Alan adı ve WHOIS kayıtları

Beyaz Vadi Lojistik'in muhasebe birimine bir sabah fatura e-postası geldi. Gönderen adres beyazvad1.example alan adındaydı; son harf i yerine 1 yazılmıştı. Güvenlik ekibinin ilk sorusu basitti: bu ad ne zaman, hangi firma aracılığıyla alındı ve hangi sunuculara bağlı? Cevap tescil kaydında durur.

Her alan adının tescil anında oluşan bir kaydı vardır. Kayıt tarihleri, kayıt kuruluşunu, ad sunucularını ve durum kodlarını taşır. Bu derste kaydı iki yoldan okursun: eski ama hâlâ yaygın WHOIS ve onun yerini alan RDAP. Sonra durum kodlarını yorumlar, taklit alan adlarını toplu tararsın.

WHOIS ve RDAP sorguları kayıt veritabanına gider, kurumun sunucusuna değil. Bu yüzden kaydı okumak pasif keşiftir.

Alan adı dünyasında üç taraf vardır. Kayıt operatörü (registry) bir uzantının merkezi veritabanını tutar; .com ya da .tr gibi her uzantının bir operatörü vardır. Kayıt kuruluşu (registrar) alan adını sana satan ve kaydı operatöre ileten firmadır.

Kayıt sahibi (registrant) ise alan adını kullanan kişi ya da kurumdur. WHOIS, bu veritabanlarını sorgulamanın en eski yoludur. İstemci 43 numaralı TCP portuna bağlanır, alan adını yazar ve düz metin bir cevap alır.

Protokol o kadar yalındır ki çıktının biçimi bile standart değildir. Her operatör kendi alan adlarını ve sırasını kullanır. Aşağıdaki çıktı Beyaz Vadi Lojistik'in ana alan adına aittir.

$ whois beyazvadi.example
Domain Name: BEYAZVADI.EXAMPLE
Updated Date: 2025-03-02T10:15:44Z
Creation Date: 2019-04-11T08:22:10Z
Registry Expiry Date: 2027-04-11T08:22:10Z
Registrar: Ornek Tescil A.S.
Registrar Abuse Contact Email: [email protected]
Domain Status: clientTransferProhibited
Name Server: NS1.ORNEK-DNS.EXAMPLE
Name Server: NS2.ORNEK-DNS.EXAMPLE
DNSSEC: unsigned
Registrant Name: REDACTED FOR PRIVACY
Registrant Email: https://ornek-tescil.example/iletisim

Çıktıyı yukarıdan aşağı oku. Creation Date alan adının ilk tescil anını, Registry Expiry Date ise kaydın biteceği günü verir. Updated Date son değişikliği gösterir; ad sunucusu ya da iletişim bilgisi değişince bu tarih ilerler.

Registrar satırı kaydın hangi firmada durduğunu söyler. Hemen altındaki abuse adresi, kötüye kullanım bildirimlerinin gideceği yerdir. Domain Status satırı devir ve silme kısıtlarını taşır.

Name Server satırları alan adını hangi sunucuların yanıtladığını gösterir ve seni bir sonraki derse, DNS'e bağlar. DNSSEC satırı bölgenin imzalı olup olmadığını yazar. En alttaki kayıt sahibi alanları ise maskelidir.

Şimdi en çok yanlış bilinen konuya gel: gizlilik. Avrupa Birliği'nin Genel Veri Koruma Tüzüğü (GDPR) 25 Mayıs 2018'de uygulanmaya başladı. O tarihten sonra çoğu tescil firması kişisel iletişim alanlarını maskeler.

Ad, e-posta ve telefon yerine REDACTED FOR PRIVACY yazısı ya da bir iletişim formu adresi görürsün. Bu bir gizleme kusuru değildir, varsayılan davranıştır. Kurumsal kayıtlarda şirket adı, ülke ve il gibi alanlar çoğu zaman açık kalır. Kurumun adının kayıtta geçmesi sahipliği doğrulamanın ucuz bir yoludur.

Tescil kuralları uzantıya göre de değişir. Bazı ülke uzantılarında kurum adı ve adres açıktır, bazılarında neredeyse her alan kapalıdır. Kayıt boş görünüyorsa önce o uzantının kuralına bak. Kişi adı görünüyorsa onu rapora taşımadan önce gerçekten gerekli olup olmadığını sor.

WHOIS'in düz metin çıktısını insan okur, ama betik için ayrıştırmak zordur. Her operatör alanları farklı adlandırır, tarih biçimleri değişir, erişim denetimi de yoktur. RDAP (Registration Data Access Protocol) bu sorunları çözmek için geliştirildi. Sorgu HTTPS üstünden gider, cevap JSON olarak döner.

Sorgu biçimini RFC 9082, cevap yapısını RFC 9083 tanımlar. ICANN'e göre 28 Ocak 2025'ten beri genel uzantılardaki (gTLD) operatörler ve kayıt kuruluşları, birkaç istisna dışında, WHOIS sunmak zorunda değildir. RDAP sunmak ise zorunludur. Yani WHOIS artık yardımcı bir kaynak, RDAP ise yetkili kaynaktır.

Doğru RDAP sunucusunu IANA'nın önyükleme (bootstrap) dosyası söyler. dns.json adlı dosya her uzantı için bir sunucu adresi tutar.

$ curl -s https://rdap.ornek-tescil.example/domain/beyazvadi.example \
    | jq -c '.events[] | {eventAction, eventDate}'
{"eventAction":"registration","eventDate":"2019-04-11T08:22:10Z"}
{"eventAction":"expiration","eventDate":"2027-04-11T08:22:10Z"}
{"eventAction":"last changed","eventDate":"2025-03-02T10:15:44Z"}

$ curl -s https://rdap.ornek-tescil.example/domain/beyazvadi.example | jq -c '.status'
["client transfer prohibited"]

$ curl -s https://rdap.ornek-tescil.example/domain/beyazvadi.example | jq -c '.entities[].roles'
["registrar"]
["registrant"]
["technical"]

İlk komut kaydı çeker ve jq ile yalnız olay listesini süzer. registration olayı WHOIS'teki Creation Date'e karşılık gelir. expiration bitiş tarihini, last changed de son güncellemeyi verir.

İkinci komut durum kodlarını getirir. RDAP bu kodları bitişik yazım yerine boşluklu yazar; clientTransferProhibited burada client transfer prohibited olur. Üçüncü komut kayda bağlı tarafları rolleriyle sıralar. Her tarafın ayrıntısı vcardArray alanında durur ve kişisel alanlar burada da maskelidir.

RFC 9537 bu maskelemeyi işaretleyen bir redacted alanı tanımlar. Böylece betik bir alanın boş mu yoksa bilinçli olarak gizli mi olduğunu ayırt eder. Toplu çalışmada fark büyür: yüz alan adını tek döngüde sorgular, tarihleri tek tabloya dökersin.

Domain Status satırındaki kodlar EPP (Extensible Provisioning Protocol) adlı kayıt protokolünden gelir ve iki aileye ayrılır. client ile başlayan kodları kayıt kuruluşu, server ile başlayanları kayıt operatörü koyar. clientTransferProhibited alan adının izinsiz başka firmaya taşınmasını engeller ve iyi bir güvenlik ayarıdır.

clientDeleteProhibited ve clientUpdateProhibited silmeyi ve değişikliği kilitler. server ile başlayan kilitler daha güçlüdür; operatör düzeyinde kilit (registry lock) çoğu zaman bunlarla kurulur.

clientHold ve serverHold ise alarm kodudur. Bu kodlardan biri varsa alan adı DNS'te yayımlanmaz ve çözülmez. Ödeme sorunu, hukuki uyuşmazlık ya da kötüye kullanım bildirimi bu kodu getirir. Bir oltalama alan adı serverHold'a düştüyse şikâyet sonuç vermiş demektir.

Silinme süreci de kodlarla izlenir. Süresi dolan ve yenilenmeyen alan adı önce bir bekleme döneminden geçer. Ardından redemptionPeriod gelir ve sahibi 30 gün boyunca, genelde ek ücretle, adı geri alabilir.

Geri alınmazsa pendingDelete başlar ve birkaç gün sonra ad serbest kalır. Serbest kalan adı ilk isteyen alır. Kurumun eski e-posta adresleri, belgelerdeki bağlantılar ve üçüncü taraf entegrasyonları yeni sahibe akar.

Tarihleri okurken bir inceliği de bil. Creation Date, alan adı bir kayıt kuruluşundan diğerine devredilince (transfer) değişmez. Tarih ancak ad tamamen silinip yeniden tescil edilince sıfırlanır. Beş yıllık bir markanın alan adında Creation Date geçen ayı gösteriyorsa, ad bir kez düşmüş ve biri onu yeniden almıştır.

Türkiye'de .tr uzantılı alan adları TRABİS (.tr Ağ Bilgi Sistemi) üzerinden yönetilir. Sistem 14 Eylül 2022'de açıldı ve kayıt işleri o günden beri yetkili kayıt kuruluşları aracılığıyla yürür. 31 Temmuz 2026'da yürürlüğe giren 7590 sayılı Kanun ile alan adı yönetiminin usul ve esaslarını belirleme yetkisi Bilgi Teknolojileri ve İletişim Kurumundan Siber Güvenlik Başkanlığına geçti.

.tr kayıtlarını TRABİS'in Alan Adı Sorgu sayfasından okursun. Eylül 2026 itibarıyla IANA'nın RDAP önyükleme dosyasında .tr için bir sunucu yer almaz. Yani genel RDAP istemcileri .tr adında cevap bulamaz. Silinme kuralı da farklıdır.

Süresinde yenilenmeyen alan adının kullanımı iki ay durdurulur. Sonra ad yeniden tahsise açılır, ama bir ay boyunca başvuru alınmaz. TRABİS bu adları tarihleriyle bir listede yayımlar. Savunma ekibi kendi adlarının bu listeye düşmediğini düzenli kontrol eder.

Saldırgan oltalama kampanyasından önce altyapı kurar. MITRE ATT&CK bu adımı T1583.001, yani alan adı edinme olarak sınıflar. Kurumun adına benzeyen adlar birkaç yolla üretilir. Harf atlama ve ekleme beyazvad.example gibi adlar verir.

Görsel benzerlik (homoglyph) i yerine 1 ya da l koyar. Tire eklemek beyaz-vadi.example üretir. Uzantı değiştirmek aynı adı başka bir uzantıda alır.

Bit çevirme (bitsquatting) daha ince bir fikirdir: bellekteki tek bir bit hatası v harfini w'ye çevirir ve cihaz beyazwadi.example adresine gider. Bu adları elle saymak imkânsızdır. dnstwist aracı hepsini üretir, DNS'te sorgular ve kayıtlı olanları raporlar. Aşağıdaki çıktıda yalnız kayıtlı adlar, tescil tarihleriyle birlikte görünür.

$ dnstwist --registered --whois --mxcheck --tld uzantilar.txt --format csv beyazvadi.example
fuzzer,domain,dns_a,dns_mx,dns_ns,mx_spy,whois_created,whois_registrar
*original,beyazvadi.example,203.0.113.10,mx1.beyazvadi.example,ns1.ornek-dns.example,,2019-04-11,Ornek Tescil A.S.
bitsquatting,beyazwadi.example,198.51.100.23,,ns1.ucuz-dns.example,,2024-11-02,Ucuz Alan Adi Ltd.
homoglyph,beyazvad1.example,198.51.100.77,mx.beyazvad1.example,ns1.ucuz-dns.example,True,2026-09-22,Ucuz Alan Adi Ltd.
hyphenation,beyaz-vadi.example,198.51.100.78,mx.beyaz-vadi.example,ns1.ucuz-dns.example,True,2026-09-23,Ucuz Alan Adi Ltd.
omission,beyazvad.example,203.0.113.200,,ns1.ornek-dns.example,,2020-01-15,Ornek Tescil A.S.
tld-swap,beyazvadi.test,198.51.100.79,,ns1.ucuz-dns.example,,2026-09-23,Ucuz Alan Adi Ltd.

Her satır bir aday adı ve onun izlerini taşır. fuzzer sütunu adın hangi yöntemle üretildiğini söyler. İlk satır özgün alan adıdır ve karşılaştırma için durur. omission satırındaki beyazvad.example kurumun kendi kayıt kuruluşunda ve kendi ad sunucusundadır; kurum bu adı savunma amacıyla 2020'de almıştır.

bitsquatting satırı iki yıllık bir tesciltir ve posta sunucusu yoktur; izlenir ama acil değildir. Asıl alarm homoglyph, hyphenation ve tld-swap satırlarındadır. Üçü de aynı kayıt kuruluşunda, aynı ad sunucusunda ve iki gün içinde alınmıştır.

İkisinin posta sunucusu vardır ve mx_spy sütunu True yazar. Bu sütun, taklit adın posta sunucusunun rastgele bir alıcıya gelen e-postayı bile kabul ettiğini söyler. Yanlış yazılmış adrese giden her ileti oraya düşebilir.

dnstwist bunu ölçmek için taklit adın posta sunucusuna 25 numaralı porttan bağlanır ve uydurma bir alıcı adresi dener, ileti göndermez. Bu bağlantı şüpheli sunucuya dokunur, yani --mxcheck pasif bir adım değildir.

Toplu bakış burada işe yarar. Tek tek bakınca her ad masum görünebilir.

Tabloyu tescil tarihine göre sıralayınca aynı hafta alınmış üç benzer ad yan yana gelir. Aynı kayıt kuruluşu, aynı ad sunucusu ve aynı IP bloğu tek bir elin izidir. Gerçek kampanyalarda da bu örüntü sık görülür: saldırgan hazırlığı birkaç gün içinde yapar, sonra ilk e-postaları yollar. Tehdit istihbaratı ekipleri yeni tescilleri bu yüzden günlük izler.

Taze tescil tek başına suç kanıtı değildir; bir hayran sitesi ya da yeni bir girişim de benzer ad alabilir. Bazı posta sunucuları da dizin toplamayı zorlaştırmak için her adresi kabul ediyormuş gibi davranır. Ama taze tescil, posta sunucusu ve kuruma benzeyen ad birlikte göründüğünde öncelik yükselir.

Savunma dört ayak üstünde durur. İlki savunma amaçlı tescildir: kurum en olası yazım hatalarını ve önemli uzantıları kendisi alır, tıpkı beyazvad.example örneğinde olduğu gibi. İkincisi kilittir. Kayıt kuruluşu kilidi ve mümkünse operatör düzeyinde kilit, ana alan adının izinsiz devrini ve ad sunucusu değişikliğini zorlaştırır.

Üçüncüsü izlemedir: dnstwist gibi bir aracı haftalık çalıştırır, yeni kayıtlı adları önceki listeyle karşılaştırırsın. Dördüncüsü bildirimdir. Kötü niyetli ad için kayıt kuruluşunun abuse adresine kanıtla yazarsın.

.tr adlarında uyuşmazlık çözüm hizmet sağlayıcılarına da başvurabilirsin. Bildirime kayıt tarihini, ad sunucusunu, e-posta örneğini ve ekran görüntüsünü eklersin. Somut kanıt taşıyan bildirim çok daha hızlı sonuç alır.