaçla, ölçülü biçimde işlenmesi gerekir. Bir kişi hakkında her şeyi derleyen bir dosya bu ilkelerle çelişebilir.
• TCK 136: Kişisel verileri hukuka aykırı olarak başkasına vermek, yaymak ya da ele geçirmek suçtur.
• TCK 123/A: Bilişim sistemleri üzerinden de olsa birini ısrarla takip edip huzursuz etmek suçtur.
• TCK 243: Bulduğun bir panele ya da hesaba izinsiz girmek bilişim sistemine girme suçudur.

Çalışma kuralların şunlar olsun: amacını yaz, yalnız o amaca hizmet eden bilgiyi topla, özel kişileri hedef alma, kapalı hesaplara sahte profille girme, bulduğun hassas bilgiyi sahibine bildir. Zararlı bağlantı ve oltalama sitesi bulursan USOM'a bildir.

Kaynaklar

• ICANN: RDAP'nin devreye alınması ve WHOIS'in sona ermesi
• TinEye Yardım: Arama sayısı sınırları
• GitHub: Sherlock projesi
• GitHub: theHarvester projesi
• Mevzuat Bilgi Sistemi: 6698 sayılı Kişisel Verilerin Korunması Kanunu